。。。学习..有点不好消化...收藏了呃..

1234

5678

引用:

【tom2000的贴子】当瑞星主程序被禁止启动后，其内部集成的功能是无法开启。 瑞星可以察看进程，而且可以进行比对验证其安全性。但是驱动级的注入还是弱项，这个在感染以SYS文件作为病毒恢复项的样本测试你会有个直观的体现 我个人建议瑞星完全可以出品一个类似“卡卡工具包”的安全工具，把一些功能从主程序分离出来，这样不会出现瑞星程序被禁止后其附带的安全工具也无法启动的尴尬！ ………………

从你这段话，驱动级的注入，指的是病毒加载驱动进ring0的行为？
那你的意思是，瑞星应该监控程序加载驱动或进ring0的举动，还是说，瑞星应该列出当前系统加载的所有内核驱动的列表？

1. 如果是指监控程序加载驱动或进ring0的举动，这属于“主动防御”的内容。
进ring0（获得对内核空间地址的读写权限）不一定要加载驱动，如可以通过读取PhysicalMemory实现。加载驱动也不一定通过CreateService，可以通过NtLoadDriver、NtSetSystemInformation等其他方法来实现（当然每种实现方法都受到系统版本的限制，多多少少有兼容性问题）。目前主动防御的方法，是拦截以上这些动作（也就是说，不是判断程序是否有ring0权限，而是通过监测以上这些动作，来判断程序是否有进入ring0的意图）。
但是为什么有时机器狗只是一个CreateServiceA，瑞星却拦不住？并不是瑞星监测不到CreateServiceA的操作，而是瑞星的“智能判断”还不够“智能”，有时没能识别其为有危害的操作，因此被放行了。

2. 如果指的是列出当前系统加载的所有内核驱动的列表，那就看你要做得要多深入了：

最简单的，调用ZwQuerySystemInformation，其中SystemInformationClass参数指定为SystemModuleInformation，就可以得到当前系统加载的所有内核模块的列表信息，类似IceSword所显示的内核驱动列表。代码请google之，相当简单的。
然而，一旦rootkit进了ring0（它怎么进的ring0，前面一段已经说过一些了），就没有权限限制了，为了隐藏自己的内核模块，它会把内核驱动对象抹得乱七八糟，要找到被自身隐藏掉的内核模块，就远不是调用ZwQuerySystemInformation这种现成的API能解决的了。
要对付这些，即是anti-rootkit的范畴。然而，瑞星作为一个商业杀毒软件厂商，是否应将anti-rootkit进行到底？这个问题我在版家发表过看法了，见http://forum.ikaka.com/topic.asp?board=38&artid=8383900。简而言之，anti-rootkit是“越猥琐越强大”，这样可能使用大量未公开的内核结构，从而在兼容性与稳定性上面临诸多不可知的问题。因此目前的商业杀毒软件厂商，对于anti-rootkit技术的使用，基本趋于保守，非不能也，是不为也。

综上，一个“内核驱动列表”，说说容易，但是到底是要搞个“花架子”，用ZwQuerySystemInformation等现身的东西来偷懒，使之变成一个“鸡肋功能”，还是要加入anti-rootkit的成份，从而担负稳定性和兼容性等风险，又或者来个折衷？对于杀毒软件厂商来说，这是需要权衡的。
更何况，这个功能对普通用户而言，真的实用么？

（1）是否要提供对查找到的驱动文件的卸载功能？
驱动的卸载，可跟结束进程的危险性不可同日而语，操作不当的话，分分钟会使系统立即崩溃。把一个这样危险的功能放给用户，可行么？
而如果不这样做，仅搞个列表，用户只看得见驱动文件，却动手不得，只得“望洋兴叹”，是否又是徒增烦恼？更何况普通用户能不能分辨哪些驱动碰得，哪些驱动碰不得？！

（2）病毒真的会留个驱动让你看见么？
如机器狗，加载驱动实现穿还原后，马上删除文件并卸载驱动。这样事后你再看内核空间，这驱动模块早没影了。
因此这种只能动态监控，也就属于上面说的主动防御的范畴。而涉及主动防御的功能，实时监控的程序，就必须常驻内存，你想让瑞星搞成一个独立程序单独出来，可能么？！


另外，“卡卡工具包”的说法，我也看得一头雾水，你的意思似乎是，在有了瑞星听诊器、卡卡助手等工具之后，瑞星还必须再搞一个“卡卡工具包”，这不是重复建设么？

所以我在前一个回帖中已经说过了，还不如要求瑞星把卡卡助手搞好一些，让它能够改名运行、不被病毒轻易关闭，并加上你所说的某些功能（前提是真的能加得上去）。这难道不比把卡卡助手扔在那里“烂尾”掉，然后又再搞一个所谓“卡卡工具包”的建议，更实在一点么？！

