请各位测试一下CHM漏洞是否又再生效了

雪落的瞬间

原帖由 dikex 于 2007-12-28 01:55 发表
突然有了这样的一个想法：那个chm文件就像可执行文件一样，人家给你了，你双击打开当然会中招了！

那么微软的补丁到底修复了些什么呢？

我想应该就是防止在IE里面加载这些有问题的文件，使得相关的网马失效。
...

Chm 文件是 hh.exe执行...

不想去想 无所谓注意就好...

a256886572008

Hello,樓主

用 universal extractor就可以把.chm裡的東西，

全部解壓出來了

我全部都解壓出來了，發現兩隻病毒

jimmyleo

UE当然也是必备的东东啦 哈哈～
昨天晚上该死的网又断了～

OBJ网马那个利用还是无效的吧

a256886572008

2007-12-28 08:00:40    執行應用程序      操作:允許
程序路徑:C:\WINDOWS\Explorer.EXE
檔案路徑:D:\mm.exe
觸發規則:所有程序規則->系統程式_黑名單->?:\*


2007-12-28 08:00:42    建立檔案      操作:允許
程序路徑:D:\mm.exe
檔案路徑:C:\WINDOWS\system\internat.exe
觸發規則:所有程序規則->全域設定_可執行檔案1_普通模式->*.exe

2007-12-28 08:00:49    建立檔案      操作:允許
程序路徑:D:\mm.exe
檔案路徑:D:\mm.exe.bat
觸發規則:所有程序規則->全域設定_可執行檔案1->*.bat


2007-12-28 08:00:50    執行應用程序      操作:允許
程序路徑:D:\mm.exe
檔案路徑:C:\WINDOWS\system32\cmd.exe
指令列:/c D:\mm.exe.bat
觸發規則:所有程序規則->系統程式_黑名單->*\cmd.exe


2007-12-28 08:00:51    刪除檔案      操作:允許
程序路徑:C:\WINDOWS\system32\cmd.exe
檔案路徑:D:\mm.exe
觸發規則:所有程序規則->全域設定_可執行檔案1_普通模式->*.exe


2007-12-28 08:00:52    刪除檔案      操作:允許
程序路徑:C:\WINDOWS\system32\cmd.exe
檔案路徑:D:\mm.exe.bat
觸發規則:所有程序規則->全域設定_可執行檔案1->*.bat

2007-12-28 08:00:43    執行應用程序      操作:允許
程序路徑:D:\mm.exe
檔案路徑:C:\WINDOWS\system\internat.exe
指令列:/sleepDown
觸發規則:所有程序規則->*


2007-12-28 08:00:47    執行應用程序      操作:允許
程序路徑:C:\WINDOWS\system\internat.exe
檔案路徑:C:\Program Files\Internet Explorer\IEXPLORE.EXE
指令列:http://www.smsunionmm.com/102/tj.htm
觸發規則:所有程序規則->系統程式_白名單->%ProgramFiles%\Internet Explorer\IEXPLORE.EXE

2007-12-28 08:02:00    執行應用程序      操作:封鎖
程序路徑:C:\WINDOWS\system\internat.exe
檔案路徑:C:\WINDOWS\system32\cmd.exe
指令列:/c dir Z:\*.exe /s /b >>C:\WINDOWS\win.log
觸發規則:所有程序規則->系統程式_黑名單->*\cmd.exe


2007-12-28 08:02:01    執行應用程序      操作:封鎖
程序路徑:C:\WINDOWS\system\internat.exe
檔案路徑:C:\WINDOWS\system32\cmd.exe
指令列:/c dir D:\*.exe /s /b >>C:\WINDOWS\win.log
觸發規則:所有程序規則->系統程式_黑名單->*\cmd.exe

2007-12-28 08:03:54    執行應用程序      操作:允許
程序路徑:C:\WINDOWS\system\internat.exe
檔案路徑:C:\WINDOWS\system\internat.exe
指令列:/update
觸發規則:所有程序規則->*


2007-12-28 08:04:19    建立檔案      操作:允許
程序路徑:C:\WINDOWS\system\internat.exe
檔案路徑:C:\WINDOWS\system\SYSTEM32.tmp
觸發規則:所有程序規則->全域設定_普通模式->*


2007-12-28 08:04:20    建立檔案      操作:允許
程序路徑:C:\WINDOWS\system\internat.exe
檔案路徑:C:\WINDOWS\system\SYSTEM32.vxd
觸發規則:所有程序規則->全域設定_普通模式->*


2007-12-28 08:04:22    刪除檔案      操作:允許
程序路徑:C:\WINDOWS\system\internat.exe
檔案路徑:C:\WINDOWS\system\SYSTEM32.tmp
觸發規則:所有程序規則->全域設定_普通模式->*

a256886572008

2007-12-28 08:09:33    執行應用程序      操作:允許
程序路徑:C:\WINDOWS\Explorer.EXE
檔案路徑:D:\main.exe
觸發規則:所有程序規則->系統程式_黑名單->?:\*


2007-12-28 08:09:35    建立檔案      操作:允許
程序路徑:D:\main.exe
檔案路徑:C:\WINDOWS\system32\kavrav.dll
觸發規則:所有程序規則->全域設定_可執行檔案1_普通模式->*.dll


2007-12-28 08:09:37    建立檔案      操作:允許
程序路徑:D:\main.exe
檔案路徑:C:\WINDOWS\SYSTEM32\MSSOKETS.DLL
觸發規則:所有程序規則->全域設定_可執行檔案1_普通模式->*.dll

2007-12-28 08:09:43    安裝服務或驅動      操作:允許
程序路徑:C:\WINDOWS\system32\services.exe
檔案路徑:\SystemRoot\System32\drivers\ws2ifsl.sys
觸發規則:所有程序規則->*


2007-12-28 08:09:45    建立登錄檔值      操作:允許
程序路徑:C:\WINDOWS\system32\services.exe
登錄檔路徑:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\WS2IFSL
登錄檔名稱:ImagePath
登錄檔數值:\SystemRoot\System32\drivers\ws2ifsl.sys
觸發規則:所有程序規則->服務_普通模式->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Services\*


2007-12-28 08:09:46    載入驅動程序      操作:封鎖
程序路徑:D:\main.exe
裝置名稱:WS2IFSL
觸發規則:所有程序規則->*


2007-12-28 08:09:47    載入驅動程序      操作:封鎖
程序路徑:C:\WINDOWS\system32\services.exe
裝置名稱:WS2IFSL
觸發規則:所有程序規則->*

a256886572008

樓主想看的圖

xqiafl

补丁，应该只是拦截了ＩＥ　调用ＣＨＭ的操作吧！

闪电战

CHM可以用7-zip这类软件打开，所以遇到不信任的CHM文件就直接解压里面需要的东西吧

googlehack

chm是不能轻易打开的

啊弥陀佛

微点砍掉