多重路径阻止一个程序运行和连网~

zlj_lf

太无聊了，发给新手看的。想必用过一段时间的豆友都知道的啊~

阻止一个程序运行：
COM接口：

win7:  \Sessions\?\Windows\ApiPort
XP:     \Windows\ApiPort
不放行这个接口，*.exe的程序是无法运行喽

这两个东西不是很清楚：
FD：

\Device\KsecDD
\Global??\FltMgrMsg

不放行这两个，程序也运行不了。其实本来是用*全局监控才会要放行这两个的，但是如果把这两个加到我的受保护文件中，不用*监控也行喽。

阻止一个程序连网：
FD：
\Device\Afd\Endpoint

RD：
HKLM\System\ControlSet???\Services\Tcpip\Parameters（WIN7下有效吧。。，XP下没发现每个连网程序都要修改这个注册表）

还有就是  域名解析客户端服务 啦。。。还有毛豆的防火墙呢。。。

这样来监控一个未知程序，是不是很有意思啊？？想像一下，当你的规则完美了，不需要弹出来，在全局中阻止这些玩意，，，病毒木马要抓狂了~~~

zxzy

阻止一个程序连网：
FD：
\Device\Afd\Endpoint 不只这一个吧 还有一个\Device\Nsi

zlj_lf

阻止一个程序连网：
FD：
\Device\Afd\Endpoint 不知这一个吧 还有一个\Device\Nsi
zxzy 发表于 2010.8.5 19:55

\Device\Nsi
这个不是的

zxzy

回复 3楼 zlj_lf  的帖子


    comodo默认规则里有写

zlj_lf

回复


    comodo默认规则里有写
zxzy 发表于 2010.8.5 20:10

你自己试一下啦~

zxzy

回复 5楼 zlj_lf  的帖子
日志里明明有写阻止了 却能上网。。。  这东西还不知道有什么用。。

zxzy

既然comodo得默认规则把这两个都放在同一组 就说明这东西肯定也跟网络有关  不过到底是什么还是不知道

柯林

网络通讯，至少有socket套接字和命名管道两种方法
\Device\Afd\Endpoin与\Device\Nsi仅与套接字有关
DNS域名解析，如果系统服务里面没有禁用DNS Client服务，由svchost集中代理域名解析，禁不禁止程序的DNS服务一样的无效，只有禁止程序访问svchost的com接口，无法使用svchost给它解析域名才有效。对于访问固定IP地址，不需要域名解析的程序来说，整个DNS的设置完全无效

zlj_lf

网络通讯，至少有socket套接字和命名管道两种方法
\Device\Afd\Endpoin与\Device\Nsi仅与套接字有关
DNS域 ...
柯林 发表于 2010.8.6 11:20

所以还得防火墙呀！

angelfish

毛豆区3大名人齐聚这帖子~看来win7和XP差好多，让还是XP的我