关于 墨大 墨池McAfee 8.8 P2返璞规则 64位 的一点疑问

墨家小子

jml521m 发表于 2013-5-3 19:54
我就是64位WIN7  打磨很久了。。。为出现过此类问题

你有叶版规则的最后一版吗？貌似 Rule-VI-SP-III-Enhanced-Plus

shiyuelaohu

对于同一进程,咖啡会读完所有的规则之后才判断,是不是需要放行,单单从这个层面上来说,咖啡的规则是没有优先级的(仅仅从这个层面上来说).默认规则里面的注册表防护都是针对的一些比较重要的注册表,墨大的01规则是针对的所有的注册表,这样的话,01规则的排除量是相当大的,为了方便排除,只好采用C:\Program Files*\**的形式.至于其他的比较重要的注册表规则,只要开启了,那么这条规则不会受到01规则的影响.01规则即便放行了,照样不会影响本规则拦截.
所以,感觉做咖啡规则就像是在在给衣服打补丁,哪里破了就在哪里补上一块,不像毛豆和md一样还需要照顾优先级,考虑补丁打在上面还是打在下面.
个人愚见,不一定准确.

墨家小子

shiyuelaohu 发表于 2013-5-3 20:46
对于同一进程,咖啡会读完所有的规则之后才判断,是不是需要放行,单单从这个层面上来说,咖啡的规则是没有优先 ...

确实如此

感觉做咖啡规则就像是在在给衣服打补丁,哪里破了就在哪里补上一块

看来01号规则不能太严

jml521m

墨家小子 发表于 2013-5-3 20:35
你有叶版规则的最后一版吗？貌似 Rule-VI-SP-III-Enhanced-Plus

是第六版     最后一版只有四条      第六版也是在我的影响下变成了最后一版规则

jml521m

墨家小子 发表于 2013-5-3 20:26
你有没有兴趣试试这个 http://bbs.kafan.cn/thread-1561943-1-1.html

  完事在虚拟机上试试

jml521m

墨家小子 发表于 2013-5-3 20:26
你有没有兴趣试试这个 http://bbs.kafan.cn/thread-1561943-1-1.html

  你给出的这个样本在叶版的规则里根本不存在运行的权限， 即使对cmd的一条不做限制，让其调用运行起来的机率也几乎等于0  因为对regsvr32.exe  包括我修改的 以及原版从不对此进行排除， 有没有完整的可执行文件，让我试试让其主程序加入许可名单的效果

墨家小子

jml521m 发表于 2013-5-3 22:14
你给出的这个样本在叶版的规则里根本不存在运行的权限， 即使对cmd的一条不做限制，让其调用运行起来的 ...

regsvr32.exe "DLL 全路径"

然后贴出日志，我看看两个规则拦截的不同点

jml521m

墨家小子 发表于 2013-5-3 22:19
regsvr32.exe "DLL 全路径"

然后贴出日志，我看看两个规则拦截的不同点

好吧 我放行  cmd   以及regsvr32     看看。。。

墨家小子

jml521m 发表于 2013-5-3 22:23
好吧 我放行  cmd   以及regsvr32     看看。。。

别实机！不然就惨了，要是硬盘装有带Diagnostics and Recovery Toolset 8的PE可以尽情享受，反正就算被小马加载了启动项也可以借助DaRT，不用进系统就可以删除木马添加的启动项

jml521m

墨家小子 发表于 2013-5-3 22:26
别实机！不然就惨了，要是硬盘装有带Diagnostics and Recovery Toolset 8的PE可以尽情享受，反正就算被小 ...

放行后     反复加载了三个DLL 文件后    电脑成功被锁