规则中通配符的漏洞

wjyami

刚开始用hips ，参考了很多规则，发现大家规则中通配符大都是这样的写法：c:\boot\* ；d:\download\*；等等。意思是代表其下的所有目录和文件。

不知道大家发现没有这样写其实有很大的隐患。因为comodo对这种写法是不保护boot download等目录的，而只是保护其下的目录和文件。这样的话，利用对文件夹改名就可以轻易的绕过comodo。

举例说明吧。 比如在FD中写入这个c:\boot\*，意思是保护boot文件夹下的所有文件不被改动及删除新建等。事实上comodo也确实对其施加了保护。但是这种写法comodo不保护boot文件夹本身。那我现在把boot文件夹改名为boot123，c:\boot123就不在comodo的保护之下，我就可以随意的更改里边的文件。当然，病毒可以轻易的做到这一点，我们利用comodo保护系统的目的就完全无法达到。

个人认为，对于comodo来说此种写法应该改作为c:\boot*，这样以来comodo就可以保护boot文件夹。但是同样也保护了以boot开头的所有文件夹和文件，在实际运用中为了不带来不必要的麻烦，还需要区别对待。

上边仅以c:\boot\*为例，其他诸如此类写法都存在此问题。本人用的是comodo3.5.57173.439，最新的3.8版本没有用过，是否存在这种问题不得而知。但窃以为这本身不是comodo的bug，只是规则上的遗漏，应该具有共性。

本人刚刚接触hips，comodo也是用过的第一个hips软件，理解或许有偏差。不过这是我的一点想法，希望能对大家有帮助！

liudianshui

个人感觉问题不大，不过像你所说的这样更好，但是如果是第一种情况，那么是谁修改呢，肯定是程序，它要是更改肯定要创建病毒文件，然后ad提示，虽然第一种情况看似保护的少了，其实一点也没有少，这好像我们在高中学集合一样，只是交集的部分少了罢了。

月光下的忍者

哎~~

楼主你是没玩抓抓的cmd，那东西谁玩谁知道~

凡是玩了的人，对你的文章必定一看就懂~



不光要保护文件夹，还要把文件夹看做是一个文件，禁止创建无数个空文件夹！！~

[ 本帖最后由 月光下的忍者 于 2009-2-19 22:02 编辑 ]

wjyami

O(∩_∩)O~  FD中加上全局问题不会太大，我只是觉得这样就失去了我们写这条规则的意义，既然改名就可以绕过，那这条规则还有啥意义呢？

抓抓的cmd？？  惭愧  还没看到那部分哦 俺新人一个

小静电

我的explorer规则中fd中是阻止



新建文件夹可以，但要改名不行，修改已有的文件夹名称也是不行的。

一下子丫

用BLOCK住他？

月光下的忍者

楼主说的是改你WINDOWS的名字，不是改里面的~~



不过WINDOWS和重要的系统文件夹咱自己好像无法重命名~
没那个选项~~

[ 本帖最后由 月光下的忍者 于 2009-2-19 22:05 编辑 ]

一力破十会

路过...
我的早是这样设的

小静电

你让他试一试windows改名，不可能。按f2根本没有反映。

wjyami

  别说windows 就是一般程序 只有在运行中也是无法改名的  但是没被调用的可以了