四入四出神网，解开神网的“注入”谜题！

墨家小子

深山红叶__ 发表于 2016-4-18 23:35
是shellexecutehook，hips基本都会拦截，这已经是很久之前的注入方法了，大概和appinit差不多。
由于我 ...

你太天真。。

墨家小子

qftest 发表于 2016-4-19 00:01
又仔细看了一遍LZ录像，然后对比我以前的comodo笔记，确实应该拦截啊

LZ没开RD保护？

图挂了吗？

墨家小子

liulangzhecgr 发表于 2016-4-19 12:51
不懂大牛们的语言。

说了一万多句话其实就是谁能拦截到这一步谁牛逼

2016/4/19 10:53:06    修改其他进程的线程    允许
进程: c:\program files\internet explorer\iexplore.exe
目标: c:\windows\system32\conhost.exe
规则: [应用程序]c:\program files\internet explorer\iexplore.exe

lixihong10

墨家小子 发表于 2016-4-19 18:57
你说是非注入，那怎么解释explorer这种怪异行为的出现？

这个是 explorer 加载的。
就像你 右键添加到压缩文件 这个就是加载。
这个不是注入吧

qftest

墨家小子 发表于 2016-4-19 19:01
友谊的小船说翻就翻啊
X64下SSF对于29行为类型防御根本没有

所以才赌十块钱的，基于理论上的推测
事实上我看这帖子是越看越象 http://bbs.kafan.cn/thread-1692055-1-1.html
哪位大神x32 ssf去神网验证下？
如果报以下行为那么以上理论就被推翻
51 communicate with other process
26 change protected registry key

qftest

墨家小子 发表于 2016-4-19 19:02
图挂了吗？

不知道啊，应该是卡饭的问题吧，我看附件截图好好的却没显示出来
那图是说comodo内置有相关的注册表key防护，理论上疯狂模式应该可以拦截

深山红叶__

墨家小子 发表于 2016-4-19 18:59
我的SSF对于explorer只有24、47、57这三项行为类型是记住放行的，为什么没有拦截到我也不清楚了

conhost没有修改壳进程内存的行为，将黑dll添加到clsid中，再一次创建explorer进程时，explorer加载dll。

墨家小子

lixihong10 发表于 2016-4-19 19:06
这个是 explorer 加载的。
就像你 右键添加到压缩文件 这个就是加载。
这个不是注入吧

问题是这个“explorer”为什么会出现不寻常的行为？源头在哪？explorer这个老好人不会平白无故被利用吧？
再有你承认不承认ie被恶意代码控制之后注入conhost？这一连串的行为是不是要从源头说起？

墨家小子

qftest 发表于 2016-4-19 19:09
所以才赌十块钱的，基于理论上的推测
事实上我看这帖子是越看越象 http://bbs.kafan.cn/thread-16 ...

我的explorer没有26这个行为类型出现，所以SSF对于有26行为的explorer应该能捕捉到

墨家小子

深山红叶__ 发表于 2016-4-19 19:13
conhost没有修改壳进程内存的行为，将黑dll添加到clsid中，再一次创建explorer进程时，explorer加载dll。

我认为是ie注入conhost，基于测试中看到ESET HIPS和VIPRE分别证实了（以及后续的注入）。楼主证实的是explorer启动木马并非注入，推翻了我测试的一部分（我认为explorer是被注入）。那我说的ie注入conhost（以及后续的注入）能不能给我推翻？