瑞星卡卡安全论坛技术交流区反病毒/反流氓软件论坛 【原创】由猫叔手中Tiny想到的HIPS

123456   6  /  6  页   跳转

【原创】由猫叔手中Tiny想到的HIPS

这篇文章太好了,受益非浅呀
gototop
 

引用:
【baohe的贴子】
国人有句俗话:打铁还需自身硬。
此言不缪!
用IceSword试过杀Tiny的amon.exe和ssm的syssafe进程。
前提:tiny的system previliges组中已经设置了“阻止进程强迫终止”。
但是IceSword还是能顺利杀死 amon和syssafe两个进程。
变化前提:再在ssm的程序规则的中加入amon的进程终止保护,并使ssm处于运行状态。
再用IceSword杀amon进程——————杀不死了(ssm的保护规则发挥作用);用IceSword杀syssafe进程——————syssafe进程被顺利杀掉!
看来:
1、Tiny的“阻止进程强迫终止”保护功能有限。如果没有SSM助一臂之力,Tiny进程的自身安全有问题。
2、SSM对自身进程的保护也有限(敌不住IceSword)。但是ssm过于自信了,syssafe的设置不许改动(至少,目前的2.4.0.618版还是如此)。
ssm的自身防护还有待改进。

另:tiny的“阻止强迫关机”功能还行。如果勾选了这个规则,用户自己不能软关机。
………………




一般的动态HOOK对IceSword 根本无效,即使SSM patch掉了IceSword终止进程所用的PspTerminateProcess ,IS在调用前会直接读取ntoskrnl.exe中获得PspterminateProcess的代码,强行恢复.SSM对它没有任何效果
gototop
 

实在不行IceSword还有PJF的杀手锏"强行终止线程"
gototop
 

想要不被IceSword关闭,目前可以做的这一点的木马只是采用各种隐藏方法将进程隐藏.并没有去防pspterminateprocess
gototop
 

头一次听说
gototop
 

课程有点深,慢慢学习。
gototop
 

好象都看不懂哦.
gototop
 

他是谁?
gototop
 

引用:

国人有句俗话:打铁还需自身硬。
此言不缪!
用IceSword试过杀Tiny的amon.exe和ssm的syssafe进程。
前提:tiny的system previliges组中已经设置了“阻止进程强迫终止”。
但是IceSword还是能顺利杀死 amon和syssafe两个进程。
变化前提:再在ssm的程序规则的中加入amon的进程终止保护,并使ssm处于运行状态。
再用IceSword杀amon进程——————杀不死了(ssm的保护规则发挥作用);用IceSword杀syssafe进程——————syssafe进程被顺利杀掉!
看来:
1、Tiny的“阻止进程强迫终止”保护功能有限。如果没有SSM助一臂之力,Tiny进程的自身安全有问题。
2、SSM对自身进程的保护也有限(敌不住IceSword)。但是ssm过于自信了,syssafe的设置不许改动(至少,目前的2.4.0.618版还是如此)。
ssm的自身防护还有待改进。

另:tiny的“阻止强迫关机”功能还行。如果勾选了这个规则,用户自己不能软关机。
………………

这个还是要看WINDOWS下的运行级别了............ICESWORD运行于RING0和RING3级别
SSM。Tiny大概是运行于RING3级别,ICES当然可以结束掉他们的级别,毕竟人家是SYS
................
我觉得.....Tiny这种设置型的防火墙..........唉~~~他其实可以说不强也可以说强......总感觉无法给他定位..................
gototop
 

用好tiny需要对注册表和一些系统知识了解够多才行。合适的规则绝对可以起到绝对的效果!
05年就能有这样的构想和成就,让人佩服呀~
gototop
 
123456   6  /  6  页   跳转
页面顶部
Powered by Discuz!NT