mse的监控诡异

显示全部楼层 · 发表于 2011-5-23 22:43:33

回复 20楼 markego 的帖子

看清楚，我说的是执行前，看来你并不了解写入和执行
病毒先在你硬盘上创建再执行，对吗，创建时拦截了对吗，那还谈什么执行？显然你没理解我LS的所有回复，感觉有点浪费精力作解释了

显示全部楼层 · 发表于 2011-5-27 17:48:15

为了流畅性我还是设置成仅传入监控，不知设置监控传入传出，会提高多少安全性？

病毒不运行是不会感染的。所以不会提高安全性

显示全部楼层 · 发表于 2011-5-27 21:06:09

hj5abc 发表于 2011-5-23 22:43
回复 20楼 markego 的帖子

看清楚，我说的是执行前，看来你并不了解写入和执行

我只是不认同你说的”如果设为仅传入扫描，对于已存在的病毒运行，不报，“只要是运行肯定是通过实时监控能监控到的。设置传入和传出不是实时监控的全部，不管是传入传出也都不影响实时监控。

“那病毒在执行前需不需要写入硬盘？写入的时候拦截不可以么？
如果病毒已存在于你的硬盘，那有可能是之前MSE未知，而后来入库更新后可杀了，那么这个时候病毒已经早就运行了，那执行时扫描和定期计划扫描有什么区别？”
“如果设为仅传入扫描，对于已存在的病毒运行，不报，但病毒可能会生成其他衍生物，这就可能会报
如果MSE一开始就认识这个病毒，那么它试图在你电脑里安家的时候就被拦截了；如果MSE是一开始不认识但后来更新后才杀出这个病毒，那么只能靠计划扫描来清除.所以，其实效果还是差不多的“

显示全部楼层 · 发表于 2011-5-27 21:21:18

markego 发表于 2011-5-27 21:06
我只是不认同你说的”如果设为仅传入扫描，对于已存在的病毒运行，不报，“只要是运行肯定是通过实时监控 ...

哎，服了你。
你还是没明白，不想解释了，你还是纠结在名称上面
你自己上虚拟机，关闭实时保护，解压一个MSE已知的病毒，再打开监控，运行那个病毒，前提是你设置了仅传入，看监控拦截不拦截那个原本的病毒
原来你之前发了那么多询问贴，我一路解释到现在你还是没明白，你总是在推测，为什么不亲身测测

显示全部楼层 · 发表于 2011-5-28 11:04:34

hj5abc 发表于 2011-5-27 21:21
哎，服了你。
你还是没明白，不想解释了，你还是纠结在名称上面
你自己上虚拟机，关闭实时保护，解压一 ...

我按照你说的，测试过了。设置是仅监控传入。先关闭实施保护，解压一个已经病毒，再打开监控。然后运行病毒。mse直接拦截了，根本没有运行成功。我不知道你是怎么测试的。
不管是理论还是实践，都证明监控传入和传出不等于全部实时监控。希望你可以再自己去试试看，前提是mse已知病毒！

显示全部楼层 · 发表于 2011-5-28 11:08:12

本帖最后由 hj5abc 于 2011-5-28 11:30 编辑

发错了~

显示全部楼层 · 发表于 2011-5-28 11:19:24

hj5abc 发表于 2011-5-28 11:08
MSE
PWS:Win32/Zbot

什么意思？

显示全部楼层 · 发表于 2011-5-28 11:28:50

本帖最后由 hj5abc 于 2011-5-28 11:29 编辑

markego 发表于 2011-5-28 11:19
什么意思？

呃发错了

显示全部楼层 · 发表于 2011-5-28 11:30:06

hj5abc 发表于 2011-5-28 11:28
呃发错了

晕，不知道你在说什么。。。。
有没有看到我上面的测试。。。

显示全部楼层 · 发表于 2011-5-28 11:36:14

markego 发表于 2011-5-28 11:30
晕，不知道你在说什么。。。。
有没有看到我上面的测试。。。

我这边关闭监控解压后再打开监控确实运行报了

我举得例子不好你再试试这个方法

新建一个文件夹，如F:\abc，mse排除F:\abc，加载一个病毒压缩包进F:\abc，解压，将病毒剪切到同分区非排除目录，运行，这个应该可以模拟MSE在没关闭监控下的情况，因为关闭后可能会有一种缓存机制

[一般话题] mse的监控诡异