同样是阻止病毒破坏"显示隐藏"，究竟哪些是对的？

苗条的猪

大家来讨论下，这是从大家的规则包里找出的规则，同样都是保护"显示隐藏" 的，怎么就弄出这么多了？

1.
包含：*
排除：
保护：HKULM     /SOFTWARE/Microsoft/Windows/CurrentVersion/Explorer/Advanced/Folder/Hidden/**
规则类型：值
阻止操作：写入，创建，删除

2.
包含：*
排除：
保护：HKULM     /SOFTWARE/Microsoft/Windows/CurrentVersion/Explorer/Advanced/Folder/Hidden/**
规则类型：项
阻止操作：写入，创建，删除

3.
包含：*
排除：
保护：HKULM     /HKULM/SOFTWARE/Microsoft/Windows/CurrentVersion/Explorer/Advanced/Folder/*Hidden/**
规则类型：项
阻止操作：写入，创建，删除

4.
包含：*
排除：
保护：HKLM     /SOFTWARE/Microsoft/Windows/CurrentVersion/Explorer/Advanced/Folder/Hidden/**/*
规则类型：值
阻止操作：写入，创建，删除

[ 本帖最后由 苗条的猪 于 2008-1-2 17:12 编辑 ]

ronin

保护：HKULM     /HKULM/SOFTWARE/Microsoft/Windows/CurrentVersion/Explorer/Advanced/Folder/*Hidden/**
规则类型：项
阻止操作：写入，创建，删除

这个是最全面的

苗条的猪

那第四个又代表什么呢？

深红的雪

四个都正确。因为病毒破坏显示隐藏功能都是更改注册表的“值”。之前我已经说过了，如果是阻止“项”+通配符“**”的话，同样可以阻止“值”的更改。因此上次的做法都是可以的。

而区别在于：
HKULM包含HKLM，范围更大，但其实没有必要。
至于“Hidden”和“*Hidden”的区别：*Hidden 还考虑到了superhidden这个项，更加全面。

建议做法：
包含：*
排除：
保护：HKLM     /SOFTWARE/Microsoft/Windows/CurrentVersion/Explorer/Advanced/Folder/*Hidden/**
规则类型：项
阻止操作：写入，创建，删除

苗条的猪

恩  谢谢了！