如何用毛豆跟踪一个程序的动作？

显示全部楼层 · 发表于 2009-9-7 18:46:22

我在病毒样本区经常看到有人分析病毒的行为，像这个样子：
2009-09-07 16:13:50 创建文件    操作:阻止
进程路径:E:\my_url\my_url.exe
文件路径:C:\WINDOWS\system32\pchsvc.dll
触发规则:所有程序规则->WINDOWS文件夹设置->%windir%\system*\*.dll

2009-09-07 16:13:52 修改文件    操作:阻止
进程路径:E:\my_url\my_url.exe
文件路径:C:\WINDOWS\system32\regsvc.dll
触发规则:所有程序规则->WINDOWS文件夹设置->%windir%\system*\*.dll

2009-09-07 16:13:53 修改文件    操作:阻止
进程路径:E:\my_url\my_url.exe
文件路径:C:\WINDOWS\system32\schedsvc.dll
触发规则:所有程序规则->WINDOWS文件夹设置->%windir%\system*\*.dll

而我点击病毒时，每一步都要阻止，才能在日志里看到每一步病毒都想做什么

如果隔离了程序后面的步骤就看不到了

那个跟踪日志怎么出来的？

显示全部楼层 · 发表于 2009-9-7 18:54:21

一般这个都是用EQ的，comodo的日志功能差点。

显示全部楼层 · 发表于 2009-9-7 21:35:23

这类日志，多数都是 EQ，MD 的，comodo 的日志，实在是不方便、、、、、

显示全部楼层 · 发表于 2009-9-7 22:15:56

要开到疯狂模式吧

显示全部楼层 · 发表于 2009-9-7 23:05:44

额，楼主，每一步都阻止，丫根本看不到几步、、、、

要都允许，才能看到动作、、、、

显示全部楼层 · 发表于 2009-9-9 00:08:01

原帖由 Beloved 于 2009-9-7 23:05 发表
额，楼主，每一步都阻止，丫根本看不到几步、、、、

要都允许，才能看到动作、、、、

那不是都放病毒过去了
而且日志也不记录允许的事件

显示全部楼层 · 发表于 2009-9-9 02:46:46

原帖由 Aurorwlh 于 2009-9-9 00:08 发表

那不是都放病毒过去了
而且日志也不记录允许的事件

在虚拟机中测试吧。

[求助] 如何用毛豆跟踪一个程序的动作？