轻松学毛豆（第二期）——合理减少弹窗

电脑发烧友

在此说明几件事情：
①任何安防措施都只是起到缓解作用的，因为攻击方式是千变万化的，而我们只是被动防御，所以杀软，HIPS等仅仅只是缓解攻击的工具，不能作为一个一劳永逸的选择。包括在教程里我也强调过。

②任何软件或人都会有不足的地方，但是不能够因为不足而忽略整体，教程是在原有基础上用来提高的，这和BUG基本没有什么必然关系。做教程是一件有意义的事情，对人来说可以分享知识，解决他人疑惑，是一件快乐的事情。对于软件来说，是在讨论和分享如何发挥该软件最大的作用，如果该软件存在不足，那么就是发挥该软件在存在不足的状态下最大的作用，也是有意义的事情。

③我在毛豆区呆的时间就算不长也不短了，至今我未看到一个帖子把毛豆推到神的位置上，而且近期的教程或多或少都在强调“正常使用”“不作死”之类的情况下，毛豆的可靠性还是挺高的。至于经常作死的人开着毛豆作死成功了，也是意料之中的事情。
     如有不对之处还请指教。

  我们在用毛豆的时候，或多或少的会遇到一些棘手的问题，恐怕稍微汇总以下，太多无用的弹窗就占了很大一部分了，那么如何合适的减少弹窗而不至于过分的降低安全性呢？我们一起来讨论以下。

减少弹窗的方法：
1.减少“询问”在规则中的出现次数。
2.增加例外规则（本帖不涉及例外阻止）
3.减少不必要的保护项目。
4.制定合适的规则之后开启学习模式进行规则学习，利用原规则中的全局规则对学习出来的规则进行优化，可以自动学习出合适的例外规则。


       首先对于“减少“询问”在规则中的出现次数”进行简要分析。
        什么情况下需要我们加入询问规则——可能造成危险但是正常使用的软件为了保证正常运行也需要进行的操作。
            例如加驱是杀毒软件必须进行的操作，但是恶意软件如果加驱的话后果不堪设想。
            广告屏蔽软件通常需要挂钩子来保证功能正常，但是恶意软件可能用来实现盗号等功能。
         到底什么样的操作我们需要“询问”，什么样的操作需要“允许”或“阻止”。
             需要在全局规则中直接阻止的操作（以COMODO的D+为例）——加载驱动，底层磁盘访问，直接物理内存访问。
             需要在全局规则中直接允许的操作（以COMODO的D+为例）——窗口消息（一般来说可以直接放行，但是据说有人遇到过发送消息进程会自动结束的情况。）
             需要在全局规则中询问用户的操作（以COMODO的D+为例）——修改注册表，修改文件，访问COM接口，创建进程，进程访问，进程终止，键盘访问，屏幕访问等前两条没有提到的操作。
         这里需要说一下，加载驱动属于“可能造成危险但是正常使用的软件为了保证正常运行也需要进行的操作”，为什么还要直接阻止呢？是因为大多数软件在正常使用的情况下是不需要加载驱动的。道理很简单，谁都懂，但是这种思路可以帮助我们解决很多问题。


