用卡饭5.7样本包测了下5.0的HIPS（交互模式）

显示全部楼层 · 发表于 2011-5-7 23:14:44

本帖最后由 hx1997 于 2011-5-7 23:15 编辑

回复 9楼 strawman0719 的帖子

好吧我承认意义不大...

可是你去测一下不拦截进程创建那ESET还拦些神马......

显示全部楼层 · 发表于 2011-5-7 23:26:07

回复 11楼 hx1997 的帖子

进程拦截点“允许”
看后面的动作才是重点

显示全部楼层 · 发表于 2011-5-7 23:29:47

回复 12楼 strawman0719 的帖子

那怎样算成功，又怎样算失败呢？
没测试过，请教一下...

显示全部楼层 · 发表于 2011-5-7 23:39:57

strawman0719 发表于 2011-5-7 23:04
拦截进程创建确实意义不大。。。

为什么呢？拦截进程，不就不能释放其他病毒了吗

显示全部楼层 · 发表于 2011-5-7 23:45:39

回复 13楼 hx1997 的帖子

一般人不这样测毒的
而且在沙盘中测毒就不够科学了
最好还是虚拟机

一般测行为，就是看程序可疑行为，比如隐藏本身进程、在C盘替换文件等等
进程创建太正常了。。。

显示全部楼层 · 发表于 2011-5-7 23:47:54

回复 14楼 polythene 的帖子

测试主防就是要测试释放了其他病毒，还能否成功防住，以及看行为
尽可能模拟用户中毒的环境...
直接拦截了就没意思了，相当于一个病毒样本，你双击它，HIPS提示explorer.exe运行XXX.exe，你点了禁止，然后病毒就没运行，你就说是防住了病毒，这显然是不科学的......

显示全部楼层 · 发表于 2011-5-7 23:50:00

回复 15楼 strawman0719 的帖子

好吧我这里装不了虚拟机，没那个条件......
本来想重新测一次的还是算了...谢谢，将就着吧

显示全部楼层 · 发表于 2011-5-7 23:55:56

等汉化出来试试、、

显示全部楼层 · 发表于 2011-5-7 23:58:41

如果一个downloader仅仅是下载的话，hips没拦截是不是代表失败？其实如果你想测试样本的话推荐用策略模式

显示全部楼层 · 发表于 2011-5-8 00:04:21

回复 19楼 The EQs 的帖子

其实这次都有拦截的......除非创建进程的方式很特殊...
那个...策略模式好像是不在规则里的动作都阻止？那样不就啥动作都做不了了...

[讨论] 用卡饭5.7样本包测了下5.0的HIPS（交互模式）

浏览过的版块