V5默认规则防不了恶意VBS脚本么？

显示全部楼层 · 发表于 2010-9-25 22:28:07

本帖最后由 vvvv1000 于 2010.9.26 00:42 编辑

RT

是因为它完全信任wscript.exe？

忘了说，包括开着疯狂模式，包括开着沙箱，一样防不住。

显示全部楼层 · 发表于 2010-9-25 23:18:12

创建*.vbs的时候会弹框、调用wscript时候也会弹框……防不防得了要看你了

显示全部楼层 · 发表于 2010-9-25 23:37:43

创建*.vbs的时候会弹框、调用wscript时候也会弹框……防不防得了要看你了
ring0biao 发表于 2010.9.25 23:18

调用时未见弹框，很老的VBS样本的，“暴风一号”，改天还是截图几张吧。

显示全部楼层 · 发表于 2010-9-25 23:59:46

本帖最后由 ring0biao 于 2010.9.26 00:04 编辑

回复 3楼 vvvv1000 的帖子

我刚刚所说的情况是exe生成vbs然后再调用的，而暴风一号是直接调用wscript的……谁会没事打开陌生wscript。
如果你是疯狂模式的话毛豆也会向你报告wscript的一举一动

要不直接把wscript仍拦截目录……

显示全部楼层 · 发表于 2010-9-26 00:03:05

默认规则没有保护VBS吧

显示全部楼层 · 发表于 2010-9-26 00:39:05

本帖最后由 vvvv1000 于 2010.9.26 00:42 编辑

回复

我刚刚所说的情况是exe生成vbs然后再调用的，而暴风一号是直接调用wscript的……谁会没事打开 ...
ring0biao 发表于 2010.9.25 23:59

[AutoRun]
Shellexecute=WScript.exe 2137230495.vbs "AutoRun"
shell\open=打开(&O)
shell\open\command=WScript.exe 2137230495.vbs "AutoRun"
shell\open\Default=1
shell\explore=资源管理器(&X)
shell\explore\command=WScript.exe 2137230495.vbs "AutoRun"

搞个这样的AutoRun.inf;与恶意的VBS放在U盘根目录上，双击就中招了，我开着也是疯狂模式，还开着沙箱。貌似如果是在信任签名中的软件毛豆默认就是放行其所有行为的，包括涉及到D+规则的行为都是放行，只能放拦截中，有没有人性化点的设置呢？

显示全部楼层 · 发表于 2010-9-26 00:57:04

回复 6楼 vvvv1000 的帖子

拦截中添加*\autorun.inf是必要的……

至于疯狂模式下d+规则与信任厂商的问题……自己看看d+设置中的安全级别吧

能生效的。

显示全部楼层 · 发表于 2010-9-26 06:27:42

还是要自己编写规则的好，默认的感觉不安全。

显示全部楼层 · 发表于 2010-9-26 07:08:48

[AutoRun]
Shellexecute=WScript.exe 2137230495.vbs "AutoRun"
shell\open=打开(&O)
shell\open\ ...
vvvv1000 发表于 2010.9.26 00:39

[:26:] 这个还要考虑下explorer以及*\autorun.*的问题，即可放到受保护文件组中，也可以拉黑！但是explorer必须限制一下写注册表权限...xp下也可以使用通配符来达到限制U盘内可执行程序运行目的，综合AD+FD+RD就已经比较全面了！另外，防火墙中弄个全局规则，常用放行，全局垫底直接拦截！即使中了U盘病毒也无法联网...这样就更安全了...

显示全部楼层 · 发表于 2010-9-26 09:14:58

本帖最后由 ring0biao 于 2010.9.26 09:18 编辑

规则最上方建立wscript.exe的规则吧，先在保护目录加入*，然后wscript不允许修改被保护目录......注意优先级，自己多试试才来发帖

[讨论] V5默认规则防不了恶意VBS脚本么？

浏览过的版块