这个样本comodo只能拦截到执行svchost，SSF拦截到执行和修改svchost内存

显示全部楼层 · 发表于 2014-3-8 11:47:43

墨家小子发表于 2014-3-8 11:39
ie呢？这个接下来就是注入

如同第二張圖，IE 被病毒執行。

只要COMODO一彈注入警告，就代表彈窗上寫的兩個進程，並非親子關係。

显示全部楼层 · 发表于 2014-3-8 11:51:52

a256886572008 发表于 2014-3-8 11:35
第一張，那個 explorer.exe 是系統原本的，並非病毒執行的。

第二張，那個explorer.exe 才是病毒執行 ...

放行执行ie之后出现的行为 77777那张截图那里来的？

显示全部楼层 · 发表于 2014-3-8 11:55:53

a256886572008 发表于 2014-3-8 11:28
就如同彈窗寫的，一點允許就代表用戶同意子進程被父進程控制。

這個從 V3 HIPS第一代時就是這樣設 ...

可以不提示访问子进程内存，但是当白名单程序被未知程序运行时，白名单程序将临时退出白名单。这是一直以来的机制。而这次显然漏了。

显示全部楼层 · 发表于 2014-3-8 11:58:54

myzuzong 发表于 2014-3-8 11:55
可以不提示访问子进程内存，但是当白名单程序被未知程序运行时，白名单程序将临时退出白名单。这是一直以 ...

我之前用 HIPS測時，COMODO一直都是這樣設計的。

關於"当白名单程序被未知程序运行时，白名单程序将临时退出白名单"，這個就是auto-sandbox 的功能了，HIPS沒有。

显示全部楼层 · 发表于 2014-3-8 12:10:09

a256886572008 发表于 2014-3-8 11:58
我之前用 HIPS測時，COMODO一直都是這樣設計的。

關於"当白名单程序被未知程序运行时，白名单程序将临 ...

等会我用SSF测试一下刚才放过那个执行ie，差点没卡死

显示全部楼层 · 发表于 2014-3-8 12:12:04

嗯，楼上的楼上说的是对的。我记错了继承机制的适用范围。To楼主，使用comodo还是尽量要使用auto-sandbox，单用hips的话就只能阻止未知程序运行白名单程序了。

显示全部楼层 · 发表于 2014-3-8 12:14:09

process hacker 这个我一直用，Privatefirewal不能像ssf写的那么细，能拦截到修改内存，不过PF不会像毛豆一样信任主进程，那子进程就默认信任

你提供的样本不知PF能不能拦？

显示全部楼层 · 发表于 2014-3-8 12:17:14

UDady 发表于 2014-3-8 12:14
process hacker 这个我一直用，Privatefirewal不能像ssf写的那么细，能拦截到修改内存，不过PF不会像毛豆一 ...

好久没玩PF了，只从那个二代注入严重伤害了我之后

PF有个很大的缺陷，你看看explorer的注册表那里，只要允许exolorer的一项注册表操作，那么explorer别的注册表操作就会放行

显示全部楼层 · 发表于 2014-3-8 12:17:39

UDady 发表于 2014-3-8 12:14
process hacker 这个我一直用，Privatefirewal不能像ssf写的那么细，能拦截到修改内存，不过PF不会像毛豆一 ...

信任主进程，那子进程就默认信任。。。这就是缺陷

显示全部楼层 · 发表于 2014-3-8 12:18:28

myzuzong 发表于 2014-3-8 12:12
嗯，楼上的楼上说的是对的。我记错了继承机制的适用范围。To楼主，使用comodo还是尽量要使用auto-sandbox， ...

那就是说毛豆已经被设计成一个整体了？

[讨论] 这个样本comodo只能拦截到执行svchost，SSF拦截到执行和修改svchost内存