用HIPS的或者EQ的来

yurius

eq的默认规则有

ad：ie临时目录
rd：自运行；winlogon；ie设置；系统设置；文件类型关联
fd：系统文件

个人觉得还是不错的了 ，能够防一般的病毒木马，就是规则都是默认询问并允许和默认显示日志这个不爽

solcroft

system32目录生成exe和bat，加载服务，修改winlogon.exe内存
EQ默认规则不可能不报，应该是和费尔冲突

aoyang

如果是EQ和费尔冲突了，为什么如果打开QQ或者其他什么程序，EQ也有提示的。但是这个样本，费尔和EQ两个软件同时打开的情况下运行样本后，EQ就没反应，但是当把费尔的“阻止对可执行文件写操作”这个功能选择上以后，EQ就像吃了春药一样马上就有反应鸟 运行样本后马上就会有提示，否则打死了也没一个提示。
如果真有冲突，也只好卸掉EQ鸟

[ 本帖最后由 aoyang 于 2007-5-10 19:08 编辑 ]

promised

原帖由 aoyang 于 2007-5-10 19:07 发表
如果是EQ和费尔冲突了，但是如果打开QQ或者其他什么程序，EQ也有提示的。但是这个样本，费尔和EQ两个软件同时打开的情况下运行样本后，EQ就没反应，但是当把费尔的“阻止对可执行文件写操作”这个功能 ...

默认规则有反应的啊,明显有冲突

scottxzt

现在的HIPS没有智能的,也只有高手用用
(除了微点),来学习学习.

问一句:一个正常的程序和一个病毒程序,它们在HIPS中的表线区别到底再那里呢它们的操作底线又在哪里呢.不要告诉我是靠经验,晕!

harry_chang2003

PCC 殺了

solcroft

原帖由 scottxzt 于 2007-5-10 20:49 发表
现在的HIPS没有智能的,也只有高手用用
(除了微点),来学习学习.

问一句:一个正常的程序和一个病毒程序,它们在HIPS中的表线区别到底再那里呢它们的操作底线又在哪里呢.不要告诉我是靠经验,晕!

是经验
玩久了就可以分辨正常vs病毒行为，越多经验，也编写得出越细腻的规则
杀软的防护能力是看厂商的水平多高，HIPS的防护能力是看用户的水平多高

scottxzt

谢谢,我还是慢慢学吧,今天导入了EQ,基础规则,看了头晕!就说安装一个未知的新程序,在装以前,你已经很清楚的知道这程序那些动作是正常的.否则用也是白用.

[ 本帖最后由 scottxzt 于 2007-5-10 19:46 编辑 ]

aoyang

原帖由 solcroft 于 2007-5-10 19:28 发表

是经验
玩久了就可以分辨正常vs病毒行为，越多经验，也编写得出越细腻的规则
杀软的防护能力是看厂商的水平多高，HIPS的防护能力是看用户的水平多高

玩久了也未必一定能分辨正常S病毒行为
比如你在卡饭下载了一个样本，这个样本有连接远端的行为，也就是有下载行为。
那请你判断这个样本是木马还是正常程序。

jlennon

有下载行为不一定是virus，可以允许它下载，看下载的东东要干吗不就行了吗？

还有就是你试的毒多了，看一两个提示就能知道是什么毒了

[ 本帖最后由 jlennon 于 2007-5-10 20:16 编辑 ]