来一篇xyzreg兄的文章：由McAfee 8.5i最新版的弱点看交互式保护的重要性！

zzybwdb_2007

此贴来自： www.xyzreg.net
由McAfee 8.5i最新版的弱点看交互式保护的重要性！！
McAfee 8.5i昨天出RC版了，我对McAfee的还颇具好感，于是down回来测试了一下。总体来说8.5i拿8.0i还是有不少有价值的改进，其中访问保护功能的增加对应对如今新式的各种安全威胁有一定的作用。

不过我习惯了追求完美，习惯挑刺，谈谈McAfee 8.5i的弱点。当然McAfee 8.5i比最近刚出来的诺顿网络网络安全特警2007好的多，诺顿太“中规中矩”，没什么亮点，更无法防御如今日新月异的各种网络安全威胁。

McAfee 8.5i具有了禁止其他程序写自启动项、写服务、加载驱动、向Windows目录以及系统目录写如可执行文件等功能。这些功能对防御恶意程序有着一定的作用。但是McAfee 8.5i设计时从可用性以及易用性的角度引入的白名单设计，比如允许名为setup.exe的进程写服务、加载驱动、向系统目录里写文件，从而使后门木马编写者突破McAfee 8.5i的访问保护变得很容易。原本我们还得写驱动直接与FSD打交道直接发IRP写文件至系统目录，现在都不用烦了。比如可以这样：先释放真正的后门文件到C:\setup.exe，然后就bypass了，因为setup.exe写服务、加载驱动、写服务到系统目录McAfee不报。

从信息安全产品设计的角度，应慎用白名单，即使使用的话最起码得要配合HASH效验等的措施。但是McAfee 8.5i白名单仅仅依靠进程名称判断，此方案使其本具有的强大威力大减……

当然，还是可以理解McAfee 8.5i的初衷的，设计时考虑到了易用性，以及可能使用在服务器上，从而没有应用交互式询问用户的方法，但是，如果光光依靠“智能判断”，整体安全强度不会达到我们满意的高度。

=========
补充，值得一提的是，McAfee 8.5i 对摘除文件系统过滤驱动有了防范，摘除时会BSOD，嘿嘿~~~



不知那天xyzreg兄心血来潮写一篇"所有文件（FD）监控都很弱……"，那McAfee 8.5i 的访问保护不是成摆设了么。。。 汗。。。

[ 本帖最后由 zzybwdb_2007 于 2007-3-17 17:12 编辑 ]

first_do

8.5比8.0强多少 ？

fang4501

深有感触

wooyard

嗨，刚刚开始喜欢实用咖啡，这样的文章真是让我们这些才鸟无所适从啦！

jlennon

xyzreg实在是高人，非我等所能企及

都等着他的所有系列呢，该杀软系列了~！~

gxdzw

原帖由 zzybwdb_2007 于 2007-3-16 11:26 发表
从信息安全产品设计的角度，应慎用白名单，即使使用的话最起码得要配合HASH效验等的措施。但是McAfee 8.5i白名单仅仅依靠进程名称判断，此方案使其本具有的强大威力大减……

大大赞成，要有个校验就完美多了

kavii

呵呵，学习了。
不过不知道BSOD是什么意思。。

[ 本帖最后由 kavii 于 2007-3-16 20:34 编辑 ]

surfer01

McAfee 8.5i昨天出RC版了?????????????????????

jlennon

TINY就有多种校验，MD5，路径，文件名等等。

小邪邪

但是McAfee 8.5i白名单仅仅依靠进程名称判断，此方案使其本具有的强大威力大减
======================
使用绝对路径排除的方法+防改动规则基本上可以防止伪装的进程被误列入信任