小邪,帮我写个禁止创建服务的规则

显示全部楼层 · 发表于 2007-3-21 02:43:16

昨天试了个毒,,咖啡既然让他创建了服务...咖啡自带的规则(禁止程序注册为服务)既然拦不住它..不信你试试看..

详情:见http://bbs.kafan.cn/viewthread.php?tid=63984&extra=page%3D1.......帖子的26楼有我的发言....运行第一个毒....他就创建了服务..咖啡拦不住

..所以说自带的那条规则不够完善....

所以小邪这是你要为党争光的时刻到了

...写个禁止创建服务的规则(起码能拦住那毒)

...好象是要跟注册表有关系的哦...

显示全部楼层 · 发表于 2007-3-21 02:47:10

我来帮忙吧……

显示全部楼层 · 发表于 2007-3-21 02:50:06

首先是禁止C:\WINDOWS\system32\drivers\创建任何sys文件和DLL文件

规则：C:\WINDOWS\system32\drivers\*.sys

C:\WINDOWS\system32\drivers\*.DLL

然后禁止注册表项（包括子键和值）

HKLM\System\CurrentControlSet\Services\**

当然这个方法只能防住模块式的服务，不过应付病毒是足够了

[ 本帖最后由 Oceanzd 于 2007-3-21 06:31 编辑 ]

显示全部楼层 · 发表于 2007-3-21 06:30:14

楼上女滴很强哟，呵呵
不过现在sys可是到处装啊，最好全盘禁止

[ 本帖最后由 sxingbai 于 2007-3-21 06:33 编辑 ]

显示全部楼层 · 发表于 2007-3-21 07:04:34

大海现在到底是男是女啊？？

显示全部楼层 · 发表于 2007-3-21 07:08:04

我朋友走了呀，现在大海是男的～～

显示全部楼层 · 发表于 2007-3-21 11:16:53

原帖由 Oceanzd 于 2007-3-21 02:50 发表
首先是禁止C:\WINDOWS\system32\drivers\创建任何sys文件和DLL文件

规则：C:\WINDOWS\system32\drivers\*.sys

C:\WINDOWS\system32\drivers\*.DLL

然后禁止注册表项（包括子键和值）

HKLM\System\C ...

没用的....我试过了..我禁止了HKLM\System\CurrentControlSet\Services\**的项和值的创建和写入...手动添加或修改咖啡是可以拦住..........但对那毒却是没用.....它还是在Services\**下建立了它的服务....不信你们试试.....

显示全部楼层 · 发表于 2007-3-21 11:27:38

你没有填写cmd为排除进程吧……

显示全部楼层 · 发表于 2007-3-21 12:17:42

没有,,什么都没排除.......

规则对毒不管用

显示全部楼层 · 发表于 2007-3-21 12:30:59

玩火当然免不了有时被火烧啦
好在这个还算是控制住了，留下了一些垃圾信息，删掉就是了

我也执行了，发现这个毒试图调用了C:\WINDOWS\system32下WSOCK32.DLL（WinSock API Library，API程序接口），一旦被它调用（执行）成功，dll函数估计挡也挡不住

按理说强规则下至少也应该有一到两次（至少一次）阻止它运行的机会
要试毒还是虚拟机里试吧

另：咖啡的默认规则里对注册表里的服务和自启动项等地方看得很紧，这个不用操心

小邪,帮我写个禁止创建服务的规则

回复 #5 jlennon 的帖子

回复 #8 Oceanzd 的帖子