测试jpzy提出的IEFO对付NIS2009

显示全部楼层 · 发表于 2009-7-31 22:33:42

LZ高产，加油

显示全部楼层 · 发表于 2009-7-31 22:49:20

诺顿果然很强啊

显示全部楼层 · 发表于 2009-8-1 07:50:11

顶NIS

显示全部楼层 · 发表于 2009-8-1 08:00:02

谢谢楼主的帖子。

显示全部楼层 · 发表于 2009-8-1 16:03:42

确实不错，顶~~~

显示全部楼层 · 发表于 2009-8-1 16:30:03

呵呵，顶一个

显示全部楼层 · 发表于 2009-8-1 17:23:09

汗~~这个测试。。。这么测并不能反映全部。wsyscheck貌似并没有获取足够的权限。

我就测试的时候就见过过了铁壳的样本添加IFEO项目的。

估计铁壳对explorer应该没有限制。或者直接调用regedit。病毒注入explorer或者调用regedit应该很容易！

显示全部楼层 · 发表于 2009-8-1 19:07:26

准备给家人买个

显示全部楼层 · 发表于 2009-8-1 20:53:27

自己测试了一下。我手里的Wsyscheck，解压缩就会被Norton干掉。而Xuetr在NIS09运行的情况下总是提示加载驱动失败。于是用Icesword。

方法一：
用Icesword尝试结束ccSvcHst.exe，两个进程都可以结束。但是解压缩Wsyscheck仍然看不到主程序，说明保护还在。并且，隔一段时间，两个ccSvcHst进程会自动恢复。方法一失败。(此处重点说明一下，NIS的进程自我保护还是不错的。开机启动进程可以用APT结束，服务进程用APT都结束不了。并且即使两个进程都被结束了，也会自动恢复)

方法二：
IFEO劫持。因为Icesword是需要自己手动创建注册表项。所以我专门查了一下IFEO如何实现。首先用Icesword在IFEO下面创建一个ccSvcHst.exe的子项。然后在此子项里面创建一个字符串项，名称为：Debugger，内容为：cmd.exe。创建完以后重启。重启以后，系统托盘不再出现NIS的图标。解压缩Wsyscheck，能够在解压缩路径下看到Wsyscheck的主程序，说明保护已经失效。方法二成功。

贴一张图。大家有兴趣的，可以自己做实验来验证！

这个测试说明了一点，用IFEO加重启的方式是可以干掉NIS的保护的。另外，我用CLT（Comodo Leak test）测试了NIS，NIS09在自动模式下只得到了30分。当然了CLT并不能说明太多的问题，但是测试毕竟有一定的意义。

[ 本帖最后由 jpzy 于 2009-8-1 20:56 编辑 ]

显示全部楼层 · 发表于 2009-8-1 21:12:20

原帖由 jpzy 于 2009-8-1 20:53 发表
自己测试了一下。我手里的Wsyscheck，解压缩就会被Norton干掉。而Xuetr在NIS09运行的情况下总是提示加载驱动失败。于是用Icesword。

方法一：
用Icesword尝试结束ccSvcHst.exe，两个进程都可以结束。但是解压缩W ...

辛苦了~

[原创] 测试jpzy提出的IEFO对付NIS2009

本帖子中包含更多资源

评分