===暂不更新=等火绒正式版=后再试,==无需密码，卸载密码保护的火绒5========

yjwfdc

安全守护者 发表于 2019-3-24 12:19
操作进程：D:\VIRUS\样本\19324测试火绒4.0-5.0.0.70\测试火绒4.0-5.0.0.70.exe
命令行："D:\VIRUS\样本\1 ...

这个规则4.0好象也不难破，5.0要试试。

zdlzp

操作进程：C:\Documents and Settings\Administrator\Local Settings\Temp\360zip$Temp\360$0\测试火绒4.0-5.0.0.70.exe
命令行："C:\Documents and Settings\Administrator\Local Settings\Temp\360zip$Temp\360$0\测试火绒4.0-5.0.0.70.exe"
防护项目：火绒保护规则
操作目标：【读取】 C:\Program Files\Huorong\Sysdiag\uninst.exe
用户操作：已阻止

操作进程：C:\Program Files\Common Files\Tencent\QQProtect\Bin\QQProtect.exe
命令行："C:\Program Files\Common Files\Tencent\QQProtect\Bin\QQProtect.exe"
防护项目：火绒保护规则
操作目标：【读取】 C:\Program Files\Huorong\Sysdiag\uninst.exe
用户操作：已阻止

操作进程：C:\WINDOWS\Explorer.EXE
命令行：C:\WINDOWS\Explorer.EXE
防护项目：火绒保护规则
操作目标：【读取】 C:\Program Files\Huorong\Sysdiag\uninst.exe
用户操作：已阻止

操作进程：C:\Program Files\Huorong\Sysdiag\uninst.exe
命令行："C:\Program Files\Huorong\Sysdiag\uninst.exe"
防护项目：火绒保护规则
操作目标：【读取】 C:\Program Files\Huorong\Sysdiag\uninst.exe
用户操作：已阻止

竟然调用QQProtect.exe卸载火绒？

yjwfdc

zdlzp 发表于 2019-3-24 12:22
操作进程：C:\Documents and Settings\Administrator\Local Settings\Temp\360zip$Temp\360$0\测试火绒4.0- ...

不是，那要很高技术才做得到的，只是qq自己想读而已。

安全守护者

yjwfdc 发表于 2019-3-24 12:21
这个规则4.0好象也不难破，5.0要试试。

我直接阻止了含un的程序。。。。

zdlzp

yjwfdc 发表于 2019-3-24 12:21
这个规则4.0好象也不难破，5.0要试试。

再修改一下，看能不能绕过自定义规则的拦截

skystars

yjwfdc 发表于 2019-3-24 11:59
下载顶楼的吧，没有密码

我要下载这个

yjwfdc

zdlzp 发表于 2019-3-24 12:38
再修改一下，看能不能绕过自定义规则的拦截

@www-tekeze @zdlzp @安全守护者 @你好，再见
更新一下，支持  简单规则。

安全守护者

zdlzp 发表于 2019-3-24 12:38
再修改一下，看能不能绕过自定义规则的拦截

改文件名什么的没有用，因为卸载程序必定会创建一个包含un的文件并执行

zdlzp

安全守护者 发表于 2019-3-24 12:54
改文件名什么的没有用，因为卸载程序必定会创建一个包含un的文件并执行

禁止读取  *\Huorong\Sysdiag\uninst.exe

zdlzp

yjwfdc 发表于 2019-3-24 12:54
@www-tekeze @zdlzp @安全守护者 @你好，再见
更新一下，支持  简单规则。

文件损坏，发蓝奏