你信任你的HIPS么?知道百度杀毒是如何在Hips的监控下成功安装的么?

zhq445078388

今天一个同学.他习惯用MD...
各种规则都设置好了..

然后今天他安装一个风行..
然后百度杀毒就被装上了.他发现的原因是

当时他给阻止了..
但是大家注意看图..这时候百度杀毒已经被装上了..启动的其实是升级程序


然后MD弹了这个..
这时候他发现不对了.立刻把风行的这个安装包的进程干掉了.
(上面的图不是他机器上的.是他找到我之后我在我机器上复现的)

然后他把百度的签名给拉黑了(组策略里面)

然后又被装上了! 这次还是风行!

为什么呢??

这是他拉黑的百度的签名

这是百度那个风行的签名..



楼下一帮人说这个没问题啊..

安装升级组启动进程.MD是拦的

这个组释放文件 MD是不拦的

百度就是利用这一点.直接用这个重新组包的风行直接释放文件,来达到绕过MD拦截的目的

而不是说绕过了MD,绕过的是人的脑子

人的脑子里面有个印象:"捆绑是安装包启动其他安装包进程"

然后百度就改成"捆绑式安装包直接释放文件"

这样~ 就绕过了这个规则~

最后的解决:

百度杀毒最后的解决方法挺简单
就是.他的驱动程序~
bd001 bd002啥的.
设置为写这几个文件.就报警..
在rd里面 设置写这几个的服务..就报警..

果然~ 只要报警的时候点"阻止并结束进程" 天下太平了~

Flameocean

楼主的意思是百度篡改风行的数字签名，然后进行安装的？？

九尾野狐

规则漏了

就这么简单

MD是无辜的

zhq445078388

九尾野狐 发表于 2014-7-10 15:47
规则漏了

就这么简单

...知道啥叫"升级安装"程序组么..
明显安装包要进这个组,不然弹窗烦死了
MD默认就有这个组

cocabean

那就两个一起拉黑呗？
风行现在是百度的了？我out了？
从来不用国产播放软件的路过。。。

a8643764

不是有一个 阿里的旺旺？

左手

给个安装包。我来试试。

tg123321

是风行的安装包里本来就含百度杀毒而不是百度的安装包捆绑在风行里，所以只要允许了风行的安装包，百度杀毒就会被装上。
MD并未漏防 没有大问题

九尾野狐

zhq445078388 发表于 2014-7-10 16:05
...知道啥叫"升级安装"程序组么..
明显安装包要进这个组,不然弹窗烦死了
MD默认就有这个组

这个组本来权限就放的很开

自己把安装程序弄进去，软件按照规则设置开放权限不拦截，到最后还要怪软件不拦截   导致安装了软件

奇葩

这句话还给你   

[mw_shl_code=css,true].知道啥叫"升级安装"程序组么..[/mw_shl_code]

fuzhk

百度流氓安装包签名貌似都是 铁壳。。