发现毛豆关于AppInit_DLLs处的问题。

woai3838338

今天用毛豆的时候发现的，，不知道是不是已经有人发过了。

安装毛豆后，在注册表会有一处改动：
注册表路径:HKLM\Software\Microsoft\Windows NT\CurrentVersion\Windows
注册表名称:AppInit_DLLs
注册表值: C:\Windows\system32\guard32.dll

很多时候，一些安全检查软件会把这个键值给删除，恢复默认。

用毛豆好久了，，感觉有没有这个键值，毛豆都照常工作。
不过今天发现，不是这样。
如果，把这个键值删除。那么毛豆就不会提示一些关于Protected COM interfaces.

发现过程：
       今天重装了系统，下午的时候，用了一些其他的安全辅助软件检测系统，由于一些原因，然后，我把遨游浏览的规则删除了。等再次创建遨游浏览器的规则时，发现，毛豆竟然不提示遨游浏览器对Shell.Explorer.2和
{9BA05972-F6A8-11CF-A442-00A0C90A8F39}的访问了。
       查找了以下，发现AppInit_DLLs键值被其他的软件删除了。

      于是，我重新安装了毛豆，再运行遨游浏览器，就提示了。


补充：个人感觉：如果这个键值被删除了，这些提示没有了，也就无法对这些访问进行控制。
而且，不仅仅是不提示，根本就是毛豆对这些访问不监控了。

[ 本帖最后由 woai3838338 于 2008-9-27 09:13 编辑 ]

huai168an

AppInit_DLLs被处理了，毛豆的部分提示会减少，如explorer调用程序的提示，但不会影响全部

楼主发现了这个要支持下

特邀体验者

恩``

  都知道啦`

还是顶楼主啊,多多钻研啊`~

临风之上

关于168通过注册表对AppInit_DLL键值权限的限制设置想法非常不错，可以解决大部分对AppInit_DLL键值的威胁，不过如果遇到冰刃级的怪物还是束手无策的，冰刃还是可以轻松改掉键值
所以大家的规则一定要完善哦，阻止一切不正常驱动的安装。

zoes

把这个放在Application里的Blocked。偶一直这么弄的。