穿破 V6 partially limited,limited,restricted 和 HIPS

显示全部楼层 · 发表于 2013-1-25 17:37:29

mengld 发表于 2013-1-25 14:42
不歪楼了，等下另外开贴讨论吧
。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。 ...

这次不仅是继承的问题了，纯Hips依然被过

显示全部楼层 · 发表于 2013-1-25 18:15:02

AIDS1982 发表于 2013-1-25 16:06
FD.AD.RD.com.全局保护,去除白名单,俺是手动控,小心无大错

小心驶得万年船，赞一个

显示全部楼层 · 发表于 2013-1-25 20:31:04

Defensewall HIPS 攔截成功

DefenseWall log file

01.25.2013 20:26:13, module C:\virus\FlashPlayer119\FlashPlayer119.exe, Attempt to open process C:\WINDOWS\explorer.exe (Process)

01.25.2013 20:26:13, module C:\virus\FlashPlayer119\FlashPlayer119.exe, Open process memory allocation error (Memory)

显示全部楼层 · 发表于 2013-1-25 22:10:52

所以毛豆要配数字是必需呀。。。

显示全部楼层 · 发表于 2013-1-26 00:45:29

说的我心动了，看看自己的规则是否会被绕过吗？

显示全部楼层 · 发表于 2013-1-26 01:16:14

ren1989 发表于 2013-1-26 00:45
说的我心动了，看看自己的规则是否会被绕过吗？

1. 病毒注入 explorer.exe

2.explorer.exe 執行 svchost.exe

3.svchost.exe 寫註冊表啟動項

就看你到哪一步攔截。

显示全部楼层 · 发表于 2013-1-26 20:29:13

本帖最后由 x-天秤座于 2013-1-26 20:31 编辑

2013-1-26 20:25:37 已由访问保护规则禁止 CHINA-6D22AA9E6\Administrator C:\WINDOWS\system32\svchost.exe \REGISTRY\USER\S-1-5-21-527237240-1606980848-682003330-500\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\shell 通用最大保护:禁止将程序注册为自动运行已阻止的操作: 创建

我用mcafee8.8p2试了一下，默认规则，就屏幕闪了一下，启动项没有被修改。毛豆我是采取信任区域规则防护，直接不给运行，所以不测试。

另外，我用sandboxie 3.74运行之，连屏幕都没有闪，就直接无声无息消失了。

显示全部楼层 · 发表于 2013-1-27 10:13:14

真没想到呀还被穿了但是我在想要先阻制了还能被穿吗

显示全部楼层 · 发表于 2013-1-27 11:36:10

记得之前Ａ2也开过一贴说fully virtualized也有什么问题的（忘具体了），那岂不是只剩下untrusted没有被过？求解

显示全部楼层 · 发表于 2013-1-27 11:38:17

本帖最后由 a256886572008 于 2013-1-27 11:39 编辑

fwj123 发表于 2013-1-27 11:36
记得之前Ａ2也开过一贴说fully virtualized也有什么问题的（忘具体了），那岂不是只剩下untrusted没有被过？ ...

就是防火牆不理會而已，不過那個倒是不重要。

因為現在安軟的防禦方式不再依賴"讓病毒斷網"。

[其他相关] 穿破 V6 partially limited,limited,restricted 和 HIPS