网页监控的必要性

cheng1997

我想是不是这样，到有下载木马的脚本被执行时，木马刚刚到内存时就被拦截（还没执行），网页监控是不是扫描危险的下载脚本？毕竟一个网页怎么能装下一个木马呢。我看好像网页上加密的木马好像多是些下载连接，并不是嵌在网页上阿！！所以我觉得没必要
我人为所以的杀软监控都可以监控内存，干嘛扯到，病毒到不到硬盘呢，不管你有没有WEB监控，只要杀软认得，根本不会让你到硬盘，更不会让你在内存中执行
用了这么长的伞，没WEB监控。如果网页上有毒一样暴（浏览器（因为是病毒发起者）锁死，直到你确认怎么操作）从没中过毒（这是实践），

[ 本帖最后由 cheng1997 于 2009-1-7 21:13 编辑 ]

hypermax2

但是我觉得最好还是能御敌于国门之外
即使现在的攻击手段并不能穿破落地杀

但是总是要防范未知的攻击手段
其实受攻击最严重的时候，
恰恰是新木马或新攻击手法发明的时候

早一些监控到的确是有必要的

但是伞的WEBGUARD的确值得改进，我相信V9会做得更好~

albatross

原帖由 saga3721 于 2009-1-7 21:00 发表
很多毒微点要在它们运行之后才会查杀，不进硬盘能运行吗？找你说的微点这么做已经迟了那刘旭不是白忙活了？可能吗？要是这样别家还用得着害他吃冤枉官司吗？
你说的查到缓存里有已经迟了，有样本证明吗？我用的时间 ...

微点很强，我也没说微点不好，我要说的是微点不可能在木马发作前有动作，微点能拦住木马被浏览器读取吗？能拦住它不让它从内存中运行吗？微点可以在木马发作后根据其行为来判断，这就是为什么微点经常会提示xxx文件生成了yyy、zzz文件等，被删除！木马已经运行了！只不过微点是防护很到位就是了。

样本一时半会还真找不出来

IE或多或少是要写硬盘缓存的，OPERA可以不写硬盘缓存，但安全性又太高，还真不太好对比，这个以后发现我会提交的

但请先搞清楚，浏览器对资源的请求、解释、执行是发生在写缓存之前的，这点，我想你可以从GOOGLE、BAIDU上查到

[ 本帖最后由 albatross 于 2009-1-7 21:09 编辑 ]

cheng1997

我想是不是这样，到有下载木马的脚本被执行时，木马刚刚到内存时就被拦截（还没执行），网页监控是不是扫描危险的下载脚本？毕竟一个网页怎么能装下一个木马呢。我看好像网页上加密的木马好像多是些下载连接，并不是嵌在网页上阿！！所以我觉得没必要
我人为所以的杀软监控都可以监控内存，干嘛扯到，病毒到不到硬盘呢，不管你有没有WEB监控，只要杀软认得，根本不会让你到硬盘，更不会让你在内存中执行
用了这么长的伞，没WEB监控。如果网页上有毒一样暴（浏览器（因为是病毒发起者）锁死，直到你确认怎么操作）从没中过毒（这是实践），

cheng1997

靠，这么发了2变

saga3721

浏览器先还是杀毒软件先？
我不是要证明微点好不好，微点也不需要这么做才能保护系统安全。木马运行微点再删除他在关键区域中生成的的可执行文件都不要紧何况是脚本？因为木马还没有真正起作用。某某生成某某是因为第一个某某本身就是木马它当然要生成些东西了。

[ 本帖最后由 saga3721 于 2009-1-7 21:16 编辑 ]

cheng1997

浏览器的危险动作，微点照样暴，管你是谁

cheng1997

多说无用自己找了G马的网站用微点试试

albatross

原帖由 saga3721 于 2009-1-7 21:14 发表
浏览器先还是杀毒软件先？
我不是要证明微点好不好，微点也不需要这么做才能保护系统安全。木马运行微点再删除他在关键区域中生成的的可执行文件都不要紧何况是脚本？因为木马还没有真正起作用。某某生成某某是因为 ...

我了解了，说到现在，你的意思是

浏览器请求脚本--->脚本下载到硬盘（有问题杀之，没问题不杀）----->执行----->（下载病毒、木马，有问题杀之，没问题不杀），你认为缓存是这样运作的，是这个意思吧

浏览器开一个网页，少说有百十个小组件、脚本，一个个下载到硬盘，再一个个读取，执行，效率还要不要了？

这样吧，你如果有兴趣的话，可以开个系统资源监视器，看看在打开网页的过程中，硬盘是不是在频繁的读写操作，还是说写多读少？

albatross

挂马的网站啊，好吧，试试这个，注意观察一下CPU占用率，它是有下载木马的行为，会被GUARD干掉，但也有脚本的直接攻击，请注意下CPU占用

最好用IE和FF对比下，你会发现在IE中针对IE本身的漏洞攻击会让IE很慢，内存占用爆高……

http://a.44damao.com/