comodo在允许访问服务后不拦加驱？

显示全部楼层 · 发表于 2008-11-29 14:15:17

没有具体给权限，C:\windows\*和C:\Program Files\*都是一样的权限，这样规则非常简洁。device installation是ask，modify里面允许C:\WINDOWS\system32\drivers\*.sys

显示全部楼层 · 发表于 2008-11-29 14:31:48

Device Installation的设置学习了，以前没考虑过，这样应该能解决SCM驱动拦截的问题。不过恶意程序加载system32下的驱动依然需要认真判断

[ 本帖最后由 magiscoldeye 于 2008-11-29 14:33 编辑 ]

显示全部楼层 · 发表于 2008-11-29 14:48:06

恶意程序加载system32下已有的驱动会有什么危害吗？它如果修改驱动或拷贝自己的驱动进去都有fd拦着。

显示全部楼层 · 发表于 2008-11-29 15:21:44

浅析部分常用HIPS对SCM的行为控制：
http://bbs.kafan.cn/viewthread.php?tid=263063

显示全部楼层 · 发表于 2008-11-29 15:22:07

原帖由 distance0 于 2008-11-29 14:48 发表
恶意程序加载system32下已有的驱动会有什么危害吗？它如果修改驱动或拷贝自己的驱动进去都有fd拦着。

自己回答一下，呵呵。即使恶意加载drivers里面的多个驱动能造成冲突，也只可能是有人看了我的规则，专门写个程序来故意整我，这种可能性几乎为0。

显示全部楼层 · 发表于 2008-11-29 15:33:07

有时候驱动不一定在system32下，也不一定就是sys
http://bbs.kafan.cn/thread-375997-1-1.html

显示全部楼层 · 发表于 2008-11-29 15:38:11

当然，后来的机器狗还用tmp文件做驱动，不过我只允许了windows目录程序加载drivers目录sys驱动。其余不管什么都拦截。这样做是为了不影响正常驱动加载，比如插入u盘，系统要加载usb驱动，根本没有拦截必要。

显示全部楼层 · 发表于 2008-11-29 15:41:55

问题是CMD根本不拦SCM加驱，用户没有阻止的条件

显示全部楼层 · 发表于 2008-11-29 15:46:13

comodo不拦scm加驱？那应该是因为默认规则给了scm过高权限，看下2楼的图，我的规则是拦截的。

显示全部楼层 · 发表于 2008-11-29 15:51:36

新版改了吗

[讨论] comodo在允许访问服务后不拦加驱？