排除被误报的批处理或powershell脚本文件的方法

显示全部楼层 · 发表于 2024-11-17 07:43:22

本帖最后由 bbszy 于 2024-12-9 16:07 编辑

bd对于批处理或者ps脚本的拦截查杀几乎接近于hips的一刀切，误报比较高，自己编写的uac提权的批处理都是直接拦截，很不方便。

网上的办法是直接让你关掉命令行、脚本文件监控，个人觉得得不偿失。

仔细观察后，拦截的都是mshta.exe或者powershell.exe执行脚本命令这一步，所以光排除脚本文件本身是无效的。

解决办法是把mshta.exe或者powershell.exe文件从系统目录复制到脚本文件同目录，脚本在执行的时候会优先在当前目录寻找文件，这时候只要在bd排除脚本目录下的mshta.exe或者powershell.exe就可以正常使用脚本，同时大大降低因排除带来的安全风险。

显示全部楼层 · 发表于 2024-11-17 16:27:06

这个方法不错，感谢分享！

[分享] 排除被误报的批处理或powershell脚本文件的方法

评分