超越白加黑的另类写启动方式

显示全部楼层 · 发表于 2016-7-21 11:23:53

vm001 发表于 2016-7-21 11:16
都没有写入成功

我说了UAC要关了啊。。。。。

显示全部楼层 · 发表于 2016-7-21 11:26:21

本帖最后由 vm001 于 2016-7-21 11:30 编辑

kfa13 发表于 2016-7-21 11:23
我说了UAC要关了啊。。。。。

我试一下
-------------------
关了uac也不行

显示全部楼层 · 发表于 2016-7-21 11:38:15

vm001 发表于 2016-7-21 11:26
我试一下
-------------------
关了uac也不行

那我就管不着了。。
可能是不同机器programdata这个文件夹权限问题。

你可以把2.rar的快捷方式里的路径改成%userprofile%下的那个，这样就可以了。

显示全部楼层 · 发表于 2016-7-21 11:42:08

kfa13 发表于 2016-7-21 11:38
那我就管不着了。。
可能是不同机器programdata这个文件夹权限问题。

不行。。
不试了。。

显示全部楼层 · 发表于 2016-7-21 11:46:40

vm001 发表于 2016-7-21 11:26
我试一下
-------------------
关了uac也不行

唉，又费我3分钟重新弄了个1.rar
这回再不行我就不管了

显示全部楼层 · 发表于 2016-7-21 11:47:29

vm001 发表于 2016-7-21 11:42
不行。。
不试了。。

我擦，我又弄了个，你说不试了。。。

显示全部楼层 · 发表于 2016-7-21 16:25:57

本帖最后由莱薇于 2016-7-21 16:32 编辑

自锁

显示全部楼层 · 发表于 2016-7-21 19:15:38

本帖最后由 qftest 于 2016-7-21 19:19 编辑

kfa13 发表于 2016-7-21 11:47
我擦，我又弄了个，你说不试了。。。

来晚了，没下到最早的版本，第3版有反应
win7x64 UAC默认

没解压时执行lnk：
2016/7/21 19:08:07 已由访问保护规则禁止 QFTEST-PC\qftest C:\PROGRAM FILES\WINRAR\WINRAR.EXE C:\Windows\System32\expand.exe 用户定义的规则:01 调用Windows程序已阻止的操作: 读取

解压后执行lnk：
2016/7/21 19:01:38 已由访问保护规则禁止 QFTEST-PC\qftest C:\WINDOWS\SYSTEM32\EXPAND.EXE C:\users\qftest\appdata\roaming\microsoft\windows\start menu\programs\startup\1.exe 通用最大保护:禁止将程序注册为自动运行已阻止的操作: 创建

关闭VSE保护后SSP弹窗警告

关闭SSP后成功写启动

显示全部楼层 · 发表于 2016-7-22 02:28:03

本帖最后由 QlaqCfan 于 2016-7-22 02:34 编辑

第一种方法测试win10 x64 KIS2016 MR0(g) UAC全过程开启 成功进行复制

第二种方法因为UAC开启下权限不够失败

但是原样本中1.rar手动扫描结果无毒。更换成有毒的io.dat样本改名为1.rar并修改快捷方式参数进行测试。结果成功复制

但是本人怀疑是智能格式扫描导致不查杀，更换可执行exe样本，运行快捷方式。结果：KIS成功拦截exe并被查杀

所以本白加黑并没有实际意义。

显示全部楼层 · 发表于 2016-7-22 09:04:45

思路可以有

发一张图证明爱过。

[讨论] 超越白加黑的另类写启动方式

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源