是否应该排除C:\WINDOWS\system32\wbem\wmiprvse.exe

显示全部楼层 · 发表于 2016-4-13 19:02:13

其实是个HIPS问题姑且发这儿吧
用VSE规则监视HKLM/system/**/services/**，即系统服务情况
看日志得知每次开机均会有C:\WINDOWS\system32\wbem\wmiprvse.exe修改或创建服务（已确认无风险）
那么将C:\WINDOWS\system32\wbem\wmiprvse.exe加入白名单是否有风险？本小白感觉只要阻止恶意程序调用（或注入）wmiprvse.exe就行了吧

看了下@柯林大大的规则，他这里监视服务的白名单为C:\Program Files**, c:\windows\system32\*.exe, chrome.exe
没有包括 c:\windows\system32\下二级目录的exe文件不知是失误还是有意为之？

显示全部楼层 · 发表于 2016-4-14 08:34:22

啥操作系统？

显示全部楼层 · 发表于 2016-4-14 18:38:19

可以排除。。。

看了下@柯林大大的规则，他这里监视服务的白名单为C:\Program Files**, c:\windows\system32\*.exe, chrome.exe
没有包括 c:\windows\system32\下二级目录的exe文件不知是失误还是有意为之？

c:\windows\system32\*.exe 已经包含了C:\WINDOWS\system32\wbem\wmiprvse.exe

[求助] 是否应该排除C:\WINDOWS\system32\wbem\wmiprvse.exe