        接着对于“增加例外规则”进行简要分析。
           例外规则是减少弹窗最有效的方法之一，适当利用的话要比第一种方法要有效得多。下面将对上一条提到的需要询问的操作加入例外规则。
              修改文件
                 文件有很多，有些文件是很重要的，需要好好保护，有一些文件则是经常需要操作的，我们需要放行，以下是我目前应用的例外规则。
                   允许所有文件修改以下位置
                     %temp%\*，?:\$Recycle.Bin\*，?:\Users\*\AppData\Local\Microsoft\Windows\INetCache\*，*\Temporary Internet Files*，*\Cookies*，*\Recent\*，*\*cache*，*\History*，?:\RECYCLER*，?:\Recycled\    以上为临时目录
                    允许所有文件修改以下位置
                      ?:\Documents and Settings\*\Application Data\*   这个属于共享目录
                    允许指定的程序修改自己的文件
              修改注册表
                 允许指定的程序修改自己的注册表
                 允许所有文件修改以下注册表
                   注册表组—临时注册表
                 允许浏览器和QQ修改以下注册表
                   注册表组—IE键
                 允许资源管理器修改以下注册表
                   *\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\*
                   *\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.???\*
                   *\Software\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders\Common Startup
                   *\Software\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders\Startup
                   *\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\*
                   *\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler\*
                   HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\*\shell\*
                   *\Software\Microsoft\Windows\Currentversion\Explorer\Browser helper objects\*
                 允许svchost.exe和聊天工具修改以下注册表
                   HKLM\SYSTEM\ControlSet001\services\rdyboost\Parameters\BootPlan
                   HKLM\SYSTEM\ControlSet001\Services\RdyBoost\Parameters
                   HKLM\System\CurrentControlSet\Services\RdyBoost\Parameters
                   HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System
                 允许浏览器修改以下注册表
                   HKUS\.DEFAULT\Software\Microsoft\SystemCertificates\Disallowed
                   HKUS\.DEFAULT\Software\Microsoft\SystemCertificates\Disallowed\Certificates
                   HKUS\.DEFAULT\Software\Microsoft\SystemCertificates\Disallowed\CRL
                   HKUS\.DEFAULT\Software\Microsoft\SystemCertificates\Disallowed\CTLs
                 


              访问COM接口（说明以下，在“受保护的COM接口”这一权限后面的修改里文件路径通配符是无效的，另外在COM组里加入文件路径也是无效的。）
                 允许所有软件访问以下COM接口
                   Shell.Explorer.*
                   C:\Windows\System32\svchost.exe（根据系统情况不同路径也可能不同）
              进程终止，运行可执行程序，进程内存访问的例外规则
                 允许指定的程序修改自己的进程内存，运行自己的程序，终止自己的进程
              安装钩子
                 允许所有软件安装以下钩子
                   %windir%\system32\shell32.dll
                   %windir%\system32\msctf.dll
                   %windir%\system32\browseui.dll
                   %windir%\system32\ieframe.dll
                   %windir%\syswow64\MSCTF.dll
        至于第三条很多时候看的是经验，第四条请参考此贴规则参考规则
           注意：学习模式学习出来的规则可能出现坑爹的情况——所有操作的处理方式全是允许，这是有极大的风险的，所以还是需要定期检查以下规则是否存在类似情况，因为就在我写这篇帖子的时候，我发现自动学习出来的office规则和IE规则就是这种情况。





做到以上之后，如果在这之前你正在为大量的弹窗烦恼，相信会解决你的一部分问题，目前来说我认为最有效的方法是制定好规则模版，直接利用学习模式生成例外规则，并定义检查不合适的规则。

      如有不对之处还请指教。

电脑发烧友

二楼备用

柯林

个人观点，学习模式对新人实际上可能用处不大，学习出来的往往是一大堆零碎东东，如果不加以提炼归纳，实在是太累赘了，当然从“科学”的角度讲，这个根本算不了什么，可以忽略（一个软件读取和比对几千条规则对于现在的电脑就是小菜一碟，秒闪的事情，没什么影响，影响的只是个人的观感）。

电脑发烧友

柯林 发表于 2016-4-2 09:09
个人观点，学习模式对新人实际上可能用处不大，学习出来的往往是一大堆零碎东东，如果不加以提炼归纳，实在 ...

似乎学习模式最明显的坏处就是看起来很乱，定期整理并将学习出来的例外规则加入预定义规则中 ，配合全局过滤，时间一长，规则的质量还是很高的，而且整理的过程还可以和一些路径混个眼熟，似乎好处还不少。但是整理过程有时也需要谨慎，一些学习出来的例外规则太松了。我认为学习出来的理想规则应该是只有例外规则，处理方式全是询问。

柯林

电脑发烧友 发表于 2016-4-2 09:48
似乎学习模式最明显的坏处&# ...

