NOD32进程防御机制之初初探

FoxWoods

原帖由 Redevil 于 2007-3-19 18:21 发表
.....提到NOD32的进程不能被冰刃结束
.....要确切的截图 ...

希望大家提供冰刃是否可以结束NOD32的进程的证据
http://bbs.kafan.cn/viewthread.php?tid=63558&extra=page%3D1


Rddevil 斑竹要的证据如下。因偶是平民，所以新开了一个帖子－－万一哪位斑竹瞧着顺眼给加两分呢。如果在您的跟帖里就有可能赚不到了......嘿嘿.....

1-当NOD32的两个进程 nod32krn 和 nod32kui 都开着时，解压有毒的RAR文件。NOD32的监控立刻弹出报警，该RAR文件被删除并复制到 quarantine 文件夹内。
如下图1：

2-当 nod32kui 进程被终结后 (用任务管理器、Process Explorer 或 IceSword 都可以终结)，解压该有毒的RAR文件。NOD32不报警，但该RAR文件被直接删除并复制到 quarantine 文件夹内。
如下图2：

[ 本帖最后由 FoxWoods 于 2007-3-19 23:16 编辑 ]

The EQs

实际上LZ结束的只是界面。。。。。。

wqwyvern

不知道你想说什么nod32kui是个gui，没什么作用，你关不关都无所谓的

坐在墙头

我使用的时候跟楼主不一样，结束了Nod32kui.exe后一样是弹出报警窗口的啊
难道我记错了

FoxWoods

以下4张图，注意“进程ID”的变化......

1-NOD32的两个进程都开着，用 IceSword 关闭 nod32krn之前。
2-NOD32的两个进程都开着，用 IceSword 关闭 nod32krn之后。
nod32krn 的进程ID由 1528 变为 1860 。

3-只有 nod32krn 进程开着，用 IceSword 关闭 nod32krn之前。
4-只有 nod32krn 进程开着，用 IceSword 关闭 nod32krn之后。
nod32krn 的进程ID由 1860 变为 168 。


可能的结论：
与其它的杀毒软件或防火墙软件的双进程监视相互保护不同，NOD32可以自我保护。 nod32krn 进程在被关闭后能立刻以新的ID重启进程。

[ 本帖最后由 FoxWoods 于 2007-3-19 22:48 编辑 ]

The EQs

LZ说的没错。。。。。单独用冰刃是结束不了nod32的。。。。nod32的进程可以重生。。。。

wqwyvern

越来越看不懂了，你到底想说什么啊

FoxWoods

谢谢两位斑竹!


另外，麻烦斑竹能不能把我的两个帖子挨在一起？？

[ 本帖最后由 FoxWoods 于 2007-3-19 23:02 编辑 ]

The EQs

这种保护比Kaspersky的更好。。。。Kaspersky的自我保护还不是很完善。。。漏洞比较多。。。

ly250094040

LZ结束的是NOD的用户界面进程

核心进程你结束了它又自动生成

LZ可以再去试试

呵呵