另外：杀进程很容易，随便找个工具都行，如IceSword。

我太汗颜了，IceSword还叫随便，那恐怕普通用户很难“不随便”了，怎么有点“站着说话不腰疼”的感觉？
杀进程很简单？光是找出隐藏进程，就已经不简单了，就已经完全是anti-rootkit的范围了！
为了杀死一个顽固进程，anti-rootkit必须做到多“猥琐”？！你问问FlowerCode，用IceSword结束他写的工具的进程，会发生什么事情？怎么做到的？他写的工具，也是一个anti-rootkit的工具。

把IceSword这样的工具，和ntsd相提并论，让人太受不了了，两者操作进程用的方法，根本就不是一个量级……

这里面的东西多了，真的要搞懂在什么情况下用什么工具会不会有效，就绝对不是“很容易”。当然，只是说说的话，的确很容易……

小聪说的这些，都将在2008年的病毒中彻底表现出来

2008年的病毒会更难清理。

这瑞星听诊器应该改为双击后，无窗口状态下直接生成扫描日志（这样改名后，就可以防止被病毒扫窗口关闭）

这卡卡助手确实应该该为象360那样，可以无注册启动使用，（所谓的绿色软件），同时还应该重新设计为可以自己阻止被病毒扫窗口关闭

首先感谢轩辕小聪和天月来了对本文的深入探讨，说说我的自己的看法

1首先我在面向对像中已经申明本文是面对阅读过07安全手册的普通单机用户，所以有关ring0这个直接和硬件打交道的东东已经远远超出本文讨论的范围。当然如果大家希望探讨纯技术问题我们可以开新帖共同讨论。而且在阅读全文后你会发现我在窗口防御的基础思想不是感染后怎么想法处理驱动级的病毒木马。而是去主动避免感染...

2关于SYS的问题，仔细阅读你会发现我是放在“瑞星病毒案例”上的。也就是说这是一个纯感染清除案例，病毒样本从我目前手头的资料应该是情人节前后“华军”被挂的那个样本，IE感染样本名可能是1.EXE。有兴趣可以在虚拟机跑一下：）而关于瑞星的建议问题则也是根据这次手工感染出暴露的问题和不足写给瑞星的建议。实际的手动病毒清除和理论的技术探讨还是有很大区别的。

3还说瑞星我的想法很简单，目前瑞星在三个产品集成大量的安全工具这样很好，但是最大的问题当病毒感染后三程序都无法启动，这样集成的工具也没有用处...这只是我在现实中实际跟踪瑞星用户所发现的一个问题，至于工具包什么的只是一个建议,至于出不出而且卡卡改造不改造则要看瑞星了

4说冰刃，很多时候你根本不知道你面对的下一个计算机是什么的样子。你也不会二四小时带冰刃等工具，当然目标计算机可以上网什么都好说，但是如果有一天你即没带工具又遇到一个无法上网的计算机你会怎么办？还是我说的关于这二个WINDOWS强杀命令我是在“小技巧”中附带，这不是说要用这个去挑战冰刃而给出一个在极端环境下解决问题的小技巧仅此而已。

5关于HIPS我在后面会有详细的介绍，在瑞星篇幅我就没有介绍。我也说了瑞星的HIPS还是太保守了，况且HIPS的前身IPS和IDS的争论就没有停止过现在的HIPS我也在前文后面有介绍，还加上自己关于软件HIPS发展的一点点建议。

这HIPS软件的应用，我自己认为目前从稳定性和易用性来说，建议使用免费的SSM配合瑞星的主动防御，就很不错了。（不能使用非免费的SSM，那太复杂，没多少人能短时间学会）

这组合已可以阻止任何不明程序的非正常运行，只是还得学点系统知识才能将就弄弄。这是最困难的地方。

愿意学的，一定会用着舒服的。

引用:

【天月来了的贴子】这HIPS软件的应用，我自己认为目前从稳定性和易用性来说，建议使用免费的SSM配合瑞星的主动防御，就很不错了。（不能使用非免费的SSM，那太复杂，没多少人能短时间学会） 这组合已可以阻止任何不明程序的非正常运行，只是还得学点系统知识才能将就弄弄。这是最困难的地方。 愿意学的，一定会用着舒服的。 ………………

任何？ 我看不见得吧

至少我知道的 就有 好几个了 呵呵

引用:

【taylor05771的贴子】 任何？ 我看不见得吧 至少我知道的 就有 好几个了 呵呵 ………………

就知道你要说可以过SSM的那些

不容易遇到的，慢慢折腾吧。至少要好点。

不过几乎没什么人愿意折腾这些的。

我说了也只是说了而已，谁会关心这些，除了常见的几位。