强烈建议360不要做主防了。

kfne12

Atbroker这种很普通的管理员下干事的方法，
人家金山一个规则阻止startexe就搞定的事，360搞七搞八都防不住，对防御的理解是不是可以说高下立判呢？（暂且不考虑特殊方法修改注册表金山能不能拦截，就说规则层面）。我倒是觉得，什么事都是要综合辩证看的。360的驱动底层方面的知识水平高未必就代表对木马攻防的理解多深。

---------------------------------------------------------------
回到主题，关于启动方法，我已测试：
Configuration写到user下，360拦
Configuration写到machine下,我昨天发了个帖子后360拦了
写到AccessibilityTemp下，360不拦
写到HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Accessibility\SessionX下，
360不拦。

4种干事的方法，360只拦两种，其中一种还是我发帖后拦的，呵呵吧。。。
----------------------------------------------------------------
另外我之前没说，现在说明一下HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Accessibility\SessionX
这个怎么用。
这个可以用来不重启干事，重启或者注销就没用了。
不重启，先启动一个osk，然后再写入SessionX下面的Configuration，然后引发UAC，然后就可以玩父进程游戏了。
---------------------------------------------------------------

当然了，360防不住不要紧，wow说了，ring3这些奇技淫巧没用。360有ring0层面的进程链监控。貌似加驱什么以后也都不怕了。

R3的各种奇技淫巧也不如R0的一个监控

所以还要主防干嘛呢？
我也觉得，主防这种东西向来拦君子不拦小人，多是误报。而且360主防又拖慢系统。
既然有ring0层面的进程链监控这个大杀器，干脆取消主防吧。

360客服

您好

针对您所说的这种情况，我们已经提交给相关技术人员进一步核实分析，感谢反馈。

wheyu。。。

360客服 发表于 2018-5-19 10:04
您好

针对您所说的这种情况，我们已经提交给相关技术人员进一步核实分析，感谢反馈。

国际版，左右两边不能做的和谐点么？把上面的白条整和谐点行不？不然看着真难受

cloud01

360这种叫做HIPS，我觉得自动化的还得是多步主防比较好 ，HIPS适合自己定制。

kfne12

刚才试了一下，现在的360貌似拦截了startexe了。不过AccessibilityTemp什么的不拦。
所以atbroker这个启动方法还是可以继续玩下去：劫持环境变量%systemroot%从而劫持osk.exe就好了。这个金山也不防。

注册表4处修改环境变量的地方，360只拦了2处。
machine下面那个360一直不拦，估计是怕误报（网上也有搞渗透的直接修改那个）
觉得劫持machine下的systemroot太暴力的话(弄得不好容易系统启动不了），可以劫持
currentuser下面的Volatile Environment\数字\
下面的systemroot用户变量，这个很好用，360也不拦。

劫持环境变量进行启动，也可以不劫持%systemroot%，劫持%ProgramData%从而劫持启动文件夹也可以。

不过这些乱七八糟的方法一直没木马用，去防这些木马不用的方法也没什么意义。所以我也就是瞎聊聊，把我刚才想到的说一下。。。。