自定义防护规则与白名单规则

xzykgc4mc3

系统是ltsb2015
系统里已事先安装火狐，从https://ftp.mozilla.org/pub/fire ... %20Setup%2098.0.exe下载文件
打算升级安装。安装截图，自定义选项如下

因为火狐安装包会释放exe文件到temp文件夹，并弹出uac安装，在此过程会删除用户自定义的文件Mozilla Firefox\distribution\policies.json，以及在c:\Program Files\Mozilla Firefox\browser\features写入xpi文件
所以事先写了这样一条自定义规则
源程序写成*\temp\*

1. *\Mozilla Firefox\distribution\policies.json
   
2. *\Mozilla Firefox\browser\features\*

复制代码

查看日志

部分日志

1. 【2】2022-03-14 21:31:49,高级防护,自定义防护,setup.exe触犯自定义防护规则, 已阻止
   
2. 
   
3. 触犯规则：modify firefox install
   
4. 操作类型：【删除】
   
5. 操作文件：C:\Program Files\Mozilla Firefox\browser\features\webcompat@mozilla.org.xpi
   
6. 操作结果：已阻止
   
7. 
   
8. 进程ID：6132
   
9. 操作进程：C:\Users\用户名\AppData\Local\Temp\7zS0214F987\setup.exe
   
10. 操作进程命令行："C:\Users\用户名\AppData\Local\Temp\7zS0214F987\setup.exe" /UAC:50304 /NCRC
    
11. 父进程ID：3804
    
12. 父进程：C:\Users\用户名\AppData\Local\Temp\7zS0214F987\setup.exe
    
13. 父进程命令行：.\setup.exe
    
14. >>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
    
15. 
    
16. 【3】2022-03-14 21:31:48,高级防护,自定义防护,setup.exe触犯自定义防护规则, 已阻止
    
17. 
    
18. 触犯规则：modify firefox install
    
19. 操作类型：【修改】
    
20. 操作文件：C:\Program Files\Mozilla Firefox\browser\features\webcompat@mozilla.org.xpi
    
21. 操作结果：已阻止
    
22. 
    
23. 进程ID：6132
    
24. 操作进程：C:\Users\用户名\AppData\Local\Temp\7zS0214F987\setup.exe
    
25. 操作进程命令行："C:\Users\用户名\AppData\Local\Temp\7zS0214F987\setup.exe" /UAC:50304 /NCRC
    
26. 父进程ID：3804
    
27. 父进程：C:\Users\用户名\AppData\Local\Temp\7zS0214F987\setup.exe
    
28. 父进程命令行：.\setup.exe
    
29. >>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
    
30. 
    
31. 【4】2022-03-14 21:31:47,高级防护,自定义防护,setup.exe触犯自定义防护规则, 已阻止
    
32. 
    
33. 触犯规则：modify firefox install
    
34. 操作类型：【删除】
    
35. 操作文件：C:\Program Files\Mozilla Firefox\browser\features\webcompat-reporter@mozilla.org.xpi
    
36. 操作结果：已阻止
    
37. 
    
38. 进程ID：6132
    
39. 操作进程：C:\Users\用户名\AppData\Local\Temp\7zS0214F987\setup.exe
    
40. 操作进程命令行："C:\Users\用户名\AppData\Local\Temp\7zS0214F987\setup.exe" /UAC:50304 /NCRC
    
41. 父进程ID：3804
    
42. 父进程：C:\Users\用户名\AppData\Local\Temp\7zS0214F987\setup.exe
    
43. 父进程命令行：.\setup.exe
    
44. >>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
    
45. 
    
46. 【5】2022-03-14 21:31:46,高级防护,自定义防护,setup.exe触犯自定义防护规则, 已阻止
    
47. 
    
48. 触犯规则：modify firefox install
    
49. 操作类型：【修改】
    
50. 操作文件：C:\Program Files\Mozilla Firefox\browser\features\pictureinpicture@mozilla.org.xpi
    
51. 操作结果：已阻止
    
52. 
    
