火绒高级威胁防护规则

显示全部楼层 · 发表于 2020-12-2 20:27:18

ffc754 发表于 2020-12-2 19:04
好久没来看火绒的规则了，直到昨天发现中毒了

怎么发现中毒的

显示全部楼层 · 发表于 2020-12-2 21:35:20

谢谢分享

显示全部楼层 · 发表于 2020-12-9 19:46:28

谢谢分享

显示全部楼层 · 发表于 2020-12-10 13:44:24

谢谢分享

显示全部楼层 · 发表于 2020-12-17 09:12:53

谢谢楼主分享。

显示全部楼层 · 发表于 2020-12-18 21:33:58

谢谢分享

显示全部楼层 · 发表于 2020-12-19 10:40:01

好贴，支持

显示全部楼层 · 发表于 2020-12-21 10:23:30

亲请问怎么才能下载喃

显示全部楼层 · 发表于 2020-12-21 10:37:21

本帖最后由 happy_kf 于 2020-12-21 23:37 编辑

公司电脑使用win10专业版，在套用规则的时候经常遇到如下情况：
win10自带的ump程序（比如天气、计算器、照片等）通过Windows update更新的时候，会在%temp%文件下新建一个随机名字的文件夹，并最终调用一个dismhost的程序进行更新。
这个时候规则会弹窗提醒，每次需要点击允许才行。

操作进程：C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
命令行：powershell.exe -ExecutionPolicy Restricted -Command $Res = 0; if((Get-WindowsOptionalFeature -Online -FeatureName IIS-WebServerRole).State -eq 'Enabled') { $Path = $env:windir + '\system32\inetsrv\config\applicationHost.Config'; if (Test-Path -Path $Path) { try { [XML]$Xml = Get-Content $Path } catch { $Res = 1 } }; } Write-Host 'Final result:',$Res
防护项目：[结束]系统进程防护.B.01
操作目标：【创建】 C:\Windows\TEMP\65B9E198-4D1C-4CC3-B3E6-8DE7FABCDB38\DismHost.exe
操作结果：已阻止

显示全部楼层 · 发表于 2020-12-22 00:50:15

谢谢分享！

[分享] 火绒高级威胁防护规则