值得研究的SystemGuard

袋鼠吱吱

这个SystemGuard我一直感觉是时灵时不灵，仅就自启动项来说，有时候会报（比如QQ什么的），有时候又不报（像emule）

今天仔细试了试，发现这玩意儿其实很智能，他的白名单是基于行为创建的，判断的是程序对启动项操作的内容。白名单有一套预置的，另外用户可以添加。

举例子说：

1.emule安装时会添加自启动项目 c:\program files\eMule\emule.exe -AutoStart 注意后面那个-AutoStart

McAfee是不会报的，用Sreng创建一个完全相同的自启动项目（注意含有-AutoStart），McAfee也不会报，而用Sreng创建不含 -AutoStart的启动项（其余皆相同），McAfee就报，说明是“emule.exe -AutoStart”整个的在预置白名单内，如果程序创建的启动项与之相符则放行。

再测试，把emule程序剪切到其他路径，比如D盘根目录，创建启动项 d:\emule.exe -AutoStart McAfee立即报了，但若是剪切到D盘某个Program Files文件夹下（或Program Filesaaaa）不论位于哪个子文件夹里，都不报，说明只要路径为“\**\*program files*\**\emule.exe -AutoStart”（没有企业版无法验证，不知是不是该用**表达我的意思），如果程序创建的启动项与之相符则放行。

再测试，用记事本创建一个空文档，直接改名成emule.exe，然后放在各种路径下，用sreng创建自启动项目，都不会报。但如果给文档内写入内容使其有大小，再重复上述操作，除非路径符合“**\*program files*\**\emule.exe -AutoStart”，都会报。说明预置白名单还有一条规则即启动项目大小不为0.

2.在sreng创建启动项时，触发规则会弹框，这时如选Trust，则添加Sreng到可信列表。但并非把sreng所做的任何操作都排除，相反，与sreng无关，至于他的行为有关



我创建一个aa，使得开机自启foobar程序



咖啡拦截，我选择Remember this action加入白名单



看看加入了什么？不是Sreng，而是他创建的foobar，而且是特定路径上的foobar

我现在还不清楚是否另有一套白名单是基于创建启动项的程序建立的，比方adobe的安装程序就可以随意创建启动项在启动文件夹里，但也许又是根据行为排除的吧。。。

就写到这里觉得这个东西设计得很复杂。。。时灵时不灵只是一般的看法，其实对于病毒，应该是总能灵验的，可惜是监控的类目有点偏，监控的设置无法自定义。

[ 本帖最后由 袋鼠吱吱 于 2008-6-9 00:11 编辑 ]

chyphoenix

lz的研究精神好啊，原来个人版是这样的，学习了

其实也就是设置好规则的企业版吧  呵呵~~

袋鼠吱吱

原帖由 愿望 于 2008-6-9 10:50 发表
其实也就是设置好规则的企业版吧  呵呵~~

被你说破了，呵呵

asinasina

没仔细用过..

a750828

感覺SystemGuard還不是挺實用的，有一次不小心執行了病毒就整個放行，連彈窗提示都沒有....

wccs

应该是用了规则并在规则里排除了，就不会报了。