浅谈自我保护功能（修改）

规则就够我学的了，加上自我保护就更晕了，还是先放放吧。。。

jony327

原帖由 huai168an 于 2008-6-14 13:06 发表
你的意思是说application rule中的hook是有两种情况：自己挂钩别的文件和被别的文件挂钩 ，protection中应该是防止被挂钩

不好意思打错了，是说acess right和protection分别是hook和被hook，对同一程序而言没有优先级的问题，所以在protection中的设置不影响acess right中的报警

huai168an

原帖由 jony327 于 2008-6-14 22:59 发表

不好意思打错了，是说acess right和protection分别是hook和被hook，对同一程序而言没有优先级的问题，所以在protection中的设置不影响acess right中的报警

protection中的设置不影响acess right中的报警，你的意思是说：protection的hook无论如何设置都不影响acess right中的hook设置 还是没明白你的意思，还是说protection中的设置不影响acess right规则中的很多项（如run an executabled等）的相关报警

自我保护中就保护4个相关内容，也就对应acess right中的4个对应内容，对应内容就是有了对应规则的优先级了。protection的优先级不是与acess right这个整体来对比，当然不影响或者较少的影响了acess right中的报警，这是不用怀疑的啊，这也是局长说的“没有太大作用的”原因。自我保护还是有一定的小作用的。

[ 本帖最后由 huai168an 于 2008-6-14 23:28 编辑 ]

jony327

原帖由 huai168an 于 2008-6-14 23:08 发表

protection中的设置不影响acess right中的报警，你的意思是说：protection的hook无论如何设置都不影响acess right中的hook设置 还是没明白你的意思，还是说protection中的设置不影响acess right规则中的很多 ...

当然都是指的hook项，你文中在protection中对shell32.dll的设置，不会影响到IE对shell32.dll的hook。。。

huai168an

被你忽悠到了，你没看我最后的那段话啊
对于这个特殊的dll，自我保护基本无效。


[ 本帖最后由 huai168an 于 2008-6-14 23:52 编辑 ]

伯夷叔齐

原帖由 jony327 于 2008-6-14 23:41 发表

当然都是指的hook项，你文中在protection中对shell32.dll的设置，不会影响到IE对shell32.dll的hook。。。

protection settings的中断进程、修改内存空间、WINDOWS消息和acess rights中断进程保护、保护被修改内存空间、windows消息保护当然不一样了。执行与被执行，修改与被修改，发送与接收的关系。
全局钩子有主动与被动的区别！！我想这是关键。

[ 本帖最后由 伯夷叔齐 于 2008-6-15 00:02 编辑 ]

huai168an

jony327 一说我也纳闷呢。不过没看到那几个字，害的我也一直在想hook和被hook。shell32.dll我想应该是被动型的。

[ 本帖最后由 huai168an 于 2008-6-15 00:06 编辑 ]

jony327

原帖由 伯夷叔齐 于 2008-6-14 23:55 发表

protection settings的中断进程、修改内存空间、WINDOWS消息和acess rights中断进程保护、保护被修改内存空间、windows消息保护当然不一样了。执行与被执行，修改与被修改，发送与接收的关系。
全局钩子有主动与被 ...

在protection中设的是IE是否允许被hook,在这里设置不会影响到IE install hook,我的理解不对吗？

伯夷叔齐

原帖由 jony327 于 2008-6-15 00:17 发表

在protection中设的是IE是否允许被hook,在这里设置不会影响到IE install hook,我的理解不对吗？

不好意思，我引用错了。

huai168an

就shell32.dll而言是这样的，可是这样的install hook不多哎，而且最好是ask