關於 穿破 comodo 純AV 網頁腳本 防禦

a256886572008

樣本：
http://bbs.kafan.cn/thread-1550277-1-1.html

現在可以攔截了。

不過，得把real time scan中 掃描壓縮包的設置，多加一個後綴名。
*.tmp

默認只有 *.jar

2013-04-20 11:58:38   C:\Documents and Settings\Roger\Local Settings\Temporary Internet Files\Content.IE5\L0HLDHVJ\orientalin_de[1].htm   TrojWare.HTML.Iframe.G@294527503   Quarantine   Success   

2013-04-20 11:58:39   C:\Documents and Settings\Roger\Local Settings\Temporary Internet Files\Content.IE5\E1Z90133\sevmek1[1].htm   TrojWare.HTML.Iframe.G@294527503   Quarantine   Success   

2013-04-20 11:58:40   C:\Documents and Settings\Roger\Local Settings\Temporary Internet Files\Content.IE5\E1Z90133\sevmek3[1].htm   TrojWare.HTML.Iframe.G@294527503   Quarantine   Success   

2013-04-20 11:58:41   C:\Documents and Settings\Roger\Local Settings\Temporary Internet Files\Content.IE5\Y07QRYNK\sevmek2[1].htm   TrojWare.HTML.Iframe.G@294527503   Quarantine   Success   

2013-04-20 11:59:06   C:\DOCUME~1\Roger\LOCALS~1\Temp\jar_cache7586317969390725696.tmp   Exploit@#2irp81mg70i3z   Quarantine   Success   

2013-04-20 11:59:13   C:\DOCUME~1\Roger\LOCALS~1\Temp\jar_cache743630410167678969.tmp   Exploit@#2irp81mg70i3z   Quarantine   Success   

2013-04-20 11:59:14   C:\DOCUME~1\Roger\LOCALS~1\Temp\jar_cache3692832263528465961.tmp   Exploit@#2irp81mg70i3z   Quarantine   Success   

2013-04-20 11:59:15   C:\DOCUME~1\Roger\LOCALS~1\Temp\jar_cache3764375503125257872.tmp   Exploit@#2irp81mg70i3z   Quarantine   Success   

AV 抓到紅色那一部份之後，java就無法下載並執行病毒。

mxf147

这个确实应该加，常用的临时文件是不是都应该添加进去，应该考量一下

a256886572008

mxf147 发表于 2013-4-20 14:03
这个确实应该加，常用的临时文件是不是都应该添加进去，应该考量一下

官方原本的意思是，V6的 AV實時監控，壓縮文件 只掃描 java cache 的就夠了。
(V5 AV 對於 壓縮文件，則是不管任何後綴名，都掃描)

只是剛好我的環境， java cache 的後綴名是 .tmp

蓝核

自从在坑爹的网马区玩之后……我就庆幸不安装java太幸福了……好在不影响我的活动

fake5

蓝核 发表于 2013-4-20 14:12
自从在坑爹的网马区玩之后……我就庆幸不安装java太幸福了……好在不影响我的活动

同
感觉java就是个坑