【咖啡之缘】-----分叉规则处理

墨家小子

qftest 发表于 2013-9-14 23:18
我可以告诉你路径规则也是一样的结果吗？

确实，我也尝试过，进入系统之后还是黑屏

qftest

墨家小子 发表于 2013-9-15 14:09
是这样，我试毒是逐条规则放行，以防御最佳最少的规则测试，看各个样本能否击穿咖啡为准。因为规则越少对 ...

期待你哪天心情好分享一下经过实战后的规则
特想观摩学习一下究竟哪些规则最有实用价值

墨家小子

qftest 发表于 2013-9-15 14:41
期待你哪天心情好分享一下经过实战后的规则
特想观摩学习一下究竟哪些规则最有实用价值

禁止所有程序从 Temp 文件夹运行文件
阻止对所有共享资源的读写访问
禁止将程序注册为自动运行
禁止将程序注册为服务
C:\Users\*\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\**

qftest

墨家小子 发表于 2013-9-15 14:44
禁止所有程序从 Temp 文件夹运行文件
阻止对所有共享资源的读写访问
禁止将程序注册为自动运行

第一条是防间谍最大保护
第二条是爆发控制
第三四条是通用最大保护
第五条是999的自定义保护启动文件夹
这些防毒效率最高的了是吗？以你的试毒经验来评价的话
另外这几条在进程排除上有什么需要特别注意的地方吗？

墨家小子

qftest 发表于 2013-9-15 14:49
第一条是防间谍最大保护
第二条是爆发控制
第三四条是通用最大保护

这几条规则出现的次数是最多的
第五条如你所说
第三四条是通用最大保护注册自动运行注册服务不要轻易排除系统程序，因为会被注入，见12楼第二条红色部分
http://bbs.kafan.cn/forum.php?mo ... &fromuid=906361

jml521m

依班娜 发表于 2013-9-14 23:23
看起来是这样，其实没这么简单的，不过都累了，简单地做个默认加强就够用了，除了折腾着玩儿以外

呵呵.....确实如此

jml521m

墨家小子 发表于 2013-9-15 14:06
那天试试你的规则，我居然没注意到

记得告诉我结果...

qftest

墨家小子 发表于 2013-9-15 14:55
这几条规则出现的次数是最多的
第五条如你所说
第三四条是通用最大保护注册自动运行注册服务不要轻易排 ...

正在仔细看日志
也就是说你的建议是最好保持第三四条的排除项为空（非必要时不要轻易添加这两条的排除项），是这个意思吗？想确认一下。。。

墨家小子

jml521m 发表于 2013-9-15 15:01
记得告诉我结果...

好的

墨家小子

qftest 发表于 2013-9-15 15:01
正在仔细看日志
也就是说你的建议是最好保持第三四条的排除项为空（非必要时不要轻易添加这两条的排除项 ...

对的，比如说木马注入到explorer，你正好排除了explorer，那。。。
你看这个样本，注入explorer
http://bbs.kafan.cn/thread-1576335-1-1.html
这是OA测试结果：http://bbs.kafan.cn/forum.php?mo ... &fromuid=906361