讨论一个

kfne12

所以不管你在启动上如何做文章都逃不过监控。R3的各种奇技淫巧也不如R0的一个监控。

木马都已经写了启动项了，直接加个驱就干掉360了。360都从用户电脑里消失了，还监控谁去？


那有人要问，不方便加驱，不加驱行不行呢？
当然也行。
设置AppCompatFlags
设置disablestackextension
设置pagefile为360tray.exe的位置
regload大法
shim机制
断网或者单独禁止360联网
阻止360加载系统的dll
这些方法都可以批处理办到，都可以让360启动不了或者无法正常工作,360都没防或者没完全防。
64位核晶上还可以CreateFile 独占打开360tray.exe什么的
#include <windows.h>
#include <stdio.h>
int main(int argc, char* argv[])  
{  
    HANDLE file_handle;  
    file_handle = CreateFile("d:\\test.exe",  
        GENERIC_READ,  
        0,  
        NULL,  
        OPEN_EXISTING,  
        NULL,  
        NULL);  
    printf("1.GetLastError=%d\n",GetLastError());  
      
    printf("Hello World!  file_handle=%p\n",file_handle);  
    getchar();  
    //CloseHandle(file_handle);  
    return 0;  
}
代码网上抄的，在线编译器通过。当然了，这个方法用批处理实现不了。

总之，只要想不到没有办不到。。。

实际上，重启后干掉一个AV不是很难的事情，如果不添加启动项，360也不会去刻意防这些方法。这以前李宜檑都说过的。

Anan20060615

提前启动反恶意软件：引导启动驱动程序初始化策略

不过应该没人会去故意开这个组策略。。。

peter08

干掉360是不明智的，干掉了就等于告诉别人电脑有问题了，和谐共处才是好的。
逃不过监控当然是不可能的，总会有办法的。
我确实没有研究过写启动，原来还有这么多方法啊。

kfne12

peter08 发表于 2018-5-28 17:47
干掉360是不明智的，干掉了就等于告诉别人电脑有问题了，和谐共处才是好的。
逃不过监控当然是不可能的， ...

不一定要干掉嘛，只要让av看似正常，实际不工作就行了。