别跟我说什么主防什么HIPS ，防护系统程序不受侵入才是王道，VoodooShield你过来！

qftest

已将神网地址发送给spyshelter，并上传了SSF/ESET对比图与神网实例图和鸟语说明，这次绝对绝对只强调注入不聊别的。。
不知道这次官人会怎么说以及需要等多久才有回复

qftest

https://malwaretips.com/threads/ ... to-intercept.57460/
已通过PM与Dan神关系好的hjlbx反馈给VS官方，Dan神暂时没有反应

jefffire

墨家小子 发表于 2016-3-23 10:57
没错，我就是想模仿一下，毕竟漏洞在补丁之前，我本意是想提醒一下主防对于这一类的注入有所重视，虽然比 ...

IE启动conhost 感觉才是拦截的重点，这个时候IE已经被恶意代码控制住出现异常行为 应该果断咔嚓。
之后的注入技术，可能是用了父进程注入这样的，具体不保证正确没分析过。但是拦截不拦截实际上已经是亡羊补牢了。

墨家小子

胖福 发表于 2016-3-23 11:58
这个网址需要哪些条件才行？我的谷歌浏览器能触发吗？还是必须IE才行！

用IE吧，谷歌浏览器我没试过，我用IE，然后必须SS全局，注销之后还得是全局，国内IP那些联网的系统程序马上老实，有的SS IP还不行，有一位兄弟试过可以重现

墨家小子

qftest 发表于 2016-3-23 12:10
已将神网地址发送给spyshelter，并上传了SSF/ESET对比图与神网实例图和鸟语说明，这次绝对绝对只强调注入不 ...

然而你忘记了说请他们出示SSF可以像ESET hips那样拦截explorer注入的截图

墨家小子

qftest 发表于 2016-3-23 12:14
https://malwaretips.com/threads/voodooshield-failed-to-intercept.57460/
已通过PM与Dan神关系好的hjlb ...

哭了，看来想中毒也要看人品的，为什么我去一次中一次，你们都没事，先天免疫吗？

Please send PM to me with steps. You just visit page ? I visit page - but no action = nothing happens. Malicious content still active ?

墨家小子

jefffire 发表于 2016-3-23 12:56
IE启动conhost 感觉才是拦截的重点，这个时候IE已经被恶意代码控制住出现异常行为 应该果断咔嚓。
之 ...

IE启动conhost就感觉怪怪的，问题是IE被恶意代码控制这一步主防是不是毫无办法？除非像HMPA Malwarebytes Anti-Exploit这种才能拦截到？要是只有他们才能拦截到，那杀软的网页防护确实不能关闭了，光依靠本地防御完全不够看了（我以前都是关闭网页监控的），然后有的杀软网页监控嗷嗷卡啊~~

情天y

jefffire 发表于 2016-3-23 10:29
防漏洞还是要靠打补丁

好有道理

jefffire

墨家小子 发表于 2016-3-23 13:35
IE启动conhost就感觉怪怪的，问题是IE被恶意代码控制这一步主防是不是毫无办法？除非像HMPA Malwar ...

HIPS确实没有办法。这种就叫远程代码执行漏洞。
这只是利用单一漏洞，如果再配合一个本地权限提升漏洞，莫名其妙就跑进内核了 。

jefffire

墨家小子 发表于 2016-3-23 13:35
IE启动conhost就感觉怪怪的，问题是IE被恶意代码控制这一步主防是不是毫无办法？除非像HMPA Malwar ...

网页防护 流量监控有效，因为这个漏洞肯定不是0Day，相关特征都入库了。