让我来吐槽一下COMODO 8 10 11 版本的通病！

swizzer

rex_bbs 发表于 2018-6-28 16:27
同时发现一个有趣的现象，见下图，被删除程序的图标和删除提示上的图标不一致，提示上的图标是被覆盖的源文 ...

莫非是系统的缓存机制所致？

太古汇聚

不同文件使用同一hash值的可能性不大，而且需要路径和hash值都一样符合信任白名单，并需要成功替换文件，如果非用户操作，是否说明系统权限部分已被非法获取了？
纯墙缺少海量的云文件信誉库，文件如果是未知，要判断识别需要提取特征码，可是各种计算机文件是按亿计数的，云端库数据的强悍体现了厂商的技术积累程度，如此多的文件都入库很难，只能对关键文件入库识别，如果安装有厂商的扫描程序可以直接扫描代码判断安全性，而本地库+云端库无法判断的未知文件通过行为判断有异常会立即提示并上报厂商分析，但纯防火墙基本靠行为分析未知文件，做到这些确实很难。

HEMM

我来说，我不怕~因为我没开
天使李子很严格哦~

swizzer

太古汇聚 发表于 2018-6-28 17:31
不同文件使用同一hash值的可能性不大，而且需要路径和hash值都一样符合信任白名单，并需要成功替换文件，如 ...

不是同一hash啊，是不同hash而文件名相同的文件替换后hash验证失效

太古汇聚

swizzer 发表于 2018-6-28 18:00
不是同一hash啊，是不同hash而文件名相同的文件替换后hash验证失效

白名单的权限级别较高，本地白名单可能是靠路径识别添加信任，用户直接修改，权限默认允许，但是如果是调用可执行文件自行修改或删除覆盖白名单内的文件，HIPS是否会提示呢？

官方确认了bug，那应该确实是bug了，但是个人感觉是可以避免的

rex_bbs

现在的测试结果是只要自动沙盒开着,肯定会有提示或直接自动入沙,关闭的情况下仅靠HIPS没想到怎么测试好.同时,文件列表里肯定有问题有时会出现一条新的文件记录,有时不会且文件列表双击看到的HASH值没有变动.
看11版发布说明里有写是说修正了这个问题.

tg123321

lixihong10 发表于 2018-6-28 16:42
HIPS直接过了。

hips规则信任的权限高，且是用同样无法识别的文件测试的，毛豆依照路径来进行判断，当然不会拦；你如果通过把文件加入信任评级列表的方式信任该文件，替换后毛豆是可以识别的

Candygu

借用一下楼主的步骤和截图，我反馈给官方。谢谢

ELOHIM

可能是因为COMODO对自己的缓存数据没有二次/多次验证机制而只是单纯的文件名提取？
这在安全界也太闹了。

lixihong10

tg123321 发表于 2018-6-28 20:31
hips规则信任的权限高，且是用同样无法识别的文件测试的，毛豆依照路径来进行判断，当然不会拦；你如果 ...

7.
A public bug 2355 was raised by moderators, where HIPS does not alert for actions when previously trusted rated application is changed to unrecognized7。
机器翻译：一个公共的bug 2355由版主提出，其中HIPS在先前可信的应用程序被更改为未被识别时不提醒动作。

但是更新日志说这个问题被修复。