。。。。。。关于D+的“启发式命令行分析”

抓抓

PS：V5可以把V3的规则包直接导进去

zlj_lf 发表于 2010.9.25 23:12

看了下好像V5的注册表结构和V3差异较大，，导入后不知会出什么问题，，没试过。。。

zlj_lf

看了下好像V5的注册表结构和V3差异较大，，导入后不知会出什么问题，，没试过。。。
抓抓 发表于 2010.9.26 08:57

不是注册表导入，是用导出文件那种方法。。

V5的很多路径结尾都有“|”而V3的没有，这个是不是也要加上去才好？

lorchid

回复 1楼 抓抓  的帖子
启发式命令行分析开启时，是以当前运行的文件作为主“进程”；关闭之后则是监控该文件的宿主进程（.vbs——wscript.exe，.bat——cmd.exe）。
ps：测试了下不论是否勾选都能防住，v5默认规则proactive加*监控，取消数字签名关闭沙盘。


vbs样本（启发式命令行分析开启）：



关闭启发后：



随便写个批处理，开启启发



关启发

lorchid

再罗嗦一句，这个启发功能对于提高comodo的易用性很有帮助，现在不用去烦恼该给诸如cmd、wscript等程序多大的权限以取得在安全和易用之间的平衡。

柯林

回复 1楼 抓抓  的帖子

如果仅仅按图来看，日志显示，开启启发后，拦截到了vbs，不开则拦截的是执行主体wscript，应该是有进步。老版本无法拦截vbs，只能拦截wscript来防止。就像bat和cmd的关系，能够直接拦截bat，就不需要从cmd命令行上来甄别bat的好坏。
   

jumboo

看了下好像V5的注册表结构和V3差异较大，，导入后不知会出什么问题，，没试过。。。
抓抓 发表于 2010.9.26 08:57

V5导入V3规则遇到过蓝屏，具体原因不明。

zxzy

发现运行后 查看活动进程列表中 是直接以.vbs的方式运行的 不是以wscript.exe的方式运行。

伯夷叔齐

以前HIPS区有一篇文章就是说COMODO的这个问题，看来现在已经改进了。

抓抓

回复 15楼 lorchid  的帖子

嗯嗯，应该就是这样。。。