怎样写套简单而又犀利的防毒/测毒规则？（12楼和13楼有参考贴图）

显示全部楼层 · 发表于 2014-6-8 10:40:46

xuan1xuan 发表于 2014-6-8 07:39
柯大，难道安装软件时要右键。退出吗，万一安装包有问题肿么办

咖啡无法退出，只能关闭访问保护，一旦关闭，就是等于无防护（铁壳的优卡也来玩咖啡？话说还有10多天就考试了呢）

显示全部楼层 · 发表于 2014-6-8 10:42:12

柯林发表于 2014-6-8 02:11
当然可以的不过不用这么麻烦明天我发个普罗大众版的简单规则（20条左右）偏好是见者皆灭的禁运党风 ...

柯林大大发reg给某些懒人吧~

显示全部楼层 · 发表于 2014-6-8 11:44:30

貌似是不是缺了一个rundll32

显示全部楼层 · 发表于 2014-6-8 16:53:56

请问咖啡的规则怎么导出导入

显示全部楼层 · 发表于 2014-6-8 17:47:35

依班娜发表于 2014-6-8 11:44
貌似是不是缺了一个rundll32

你说运行dll文件的这个？要加上也可以
对于dll注入，具体实现的原理和过程，资料太少，不大了解

个人理解，它应该首先有个母体程序，要由这个来安排好前奏，才能执行吧？规则阻止了母体，也就不用考虑其它了。

显示全部楼层 · 发表于 2014-6-8 17:50:56

柯林发表于 2014-6-8 17:47
你说运行dll文件的这个？要加上也可以
对于dll注入，具体实现的原理和过程，资料太少，不大了解

不对，你忘了lnk了，这个直接利用一个dll和lnk就可以达到，lnk双击之后就会运行rundll32运行毒dll中的函数

显示全部楼层 · 发表于 2014-6-8 17:52:09

a8595163 发表于 2014-6-8 16:53
请问咖啡的规则怎么导出导入

你搜论坛资料，8.8版本，32位系统应该是：
HKEY_LOCAL_MACHINE\SOFTWARE\McAfee\SystemCore\VSCore\On Access Scanner\BehaviourBlocking

显示全部楼层 · 发表于 2014-6-8 17:54:24

依班娜发表于 2014-6-8 17:50
不对，你忘了lnk了，这个直接利用一个dll和lnk就可以达到，lnk双击之后就会运行rundll32运行毒dll中的函 ...

哦
大半年都没时间玩毒测样本了，有些东西淡忘了

显示全部楼层 · 发表于 2014-6-8 18:14:10

柯林发表于 2014-6-8 17:54
哦
大半年都没时间玩毒测样本了，有些东西淡忘了

呃，这个的确容易忘记。哦是什么意思

显示全部楼层 · 发表于 2014-6-8 18:33:36

依班娜发表于 2014-6-8 18:14
呃，这个的确容易忘记。哦是什么意思

印象中我没玩过这类型的样本你不说我都忘了HIPS规则中禁止指定外程序调用rundll32.exe是啥作用了

[讨论] 怎样写套简单而又犀利的防毒/测毒规则？（12楼和13楼有参考贴图）