这个样本comodo只能拦截到执行svchost，SSF拦截到执行和修改svchost内存

UDady

墨家小子 发表于 2014-3-8 12:17
好久没玩PF了，只从那个二代注入严重伤害了我之后

PF有个很大的缺陷，你看看explorer的注册表那里，只 ...

确实，pf注册表控制不怎么好

不过当explore作为子进程时设置为低权限级别，不知道能不能防住

墨家小子

UDady 发表于 2014-3-8 12:23
确实，pf注册表控制不怎么好

不过当explore作为子进程时设置为低权限级别，不知道能不能防住

那就没有意义了，降低权限的话

myzuzong

墨家小子 发表于 2014-3-8 12:18
那就是说毛豆已经被设计成一个整体了？

没懂啥意思。

评论一下上面的“信任主进程，那子进程就默认信任”，很明显不是这样的。例如explorer.exe是受信任的，而explorer.exe执行的未知程序仍然会被弹窗询问的。

问题在于，hips中允许A执行B，就允许了A修改B。如果B在白名单中，就躺了。但是auto-sandbox则不然，未知程序A入沙，A执行白名单程序B，则B也入沙。所以单用hips只能阻止运行了。

墨家小子

myzuzong 发表于 2014-3-8 12:27
没懂啥意思。

评论一下上面的“信任主进程，那子进程就默认信任”，很明显不是这样的。例如explorer ...

我就是这个意思，毛豆现在已经不能单独用HIPS了

问题在于，hips中允许A执行B，就允许了A控制B的行为。如果B在白名单中，就躺了。但是auto-sandbox则不然，未知程序A入沙，A执行白名单程序B，则B也入沙。所以单用hips只能阻止运行了。

a256886572008

墨家小子 发表于 2014-3-8 12:18
那就是说毛豆已经被设计成一个整体了？

V7 被拆成3個，HIPS、Auto-sandbox、Viruscope

墨家小子

myzuzong 发表于 2014-3-8 12:27
没懂啥意思。

评论一下上面的“信任主进程，那子进程就默认信任”，很明显不是这样的。例如explorer ...

气死我了 ，发不了截图

2014/3/8 12:21:27,C:\ProgramData\openoffic0\nuytzecrn.exe,53,Allowed ;Execution of an application ("C:\Program Files\Internet Explorer\iexplore.exe")

2014/3/8 12:21:54,C:\ProgramData\openoffic0\nuytzecrn.exe,29,Blocked ;Modifing process memory (iexplore.exe(pid=628))

文件: C:\ProgramData\openoffic0\nuytzecrn.exe
大小: 204800 字节
文件版本: 1.45.0086
修改时间: 2014年3月4日, 9:57:52
MD5: 25E1429BA76FF46A0124B503FE4C9EE9
SHA1: B24B3168775A65AC14179D0877EF91EE7F5C56B2
CRC32: 0C89F9AC

文件: C:\Users\A\Desktop\新建文件夹\新建文件夹\1348425468.exe
大小: 204800 字节
文件版本: 1.45.0086
修改时间: 2014年3月4日, 9:57:52
MD5: 25E1429BA76FF46A0124B503FE4C9EE9
SHA1: B24B3168775A65AC14179D0877EF91EE7F5C56B2
CRC32: 0C89F9AC

墨家小子

a256886572008 发表于 2014-3-8 12:31
V7 被拆成3個，HIPS、Auto-sandbox、Viruscope

按照23楼myzuzong同学的说法，我认为毛豆离开沙盘单用hips已经不那么靠谱了
26楼是SSF的测试，启动放行，然后拦截到注入
http://bbs.kafan.cn/forum.php?mo ... 72&pid=30608700

a256886572008

墨家小子 发表于 2014-3-8 12:37
按照23楼myzuzong同学的说法，我认为毛豆离开沙盘单用hips已经不那么靠谱了
26楼是SSF的测试，启动放行 ...

comodo HIPS 會把那兩步合成一個彈窗，和10樓的圖一樣。

墨家小子

a256886572008 发表于 2014-3-8 12:40
comodo HIPS 會把那兩步合成一個彈窗，和10樓的圖一樣。

太含糊了 还是SSF那样看得清楚

qftest

a256886572008 发表于 2014-3-8 11:58
我之前用 HIPS測時，COMODO一直都是這樣設計的。

關於"当白名单程序被未知程序运行时，白名单程序将临 ...

请教大大，comodo说“父应用程序访问目标应用程序内存后就可以完全控制目标应用程序”，又说“父进程成功执行子进程后就可以控制子进程的执行”，这两句话有什么不同吗？
@myzuzong