用卡饭5.7样本包测了下5.0的HIPS（交互模式）

显示全部楼层 · 发表于 2011-5-7 22:45:04

本帖最后由 hx1997 于 2011-5-7 23:00 编辑

事先说明一下，这个测试并不科学，只是大概测试~
如楼下所说，没啥意义，就当娱乐测试好了

测试说明：

1.样本使用沙盘运行，因此可能有反沙盘的样本逃过测试

2.样本超过30秒无动作就手动结束，算作未拦截成功（这里的无动作指HIPS无弹框、没有新进程创建）

3.只要样本有一个动作被拦截，就算做HIPS拦截成功（因为没有时间和技术去检测整个过程是否成功防御，其实运行正常程序也经常会弹框的，因此这个测试很不科学，仅做娱乐）

4.沙盘设置自动倒沙

5.如果有安装选项的样本，按默认选项next

测试使用交互模式~（自动模式听说不怎样，而且我喜欢手动HIPS）

规则里加了一些必要的例外规则，不然很麻烦，无其他规则

今天的样本包~数量不多不少，标准的50个

测试过程...不可能全贴图，就帖3张...

测试中ESET拦的几乎都是创建进程，希望以后能丰富拦截的动作~

测试完毕~ 结果：
这些样本未成功拦截：ep_cft (17).exe，ep_cft (18).exe，ep_cft (20).exe，ep_cft (21).exe，ep_cft (24).exe，ep_cft (25).exe，ep_cft (26).exe，ep_cft (28).exe，ep_cft (42).exe，ep_cft (44).exe，ep_cft (46).exe

共11个，截图：

其中，17号样本出错退出，18号样本一直无动作，21号样本出错退出，44号样本无动作立即退出
不排除它们反沙盘的可能
24号样本和46号样本弹广告，真恶心......

最后，HIPS拦截率=拦截数/总样本数=39/50=78%
对于刚起步的ESET HIPS，这个成绩还是相当给力的

希望HIPS越做越好~

显示全部楼层 · 发表于 2011-5-7 22:54:21

纯支持了。抢个沙发。。

显示全部楼层 · 发表于 2011-5-7 22:55:20

拦截创建进程有意义吗????

显示全部楼层 · 发表于 2011-5-7 22:56:36

感谢分享！支持党路过

显示全部楼层 · 发表于 2011-5-7 22:56:56

本帖最后由 hx1997 于 2011-5-7 23:03 编辑

回复 3楼星空下的吻的帖子

没办法啊.....说了ESET大多数都是拦这个...
测试版就不要奢望太多了

显示全部楼层 · 发表于 2011-5-7 22:58:58

回复 3楼星空下的吻的帖子

而且ESET规则管理器里又没有自带规则，也就只能拦成这样了
你去试试没规则的HIPS，不都是有拦截进程创建的嘛

显示全部楼层 · 发表于 2011-5-7 23:01:11

感谢楼主的分享。
相信到正式版，hips会更好，具体效果，需要慢慢检验

显示全部楼层 · 发表于 2011-5-7 23:03:33

支持者路过，在体验中！

显示全部楼层 · 发表于 2011-5-7 23:04:08

拦截进程创建确实意义不大。。。

显示全部楼层 · 发表于 2011-5-7 23:08:02

需要尽快丰富强大！

[讨论] 用卡饭5.7样本包测了下5.0的HIPS（交互模式）

评分

评分