53. 进程ID：6132
    
54. 操作进程：C:\Users\用户名\AppData\Local\Temp\7zS0214F987\setup.exe
    
55. 操作进程命令行："C:\Users\用户名\AppData\Local\Temp\7zS0214F987\setup.exe" /UAC:50304 /NCRC
    
56. 父进程ID：3804
    
57. 父进程：C:\Users\用户名\AppData\Local\Temp\7zS0214F987\setup.exe
    
58. 父进程命令行：.\setup.exe
    
59. >>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
    
60. 
    
61. 【6】2022-03-14 21:31:46,高级防护,自定义防护,setup.exe触犯自定义防护规则, 已阻止
    
62. 
    
63. 触犯规则：modify firefox install
    
64. 操作类型：【删除】
    
65. 操作文件：C:\Program Files\Mozilla Firefox\browser\features\pictureinpicture@mozilla.org.xpi
    
66. 操作结果：已阻止
    
67. 
    
68. 进程ID：6132
    
69. 操作进程：C:\Users\用户名\AppData\Local\Temp\7zS0214F987\setup.exe
    
70. 操作进程命令行："C:\Users\用户名\AppData\Local\Temp\7zS0214F987\setup.exe" /UAC:50304 /NCRC
    
71. 父进程ID：3804
    
72. 父进程：C:\Users\用户名\AppData\Local\Temp\7zS0214F987\setup.exe
    
73. 父进程命令行：.\setup.exe
    
74. >>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
    
75. 
    
76. 【7】2022-03-14 21:31:46,高级防护,自定义防护,setup.exe触犯自定义防护规则, 已阻止
    
77. 
    
78. 触犯规则：modify firefox install
    
79. 操作类型：【修改】
    
80. 操作文件：C:\Program Files\Mozilla Firefox\browser\features\screenshots@mozilla.org.xpi
    
81. 操作结果：已阻止
    
82. 
    
83. 进程ID：6132
    
84. 操作进程：C:\Users\用户名\AppData\Local\Temp\7zS0214F987\setup.exe
    
85. 操作进程命令行："C:\Users\用户名\AppData\Local\Temp\7zS0214F987\setup.exe" /UAC:50304 /NCRC
    
86. 父进程ID：3804
    
87. 父进程：C:\Users\用户名\AppData\Local\Temp\7zS0214F987\setup.exe
    
88. 父进程命令行：.\setup.exe
    
89. >>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
    
90. 
    
91. 【8】2022-03-14 21:31:46,高级防护,自定义防护,setup.exe触犯自定义防护规则, 已阻止
    
92. 
    
93. 触犯规则：modify firefox install
    
94. 操作类型：【删除】
    
95. 操作文件：C:\Program Files\Mozilla Firefox\browser\features\screenshots@mozilla.org.xpi
    
96. 操作结果：已阻止
    
97. 
    
98. 进程ID：6132
    
99. 操作进程：C:\Users\用户名\AppData\Local\Temp\7zS0214F987\setup.exe
    
100. 操作进程命令行："C:\Users\用户名\AppData\Local\Temp\7zS0214F987\setup.exe" /UAC:50304 /NCRC
     
101. 父进程ID：3804
     
102. 父进程：C:\Users\用户名\AppData\Local\Temp\7zS0214F987\setup.exe
     
103. 父进程命令行：.\setup.exe
     
104. >>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
     
105. 
     
106. 【9】2022-03-14 21:31:46,高级防护,自定义防护,setup.exe触犯自定义防护规则, 已阻止
     
107. 
     
108. 触犯规则：modify firefox install
     
109. 操作类型：【修改】
     
110. 操作文件：C:\Program Files\Mozilla Firefox\browser\features\webcompat-reporter@mozilla.org.xpi
     
111. 操作结果：已阻止
     
112. 
     
