一个简单的 NTFS 权限控制保护测试。

显示全部楼层 · 发表于 2017-10-10 22:16:18

本帖最后由 ELOHIM 于 2017-10-10 22:17 编辑

直接切正题。

OS 名称:       Microsoft Windows XP Professional
OS 版本:       版本 5.1 （内部版本号 2600.xpsp_sp3_qfe.170427-1622:Service Pack 3）
OS 制造商:       Microsoft Corporation
OS 配置:       独立工作站

将安全软件 Symantec Endpoint Protection 12.1.6 MP8（SEP）
和 Windows Intune Endpoint Protection 4.4.304.0（WIEP）全部禁用。
注释：SEP默认安装，带有反病毒组件。

将样本（两款安全软件都可以查杀）解压至目标文件夹内。设置NTFS权限如下：
取消继承，删除所有用户的所有操作权限。

双击文件夹，已经被拒绝：

首先使用 SEP扫描，结果如下：

下面使用WIEP扫描，结果如下：

此时恢复 NTFS 权限，目标文件夹内已被清空。
以上，仅供参考。
欢迎质疑并跟进测试。
注释：此次测试并未更改文件夹的所有者权限。
样本如下：

显示全部楼层 · 发表于 2017-10-11 08:33:31

也只有微软的wd才能有权限访问了。试了MES同样无法访问查杀。

这个样本wd监控不报，右扫报了。监控和扫描的级别还不一样啊。

显示全部楼层 · 发表于 2017-10-11 10:46:25

jone_jys 发表于 2017-10-11 08:33
也只有微软的wd才能有权限访问了。试了MES同样无法访问查杀。

这个样本wd监控不报，右扫报了。监控和扫 ...

MES 是麦咖啡吗？

扫描的话，WD貌似可以脱机扫描，bootsector扫描，等等多种。
可以调用服务器端资源进行鉴定。使用启发技术。使用信誉鉴定。使用用户设置的策略鉴定。

监控的话，我个人理解的是，只要有读写操作才行。如果没有发现，或者发现不了读写行为，那么监控机制就不会生效了。。也就解释了某些情况下，监控不报，扫描报的情形。

昨天咨询一位大神，他说是系统Ring0级别技术和软件Ring0级别技术的区别导致。

你手上还有别的杀毒吗？可以测试一下。。

显示全部楼层 · 发表于 2017-10-11 11:43:01

文件夹设置权限后，除了WD，第三方安软都是无法访问的。应该是除了微软自己有高权限的程序可以访问，其他所有程序包括病毒也都没辙的。

试了迈克菲，火绒都没法访问。

关于安软的监控时有时无的情况，暂且只能用“抽风”来解释了。除了WD有这样的问题，我用过的其他安软同样有此问题。

显示全部楼层 · 发表于 2017-10-11 11:48:03

jone_jys 发表于 2017-10-11 11:43
文件夹设置权限后，除了WD，第三方安软都是无法访问的。应该是除了微软自己有高权限的程序可以访问，其他所 ...

好的。。

不知道微软有什么黑科技。
... ...
一个大波大佬正在赶来的路上……

显示全部楼层 · 发表于 2017-10-11 11:58:25

ELOHIM 发表于 2017-10-11 11:48
好的。。

不知道微软有什么黑科技。

什么是大波大佬？是不是奶子比女人大的那种

显示全部楼层 · 发表于 2017-10-11 12:11:57

见朕骑妓的时刻发表于 2017-10-11 11:58
什么是大波大佬？是不是奶子比女人大的那种

就是技术盖世，观点中肯，人格完善的人。

显示全部楼层 · 发表于 2017-10-11 12:23:03

ELOHIM 发表于 2017-10-11 12:11
就是技术盖世，观点中肯，人格完善的人。

比如说你？

显示全部楼层 · 发表于 2017-10-11 12:48:40

见朕骑妓的时刻发表于 2017-10-11 12:23
比如说你？

不对。是你。

你怎么看这个结果？？

显示全部楼层 · 发表于 2017-10-11 22:08:31

只有自己了解自己

[新手上路] 一个简单的 NTFS 权限控制保护测试。

本帖子中包含更多资源