关于邪版规则排除的讨论

显示全部楼层 · 发表于 2010-5-3 09:06:10

发现里面有排除system32文件夹下的时候用**\windows\**\system32\某程序
但是system32就在windows文件夹下改成?:\windows\system32\某程序不是更好吗？

另外，在windows部分的排除时邪版都用的 ?:\WINDOWS\**\*.*, \??\?:\WINDOWS\**\*.*, \\?\?:\WINDOWS\**\*.*
我想如果是为了排除windows下的所有文件的话单?:\windows\**\*.*难道还不够吗？

显示全部楼层 · 发表于 2010-5-3 10:38:25

不太清楚，可能是为了通用于不同的系统吧（不仅是装在C盘的xp）。

显示全部楼层 · 发表于 2010-5-3 11:11:49

我是在想\??\?:\WINDOWS\**\*.*和\\?\?:\WINDOWS\**\*.*到底代表啥意思。我觉得 ?:\WINDOWS\**\*.*就已经够了。不知道把另两个删了会怎样

显示全部楼层 · 发表于 2010-5-3 12:51:10

有些系统进程的载入路径必须那么写，\\?\或\??\。在日志里可以看到类似例子
否则无法匹配

显示全部楼层 · 发表于 2010-5-3 13:28:04

回复 4# thelord
谢谢，我试了把那两个删除后确实出现了\\这种的。另外在win7系统下好象没有systemroot文件夹，这个systemroot是不是可以删掉呢？

显示全部楼层 · 发表于 2010-5-3 16:09:41

\??\和\\?\代表内存中的进程。邪版规则不止针对win7，可能还包括其他操作系统。第一个问题，我猜可能别的地方也有system32目录吧，不过这个不清楚～

显示全部楼层 · 发表于 2010-5-3 19:14:19

回复 6# sandyyangjie
谢谢解答

显示全部楼层 · 发表于 2010-5-3 21:45:12

呵呵,我觉得咖啡有趣就是有趣在这个地方,可以自己动手探索规则设置的规律,你可以在桌面上创建个文件,然后再里面设置一个或多个子文件,但保证没个文件里都有可执行的程序,例如**.exe,**.txt,**.com等等,做一下测试,你会觉得自己摸索出来规律很有意思的.

[讨论] 关于邪版规则排除的讨论