规则最下面把全局询问改成全局阻止后，开机就不能运行Explorer了！

微笑低语

天月来了 发表于 2015-1-17 10:22
唉

人家Windows开机后，原本就是由Userinit.exe去启动Explorer.exe的。

谢谢！后来想明白了。

天月来了

微笑低语 发表于 2015-1-17 10:31
谢谢！后来想明白了。

全局阻止之前，必须要将从内核到用户层面的所有应该放行的规则建全，否则缺一个，就阻止一个的。

得亏你内核进程里是允许执行Userinit.exe，要不，估计你开机都开不进去了。

微笑低语

但如果不把规则写明白，全局阻止就不行。并且全局询问就可以，日志里面还没有任何提示！
只能认为是Comodo的内部机制就这样吧。

羽扇纶巾

微笑低语 发表于 2015-1-17 09:33
看了你的建议，我又试了几次。把执行Explorer.exe的权力分别给了 核心进程 组、logonui.exe，都没成功。 ...

呵呵，限制得够严的。嗯，点赞。

微笑低语

羽扇纶巾 发表于 2015-1-17 10:57
呵呵，限制得够严的。嗯，点赞。

看来真是闲的

羽扇纶巾

天月来了 发表于 2015-1-17 10:22
唉

人家Windows开机后，原本就是由Userinit.exe去启动Explorer.exe的。

反了，应该是资源管理器去调用Userinit.exe

羽扇纶巾

再说一下，XP系统的核心进程，永远轮不到Userinit.exe。允许资源管理器调用Userinit.exe，可以说这是必须的。但不是Userinit.exe去调用资源管理器——否则，就不符合严厉规则精神——事实上，这个做法根本上也是荒谬的。

第一，资源管理器无权调用核心进程。
第二，但是资源管理器必须调用部分被削权的系统进程以及应用软件主进程。
第三，资源管理器到底需要调用哪些进程，其难点与魅力甚至安全性主要取决于第二条。尤其在于“部分被削权的系统进程”

如果谁还要坚持认为Userinit.exe属于无所不能的核心进程，可以去调用资源管理器，那我只能说——要么你的规则有漏洞，要么你的Userinit.exe已经被利用。

微笑低语

天月来了 发表于 2015-1-17 10:34
全局阻止之前，必须要将从内核到用户层面的所有应该放行的规则建全，否则缺一个，就阻止一个的。

得亏 ...

你还是没明白：规则保持不变，就是改了最下面的全局规则，询问变成了阻止。就不行了。

微笑低语

羽扇纶巾 发表于 2015-1-18 22:41
再说一下，XP系统的核心进程，永远轮不到Userinit.exe。允许资源管理器调用Userinit.exe，可以说这是必须的 ...

关键是，核心进程没有启动Explorer。
看了下进程树，Explorer也不是哪个核心进程启动的。这样的显示，可能是因为系统启动以后，Userinit进程就退出了。
百度上面说：
    Userinit.exe是Windows操作系统一个关键进程。用于管理不同的启动顺序，例如在建立网络链接和Windows壳的启动。
Explorer只是个图形交互界面，应该是经由Userinit启动。比如不同的用户，会有不同的界面。
另外，Userinit虽然不是核心进程，但还是关键进程。况且，它什么也没干就退出了，不应该有什么危害。

微笑低语

羽扇纶巾 发表于 2015-1-18 22:41
再说一下，XP系统的核心进程，永远轮不到Userinit.exe。允许资源管理器调用Userinit.exe，可以说这是必须的 ...

看了下进程树，Explorer也不是哪个核心进程启动的。这样的显示，可能是因为系统启动以后，Userinit进程就退出了。
刚才重起系统，马上察看进程列表，还真是我上面的猜测。后来，Userinit就不见了。