1234567   1  /  7  页   跳转页

[原创] 搞个数字签名就NB吗？

收藏
本主题由 大版主 baohe 于 2009-12-28 23:03:02 执行 设置高亮 操作
baohe
头像
大版主
  • 帖子:72578
  • 注册: 2003-04-10
  • 来自:
年度优秀版主奖端午辟邪香囊卡卡名人堂就爱不长大论坛9周年纪念09欢乐圣诞十周年年度风云人物2012我眼中的你们茶馆劳模瑞星金牌用户十一周年勋章
发表于： 2009-12-28 23:00 | 只看楼主 短消息 资料
字号： 小 中 大 1楼

搞个数字签名就NB吗？

样本来自：http://bbs.janmeng.com/thread-910631-1-1.html


据说挺NB的：



我在WIN7 桌面双击它，不能运行（因为我设置了applocker强制规则）。可见，这关它绕不过去。


那咱把它拷贝到WINDOWS目录下（见上图），双击运行，看看如何（我的applocker强制规则配置允许WINDOWS目录下的.exe运行哦）




双击它之后是这种结果：







汗！这个有数字签名的02.exe，我看纯属炒作（或作秀）。

用户系统信息：Opera/9.80 (Windows NT 6.1; U; zh-cn) Presto/2.2.15 Version/10.01
最后编辑baohe 最后编辑于 2009-12-28 23:14:07
分享到：
gototop
 
心还在否
头像
飘泊而立狮
  • 帖子:794
  • 注册: 2007-02-10
  • 来自:
发表于： 2009-12-28 23:06 | 短消息 资料
字号： 小 中 大 2楼

回复：搞个数字签名就NB？

大版的系统牛 病毒都不敢运行了
[unknown]
gototop
 
天月来了
头像
版主
  • 帖子:76904
  • 注册: 2007-02-06
  • 来自:
发表于： 2009-12-29 07:54 | 短消息 资料
字号： 小 中 大 3楼

回复：搞个数字签名就NB吗？

人家那病毒不支持WIN7下运行
百年以后，你的墓碑旁 刻着的名字不是我
gototop
 
baohe
头像
大版主
  • 帖子:72578
  • 注册: 2003-04-10
  • 来自:
年度优秀版主奖端午辟邪香囊卡卡名人堂就爱不长大论坛9周年纪念09欢乐圣诞十周年年度风云人物2012我眼中的你们茶馆劳模瑞星金牌用户十一周年勋章
发表于： 2009-12-29 09:47 | 只看楼主 短消息 资料
字号： 小 中 大 4楼

回复: 搞个数字签名就NB吗？



引用:
原帖由 天月来了 于 2009-12-29 7:54:00 发表
人家那病毒不支持WIN7下运行  



XP系统下，我也一样让它出丑。你信不信？


不信？


可以截图给你看。






最后编辑baohe 最后编辑于 2009-12-29 09:58:35
gototop
 
天月来了
头像
版主
  • 帖子:76904
  • 注册: 2007-02-06
  • 来自:
发表于： 2009-12-29 10:21 | 短消息 资料
字号： 小 中 大 5楼

回复：搞个数字签名就NB吗？

对我们来说自然不在话下

问题是对于所有默认放过签名程序的安全软件来说，就难了呢
百年以后，你的墓碑旁 刻着的名字不是我
gototop
 
初殇
头像
卡卡反病毒小组
  • 帖子:381
  • 注册: 2008-11-20
  • 来自:
发表于： 2009-12-29 13:43 | 短消息 资料
字号： 小 中 大 6楼

回复：搞个数字签名就NB吗？

猫叔这种白名单的方式就很BT了。一般来说都是放过签名，提醒未签。你的规则是只允许白名单列表或白名单目录的文件运行，这样的设置，理论是不可能让病毒运行起来的。不过个人感觉比较麻烦，任何一个文件都要去设置过，而且不晓得SHELL的文件会不会同时受到规则影响。如果受到影响的话，那么有外接程序的话，就无法运行。如果不受影响，那么直接调用一下SHELL RUNDLL32又可以通过。。。
gototop
 
初殇
头像
卡卡反病毒小组
  • 帖子:381
  • 注册: 2008-11-20
  • 来自:
发表于： 2009-12-29 14:11 | 短消息 资料
字号： 小 中 大 7楼

回复：搞个数字签名就NB吗？

刚才测试了一下，用SHELL的方法一样不能打开。。。。这个规则好是好，就是太严格了些，日常用起来比较繁琐。
gototop
 
baohe
头像
大版主
  • 帖子:72578
  • 注册: 2003-04-10
  • 来自:
年度优秀版主奖端午辟邪香囊卡卡名人堂就爱不长大论坛9周年纪念09欢乐圣诞十周年年度风云人物2012我眼中的你们茶馆劳模瑞星金牌用户十一周年勋章
发表于： 2009-12-29 16:19 | 只看楼主 短消息 资料
字号： 小 中 大 8楼

回复: 搞个数字签名就NB吗？



引用:
原帖由 初殇 于 2009-12-29 13:43:00 发表
猫叔这种白名单的方式就很BT了。一般来说都是放过签名，提醒未签。你的规则是只允许白名单列表或白名单目录的文件运行，这样的设置，理论是不可能让病毒运行起来的。不过个人感觉比较麻烦，任何一个文件都要去设置过，而且不晓得SHELL的文件会不会同时受到规则影响。如果受到影响的话，那么有外接程序的话，就无法运行。如果不受影响，那么直接调用一下SHELL RUNDLL32又可以通过。。。  





我的所谓“白名单的设置”其实并不费劲（针对N多程序去一一设置白名单？犯傻呀？这种事我不干。）。


关于这个问题，我有个帖子发在版家了：http://bbs.ikaka.com/showtopic-8685847.aspx






之所以这样做，是不想暴露具体的防御细节。


至于你说的“调用SHELL RUNDLL32”，我也没忽略：




最后编辑baohe 最后编辑于 2009-12-29 16:23:11
gototop
 
我是王老五
头像
拙长孩提狮
  • 帖子:97
  • 注册: 2008-10-25
  • 来自:
发表于： 2009-12-29 19:07 | 短消息 资料
字号： 小 中 大 9楼

回复：搞个数字签名就NB吗？

是牛,想看看那个连接，可是没那个权限。呵呵
gototop
 
初殇
头像
卡卡反病毒小组
  • 帖子:381
  • 注册: 2008-11-20
  • 来自:
发表于： 2009-12-30 14:04 | 短消息 资料
字号： 小 中 大 10楼

回复 8F baohe 的帖子

努力学习。。。
gototop
 
<<上一主题|下一主题>>
1234567   1  /  7  页   跳转页
页面顶部
Powered by Discuz!NT