试了一下最新版 还是被穿 开不开hips都穿 （PE看启动项更清楚）

墨家小子

Candygu 发表于 2013-5-11 15:59
我用 rundll32.exe ,H1N1 运行那个dll文件，运行一下就退出去了

要是从挂马网址下来的dll会驻留在rundll32里面，注入别的进程内存

刚才自定义了一下OP，可以防御了！


16:02:28        JAVA.EXE        Block system objects modification        Auto Start Entries        HKEY_USERS\S-1-5-21-70471354-823728906-1972563447-1001\Software\Microsoft\Windows\CurrentVersion\Run\Mouseman

16:01:36        JAVA.EXE        Prompt for system object modification        Auto Start Entries        HKEY_USERS\S-1-5-21-70471354-823728906-1972563447-1001\Software\Microsoft\Windows\CurrentVersion\Run\Mouseman

15:28:24        JAVA.EXE        Prompt for system object modification        Auto Start Entries        HKEY_USERS\S-1-5-21-70471354-823728906-1972563447-1001\Software\Microsoft\Windows\CurrentVersion\Run\Mouseman

对于这一类的只有对java自定义，但是我用毛豆对java自定义就拦截不了呢，怎么回事？

墨家小子

mengld 发表于 2013-5-11 15:54
mark下，等下人气送上

别急，我又有新发现  http://bbs.kafan.cn/forum.php?mo ... &fromuid=906361

Candygu

墨家小子 发表于 2013-5-11 16:09
要是从挂马网址下来的dll会驻留在rundll32里面，注入别的进程内存

刚才自定义了一下OP，可以防御了！
...

除了从挂马网页进入进行验证外，靠本地运行那个dll文件，可以重现这个么？我试了一下，但是运行一下就退出去。

墨家小子

Candygu 发表于 2013-5-11 16:16
除了从挂马网页进入进行验证外，靠本地运行那个dll文件，可以重现这个么？我试了一下，但是运行一下就退出 ...

不能
所以我都没提交样本

墨家小子

mengld 发表于 2013-5-11 11:00
pfw和outpost拦住了木有～

再给你一点对OP的信心





唯一的不理想就是必须关闭信任名单

mengld

墨家小子 发表于 2013-5-11 16:33
再给你一点对OP的信心

~~~其实还有一点不理想的是，189的价格（终身版）有点高了

darkwolf_99

这样的弹窗，用户也不好判断，纯绿色，无命令行

毛豆纯hips肯定也没问题

墨家小子

darkwolf_99 发表于 2013-5-11 16:44
这样的弹窗，用户也不好判断，纯绿色，无命令行

毛豆纯hips肯定也没问题

说的对，没有命令行，只能凭借经验，小白很容易中招

墨家小子

mengld 发表于 2013-5-11 16:38
~~~其实还有一点不理想的是，189的价格（终身版）有点高了

还可以吧，不比SS便宜多了？

mengld

墨家小子 发表于 2013-5-11 16:52
还可以吧，不比SS便宜多了？

看你逛毒网的时候一直用的，其实也不错，就是图标~~~咳咳