狙剑有个功能不错，推广到xuetr和天琊上吧，系统快照

显示全部楼层 · 发表于 2009-6-5 20:55:46

系统快照记录启动项注册表等许多信息，先保存一份正常的，中毒后只要比较一下就能认出哪些是多出来的，

现在病毒的各项越来越难找的今天，这个功能找起来方便点

启动项，服务，注册表，插件，文件还要效验

狙剑此功能具体是这样子的：
其他功能->镜像保存然后可以看到目录里记录了些东西

基本功能->自启动程序 -> 右边右键-> 列出不同项就可以和之前的镜像对比

和日志不一样的是这是由软件作对比给你看，启动项，服务项，BHO等东西太多了，直接比较下

(怎么没法上传图片了，无效的图片文件)

[ 本帖最后由 gxrsprite 于 2009-6-7 13:56 编辑 ]

显示全部楼层 · 发表于 2009-6-5 20:59:59

这个建议不错！沙一回发

显示全部楼层 · 发表于 2009-6-5 21:02:22

好建议
支持！

显示全部楼层 · 发表于 2009-6-5 21:02:43

一份日志+regshot

显示全部楼层 · 发表于 2009-6-5 21:32:41

主要是要借助安全工具的内核，并且要借助安全工具才能清理干净，
再提供一键还原的功能，多出来的一次性全部删掉

显示全部楼层 · 发表于 2009-6-5 21:36:05

比较天真

试想一下如果一个病毒伪造系统进程那怎么办呢?

显示全部楼层 · 发表于 2009-6-5 21:45:19

我是就事论事而已每一款工具做大做强都是应该的也是俺乐于看到的但这类工具一般都是杀毒用的换句话就是一般在已经中毒的环境中使用的这时候一般取不到或者事先也不会保存原有的快照（特别是维护陌生人的电脑时）但对自己的机子就不一样了这时候这个功能就很实用了

显示全部楼层 · 发表于 2009-6-5 21:52:42

请问如何伪造进程现在的病毒不在ring0上开刀上钩子伪造出的进程没有杀伤力 lz的想法还是比较实际的只不过适用人群不同而已

显示全部楼层 · 发表于 2009-6-5 22:04:38

快照是好搞的，不过你的电脑每天都在使用，只要你的电脑运行过，注册表信息就会有所不同。如果你再装个软件什么的，就更不同了。那么你要经常性备份才有效。往往中了病毒或者是木马都不是能够及时发现的。等你发现异常的时候，正常的备份样本已经由于空间不足删除啦！这时只有郁闷啦！

[ 本帖最后由 sweetsea 于 2009-6-5 22:07 编辑 ]

显示全部楼层 · 发表于 2009-6-6 01:41:07

所谓伪造进程就是让ARK显示错误的映像进程

狙剑有个功能不错，推广到xuetr和天琊上吧，系统快照

回复 4楼 yumiao0160 的帖子

回复 5楼 gxrsprite 的帖子

回复 6楼 NOMO 的帖子

回复 8楼 yumiao0160 的帖子