假如继承也是漏洞——关于小信的墨者测试帖

yufree

1很少有人用浏览器打开文件
2很少用浏览器打开文件的用户一般只用IE，不存在提权问题
3当一般用户看到权限提示时，会习惯性选择关闭对话框
ps：没人理俺

tawny2008

无须用浏览器打开文件，只须捆绑浏览器将自动运行病毒

DoctorL

貌似继承是为了减轻使用者鼠标的负担吧！这个就是继承的特点，子进程继承父进程的权限，跟组策略也是一致的（当然组策略更复杂些，匹配最小权限），根本说不上是漏洞！更不应该针对墨者而言！

[ 本帖最后由 DoctorL 于 2009-7-3 23:44 编辑 ]

yufree

但我认为墨者对IE与U盘的防护已经很不错了，除非用户自己提权，否则只有通过漏洞来提权，所以我认为墨者的实际问题就在于白名单跟用户的误选择（后者算给墨者很不公平，但前者的确存在），说白了就是对用户的鉴别能力有一定的要求

tawny2008

不是针对墨者，如果你说的DW也有此情况，那么可以说DW也是不安全的，我并没有故意针对墨者

tawny2008

如果权限细分就不会这样了，现在墨者把所有软件分为两部分，一部分是全部允许，一部分是高度阻止，肯定会有很大一部分软件就无法正常运行（例如photoshop），而这些行业软件很多都带有病毒，墨者宣传百毒不侵基本属于虚假宣传，还不如安装一个杀软实在

yufree

但权限细分后就更贴近手动HIPS了，我还是那句话：很多用户习惯性且不厌其烦的关闭对话框，也许墨者的宣传口号有点夸张，但如果，我是说如果对一个了解电脑不多，只知道用IE上网的用户来说，确实可以做到百毒不侵，当然漏洞除外。现实中的用户更多的并不太关心软件的尝新，更关心自己的日常应用是否受影响，基于此我经常给人装墨者+趋势，但仅限于一些对电脑技术不关心但对电脑的正常使用关心的人。对于卡饭的饭团，墨者可能满足不了要求

tawny2008

对于那些只听听歌，看看电影，上上网的用户，墨者确实很不错，其实现实中有很多这样的用户

pluto1313

不清楚墨者，也没装过。。。
权限管理方面，本人越来越喜欢UAC了（指Vista SP2之后的版本），真正的权限管理。

那么说一下我的观点：
Vista下，如果你开启了UAC，当一个低权限的进程启动一个高权限进程的时候会触发UAC。在Vista中，默认情况下桌面进程、IE以及大部分应用程序的权限都不是真正的管理员权限，所以当它们启动一个需高权限运行的程序时会弹出UAC提升（最简单的例子就是双击启动SREng）。
但是，如果一个真正管理员权限运行的进程结束掉桌面进程后再运行它，那么桌面进程则会继承这个管理员权限，此后再启动高权限程序时UAC将不再提示（原有的盾牌图标也消失）
——以上的废话只是说明子父级进程的权限关系（通常情况下如此，特殊情况不讨论，和编程目的与实现有关）

然后回到XP，XP下没有UAC，进程以什么账户身份启动的就是什么权限（这里不包含Debug、SystemTime等这些权限，这些权限是需要特别赋予的），所以如果没有特别赋予权限，Google浏览器和资源管理器在权限上面是应该相等的，也就是说冰刃的父进程是Explorer.exe还是Google浏览器应该没有区别。

我从你们的截图上看，猜测墨者是借用了UAC的思想（当然离UAC还差得远）和HIPS的原理

Google浏览器和其他许多大型的软件，虽然它们很复杂，但不需要很高的权限（比如真正的管理员权限），如果墨者规定的低权限无法使他们正常运行的话只能说墨者还没有火候，不能当作一款安全系数极高的防护软件来看待。

所以你们的说法都没有错：一个是站在权限继承上来说理，一个是站在父进程权限赋予上来说理

总之一句话，UAC尚未完美，而其它第三方工具要效仿它更是路途遥远……

难得回复这么多，我自己都不想看了- -
虽然Vista一直被人看成xxx，但它从技术上来说是个好东西，研究Vista下的权限关系要比研究HIPS要更有意义，！！！个人观点！！！

挪威的冬天

P版... SP2 比 SP1 在 UAC 上有什么差别么... 从你描述的例子看 SP1 下也是这样啊...

我的 WU 还没找到 SP2 ... 晕...