沙盘模式的增强

柯林

默认沙盘模式，不开hips，目的是最佳通用性。如何在最佳易用的基础上，提高防御力？
可供试验的方式之一，是简单加强式。具体方法如下，有多大的效果及有效性，感兴趣的自己试验：

文件分组，新建“未知病毒防御组”，添加如下文件：
*.OCX
*.DLL
*.SYS
*.JS
*.JSE
*.VBS
*.VBE
*.WSF
*.WSH
*.PS1
*.PSC1
*,MSI
*.TMP

受保护的文件里，引用该组，添加为监控对象

自动沙盘规则里，新建规则置顶，引用该分组，信誉未知，操作阻止

对于一般来说不拦截dll加载的HIPS（如毛豆之类），是否可以用沙盘阻止指定dll的读取执行，有兴趣的豆油自己实验

HEMM

好累！我加了个EMET......= =。

柯林

HEMM 发表于 2016-4-3 16:06
好累！我加了个EMET......= =。

下午抽时间实验了下，没用用，毛豆从五点几版本取消了dll加载控制，没有用，用毛豆家的CLT测试了下，管不了dll加载，这方面比起麦咖啡的模块加载控制差老远了，或许方式不同，毛豆的玩点在com接口、设备控制之类，测试中发现很多有趣的东西，我新开个贴交流下。

HEMM

柯林 发表于 2016-4-3 20:54
下午抽时间实验了下，没用用，毛豆从五点几版本取消了dll加载控制，没有用，用毛豆家的CLT测试了下，管不 ...

你是说加EMET没用？是怕它们俩货打起来啊？

柯林

HEMM 发表于 2016-4-3 22:50
你是说加EMET没用？是怕它们俩货打起来啊？

那个应该有用的，各人习惯问题，我喜欢机子轻快，不想无谓的资源开销，不想装那些东西。

HEMM

柯林 发表于 2016-4-3 23:00
那个应该有用的，各人习惯问题，我喜欢机子轻快，不想无谓的资源开销，不想装那些东西。

EMET的资源占用低到可以忽略，除了打开某些文件，CPU会高那么一丝丝很快的速度就下去了.....
EMET就是挫了点，没有WIN732位时用的感觉那么霸道。