113. 进程ID：6132
     
114. 操作进程：C:\Users\用户名\AppData\Local\Temp\7zS0214F987\setup.exe
     
115. 操作进程命令行："C:\Users\用户名\AppData\Local\Temp\7zS0214F987\setup.exe" /UAC:50304 /NCRC
     
116. 父进程ID：3804
     
117. 父进程：C:\Users\用户名\AppData\Local\Temp\7zS0214F987\setup.exe
     
118. 父进程命令行：.\setup.exe

复制代码

可以看到日志里是有已阻止的记录
但火狐安装包还是在c:\Program Files\Mozilla Firefox\browser\features写入了xip文件
这是火绒规则失效了吗，还是洒家的系统太老旧，不支持。请问

火绒工程师

问题已收到，我们确认一下给您回复。

火绒工程师

您好，本地测试中，当覆盖安装火绒时选择允许【创建】操作时，重启电脑后出现给出路径下xpi文件被修改的现象。目前您给出的部分日志中未包含对【创建】操作的日志记录，所以需要问下这边在覆盖安装火狐时的完整日志。
如果没有保留日志的话烦请回忆下覆盖安装火狐时，针对类型为【创建】操作时是选择的允许还是阻止。

xzykgc4mc3

火绒工程师 发表于 2022-3-16 13:42
您好，本地测试中，当覆盖安装火绒时选择允许【创建】操作时，重启电脑后出现给出路径下xpi文件被修改的现 ...

谢谢官人提醒
洒家查看了下白名单规则
里面有一个规则自动允许所有程序在下列目录创建文件

1. >\Program Files*.>.*

复制代码

虽然写了这串自定义防护规则


但火狐在这个目录创建xpi文件时，也被自动允许了

1. C:\Program Files\Mozilla Firefox\browser\features\webcompat@mozilla.org.xpi

复制代码

弱弱问一声，白名单规则，有没有可能也记录进日志之中呢。或者能否选择性记录

火绒工程师

xzykgc4mc3 发表于 2022-3-16 17:28
谢谢官人提醒
洒家查看了下白名单规则
里面有一个规则自动允许所有程序在下列目录创建文件

您好，火绒自定义防护规则无法拦截火狐安装包在features目录写入xpi文件问题与自动处理规则设定为自动允许，触发规则后日志未记录对应信息问题目前确定为BUG导致，感谢您的反馈。
【BUGID 36530】【BUGID 36531】

火绒工程师

您好，经确认该问题属于系统操作逻辑导致的外部原因。
当用户允许创建但阻止修改删除操作后，火狐会对每个xpi文件创建对应的upgrade文件，并在系统里注册一个延迟重命名操作，当用户重启电脑后便会触发该操作，用upgrade文件将原xpi文件替换掉。延迟重命名操作在Win32子系统启动前执行，也就意味着它可以替换任何受Win32子系统保护的文件。
感谢您的反馈。

xzykgc4mc3

火绒工程师 发表于 2022-3-23 16:42
您好，经确认该问题属于系统操作逻辑导致的外部原因。
当用户允许创建但阻止修改删除操作后，火狐会对每个 ...

火绒官人，最近突然遇到火绒不能注册win安全中心的问题，问题如下图，请看看

火绒工程师

xzykgc4mc3 发表于 2022-4-6 12:16
火绒官人，最近突然遇到火绒不能注册win安全中心的问题，问题如下图，请看看

您好，当前版本windows defender防火墙与火绒的防火墙是并存的，但火绒不再注册防火墙，您正常使用即可

xzykgc4mc3

火绒工程师 发表于 2022-4-6 14:48
您好，当前版本windows defender防火墙与火绒的防火墙是并存的，但火绒不再注册防火墙，您正常使用即可

谢谢。不过，洒家的图片里显示的除了防火墙，还有病毒防护
里面同样显示的是win defender，看不到火绒
是这样的吗

火绒工程师

xzykgc4mc3 发表于 2022-4-6 17:19
谢谢。不过，洒家的图片里显示的除了防火墙，还有病毒防护
里面同样显示的是win defender，看不到火绒
...

目前不能确定没有接管病毒防护的原因，如果您方便的话麻烦微信扫码添加运营确认一下具体现场信息