有道理，值得新手参考。

兄弟有时间整点疯狂模式的规则吧，现在折腾规则的少了，玩疯狂模式的更少，安全模式只适合一般安全需求。

HEMM

个人也讨厌学习模式，经常不小心关闭D+的时候选择到了，结果多出些恶心的规则，而且毛豆很烦的，规则建立没有修改建立时间显示，要从一大堆规则中找寻那个新建立的规则烦死了，MD就方便多了，学习了或者不小心点错了建立了不必要的规则，很快就能找到那个多余的规则剔除掉，剔除无效规则也超级方便。毛豆我根本不敢使用剔除规则的功能，我怕弄不好规则全没了，它有掉规则的BUG，一旦不小心选择了学习，我会很干脆的放弃掉所有规则，直接删除光重写= =

话说.....我这边也是低弹窗，不过大多是AD和FD以及ND上的....很少询问，我都把电脑内的排除完了......
RD.....不会，一个*........
COM很松.....其实是可以严厉的，毕竟可以大抄一把，嗯.......抄个几条，哎呀~好腻害！专业人士测病毒用的吧.......

电脑发烧友

柯林 发表于 2016-4-2 11:04
有道理，值得新手参考。

兄弟有时间整点疯狂模式的规则吧，现在折腾规则的少了，玩疯狂模式的更少，安 ...

        那个参考规则我编写的本意就是能够在开学习模式学习部分例外规则之后开启疯狂模式确保安全，只是现在还是需要整理归纳。
        安全模式我已经很久没开了。我编写规则的思路的变化
        首先是疑人不用，用人不疑。，对未知的程序加以限制，常用程序直接除了极个别危险权限以外全部不以限制。这么做虽然少了不少麻烦。一旦遇到未知程序直接入沙，全局中的权限全是阻止。麻烦还是很大，例如带毒不中毒，常用程序被恶意利用等。        

        接着是认识你也要防着你，即使你是我常用的程序，来源也很可靠，我也不允许你有一点可疑的动作，可疑动作直接打死，于是规则里基本没有询问，不是允许就是阻止。而且FD保护直接是?:\*，搞得规则刚出来的时候各种蛋疼，于是我搞出了大量的例外规则，收集各种软件的路径，但是没什么用，排除大量位置，包括解压目录，下载目录等，易用性远不如上一种思路，安全性也是建立在极低易用性的前提下。
        

        现在就是“松紧有度，不过度追求安全”，不再完全信任windows\* ，而是对一些系统目录进行降权，给予少数系统程序完整权限，利用全局减少弹窗，常用软件除了个别高危权限其余的都是询问，这样便于学习模式，学习出规则之后开启疯狂模式无视白名单，定期整理例外规则。而且最近我试着对系统的白名单程序加入了少数限制，例如运行白名单以外的系统程序是需要询问的，这样也可以在被恶意利用的情况下多一道防线，例如神网。
        之后的思路会是什么样我也不清楚了。

柯林

电脑发烧友 发表于 2016-4-2 11:34
那个参考规则我编写的本意就是能够在开学习模式学习部分例外规则之后开启疯狂模式确保安全，只是 ...

合适的时候放出来与大家分享下呗

电脑发烧友

柯林 发表于 2016-4-2 12:44
合适的时候放出来与大家分享下呗

分享是好事，这是当然的。

柯林

电脑发烧友 发表于 2016-4-2 13:11
分享是好事，这是当然的。

萝卜青菜，各有所爱，有人喜欢简单，有人喜欢强悍，发出来和喜欢疯狂模式的人交流下，原理上来说，还是只有疯狂模式最安全，能够漏的几率最小，安全模式或沙盘白名单，有时候还是显得粗了，极端环境下没用。