本宝宝对360的lnk防御不解了。。

kfne12

昨晚又捣鼓了一下lnk.

结果发现一个事情。
-----------------------------------------------------

新建一个test.lnk,路径为
c:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe get-command *-service

浏览器传输一下，下载下来，winrar解压到本地文件夹后，运行test.lnk（不要再压缩包内直接运行lnk）

360肯定拦截的对不。

然后我们拿出c32asm

把这个lnk托进去

编辑-跳到-offset
填
15
然后把
00
改成
50
或者其他比较大的数字
（这个可以算是不让lnk文件显示右键路径的一个小技巧，貌似很多msi生成的快捷方式，那个地方就是50）

另存为test2.lnk

把这个test2.lnk压缩下，同样浏览器传输一下，下载下来解压到本地，运行。360不拦截了。

本宝宝好奇的是：改成50就不拦截，这是性能优化，减少误报呢。还是解析lnk格式出了问题呢？

360主动防御

你好，感谢反馈，我们本地验证下

kfne12

360主动防御 发表于 2019-8-8 12:05
你好，感谢反馈，我们本地验证下

这也不是啥新方法。

我2016年的时候，2楼就说了当时我觉得很新鲜的发现。
https://bbs.kafan.cn/thread-2051680-1-1.html


所以我昨天试了发现360碰到改成50的lnk就哑火，觉得很奇怪。我在想是不是当时那个帖子我没表述清楚。。。

kfne12

试了下，后续的powershell如果是下载别的木马的话，还是会拦截。所以只是最开始那个环节不拦截，后面都拦截。这个问题不算啥。。