疑似过360主防（已验证不正确）

显示全部楼层 · 发表于 2011-4-14 21:43:47

回复 97楼星空下的吻的帖子

现在来已经晚了。还有没看说明么。Run路径过360是不可能的。都说是用白名单马甲MJ了！

显示全部楼层 · 发表于 2011-4-14 21:44:50

星空下的吻发表于 2011-4-14 21:43
回复 98楼 Tron 的帖子

求具体位置!!!

49

显示全部楼层 · 发表于 2011-4-14 21:45:42

回复 97楼星空下的吻的帖子

突然发现昨天晚上测试时候留了一张图file:///C:/Program%20Files/Tencent/QQ/Users/253914122/Image/MU1{NK37(P3@S~~AQ)S4HPR.jpg
时间操作说明次数
23:06:10 已允许修改开机启动项 1
详细描述：
注册表位置：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\[TESTWARE]
注册表内容：C:\WINDOWS\system32\TEST.exe
进程：C:\WINDOWS\system32\notepad.exe
是记事本修改注册表明白没

显示全部楼层 · 发表于 2011-4-14 21:45:59

liangfangCN 发表于 2011-4-14 21:43
回复 97楼星空下的吻的帖子

现在来已经晚了。还有没看说明么。Run路径过360是不可能的。都说是用白名单 ...

白名单一样不能过，连瑞星粉都知道，哎，悲催啊

显示全部楼层 · 发表于 2011-4-14 21:47:22

回复 102楼 Tron 的帖子

第一个样本发了有什么意义吗???
还有那个远程注入明显也是不行的.......事实说明我没来晚.我看懂了

显示全部楼层 · 发表于 2011-4-14 21:47:42

本帖最后由 Tron 于 2011-4-14 21:48 编辑

liangfangCN 发表于 2011-4-14 21:45
回复 97楼星空下的吻的帖子

突然发现昨天晚上测试时候留了一张图

日志里记录的确实是NOTEPAD, 但只是名字而已，实际计算的还是原始文件的MD5，所以根本过不了

详细描述：
进程：C:\WINDOWS\system32\notepad.exe
动作：服务创建
路径：D:\WinObjEx.sys

我这里创建服务照样是NOTEPAD

再给你科普两点，

第一，你没允许注入，根本不可能出来notepad.exe

第二，已允许，就是你自己点的允许，不是白的自动允许。

显示全部楼层 · 发表于 2011-4-14 21:48:28

本帖最后由 z13667152750 于 2011-4-14 21:49 编辑

回复 103楼 liangfangCN 的帖子

确实不行,白名单内的程序修改注册表一样拦截,

估计360还要看改的注册表内容,白文件不是直接放行

显示全部楼层 · 发表于 2011-4-14 21:49:44

星空下的吻发表于 2011-4-14 21:47
回复 102楼 Tron 的帖子

第一个样本发了有什么意义吗???

就结果来说，绝对没晚。

显示全部楼层 · 发表于 2011-4-14 21:50:47

z13667152750 发表于 2011-4-14 21:48
回复 103楼 liangfangCN 的帖子

确实不行,白名单内的程序修改注册表一样拦截,

即使内容是白的一样会拦截，因为楼主是把源进程的名称改成白的（且不说他的修改在防注入下根本无法成功），但实际上真的假不了假的真不了，名称改成白的一样改变不了被拦截的命运

显示全部楼层 · 发表于 2011-4-14 21:53:55

回复 109楼 Tron 的帖子

exactly right!
感觉他是不是以为智能模式会放行所有白名单的软件的所有行为啊???

[砖头] 疑似过360主防（已验证不正确）