遇到一个问题，是否和优先级有关，（已解决，并在此说下关于--保护设置）

xjiain

问题所在：
我在规则中，已经将svchost.exe建立了一个单独的规则，且放在全局规则中的系统组之上，由于我对svchost.exe设置了内存访问保护，这样只有便例个能访问svchost.exe的内存，但是，如果将预定义规则中系统组的内存访问也进行保护，且没有例个，那么svchost.exe内存访问保护里的例外也不能访问svchost.exe的内存了，这是为什么。


这是因为，毛豆全局规则中，对于保护设置，将从上到下全面查找（找到一个条匹配的规则后，还得继续向下查找），由最后一个相匹配的保护设置决定。


由于最开始，发现问题的时候，svchost.exe在上面，而系统组是下面，虽然一个程序要访问svcxhost.exe内存，在svcxhost.exes的内存保护访问例外中有该程序，但毛豆还要继续向下查找，最后找到下面的系统组，因为系统组也设置了内存保护，且没有例外，所以该程序无法访问svcxhost.exe内存。如果将系统组拉到svcxhost.exe上面，则该程序可以访问svcxhost.exe内存。

[ 本帖最后由 xjiain 于 2009-11-29 13:26 编辑 ]

柯林

逻辑上讲不过去，不明原因所在。一般情况下，保护设置与位置无关，只与是否例外有关。要说有关系，只与例外里面的程序的规则有关——如果规则禁止它对其它程序的“进程间内存访问”，那么既然访问的动作都发不出来，就不必谈访问的对象是否允许它访问。

穿越星空

　　从上而下匹配规则，根据哪个规则在前就哪个生效。

xjiain

顶一个