[sysshield]系统安全盾

namejm

原帖由 wang6071 于 2006-8-28 01:23 AM 发表


我认为还是不要搞得太复杂好,这样程序会增大不少的,要编辑可以复制出来,处理好填回去,保存即可.

　　如果能像在记事本中使用Ctrl+A就可以把所有内容都选上的话，倒是可以这样操作；问题是不能一次把所有的内容选上，所以还得用鼠标使劲地上下拉动，很不方便，能不能像进程管理界面那样增加一个 输出信息 的选项，把所有的host内容输出到桌面或者什么地方去，方便用记事本来编辑？

[ 本帖最后由 namejm 于 2006-8-29 12:09 AM 编辑 ]

wang6071

原帖由 namejm 于 2006-8-29 12:08 AM 发表



　　如果能像在记事本中使用Ctrl+A就可以把所有内容都选上的话，倒是可以这样操作；问题是不能一次把所有的内容选上，所以还得用鼠标使劲地上下拉动，很不方便，能不能像进程管理界面那样增加一个 输出信息 ...

右键==全选===选制===改好后===全选===粘贴===就替换了.
如果大家反应问题多干脆我调用记事本打开算了．

namejm

原来是可以用右键来全选的，这个功能有点隐蔽啊。
如果用记事本来打开会令软件体积臃肿或者有其他麻烦的话，那还是别用了吧，只要在底部的信息栏里稍作提示就可以了。

namejm

　　发现一个小问题：进程管理界面下，smss.exe、csrss.exe和winlogon.exe的模块信息，用右键的查看文件属性功能无法打开exe文件的属性，但可以打开dll文件的属性，稍微对比了一下，发现这几个exe文件的详细路径显示的都是不以盘符开头的。不知道这算不算是个bug。

namejm

服务管理界面下点击服务状态之后的一个排版问题。后来想了一下，发现这样错位排列是为了区别正在运行的和已经停止了的服务，不算bug。

[ 本帖最后由 namejm 于 2006-8-29 10:45 PM 编辑 ]

gdlgh

原帖由 emca 于 2006-8-28 10:31 PM 发表
用实际行动给 Wangsea 兄弟顶帖子!

这里把我折腾的快速修复系统的东东再次共享,本次进展:

添加了对杀毒后磁盘打不开的那种病毒的自动修复能力!
支持对IE缓存\回收站等隐藏的病毒进行自动清除的能力!
添加 ...

我的黑名单，红叶兄看看是否有用？
_abbca_.dll
_abbca_.exe
_huytam_.exe
180ax.exe
2.css
2eb8d05.msi
3.css
3721.exe
879f5.msi
a.exe
a~nsisu_.exe
abhcop.sys
aboutagirl.exe
aclayer.dll
aclayer.exe
adaware.exe
adfilter.dll
adinstall.exe
ahook.sys
alevir.exe
alg.exe
alliveex.dll
allverx.dat
alrex.dll
anfad.sys
aoyou_mini.exe
apihookdll.dll
aplica32.exe
aqadcup.exe
asbar.dll
asiesec.dll
asmenu.dll
assecblk.dll
assist.dll
assist.dll
assist_hanzify.exe
assistant
assistse.exe
aswipe.dll
aupdate.exe
autolive.dll
autolive.ini
autolive1.dll
autolvsw.ini
av.exe
avserve.exe
avserve2.exe
baidubar.dat
baidubar.dll
baiducb.exe
baidu-trackycn.exe
barhelp23.0.dll
bcup.exe
bd.exe
bdgdins.dll
bdguard.dat
bdguard.sys
bind.exe
bind_8050.exe
bind_8190.exe
blss.exe
bocaitoolbar.dll
brasil.exe
bugsfix.exe
buup.exe
bvt.exe
cdn.dll
cdn.exe
cdnaux.dll
cdnctr.exe
cdndet.dll
cdnglo.dll
cdnhook.sys
cdniehlp.dll
cdnprh.dll
cdnprot.sys
cdnspie.dll
cdntdns.dll
cdntran.sys
cdnunins.exe
cdnup.exe
cfs7zd.dll
cfsbho.dll
cfscfg.ini
cfsml.dat
cfsupd.dll
cfsys.dll
client.dll
cmd32.exe
cnminpk.sys
cnnic.exe
cns.dat
cns.dll
cns.exe
cns01.dat
cns03.dat
cnshook.dll
cnsinfo.dat
cnsmin.dat
cnsmin.dll
cnsminhk.cab
cnsminkp.sys
command.exe
conime.exe
conscorr.exe
contextmenu.htm
contmenu.dll
coolbar
copyso.exe
crss.exe
ctfmon.exe
dao360.exe
db.exe
dcomx.exe
dddiemon.dll
dddmext.dll
dddspocx.dll
dddupdate.exe
dhelp.dll
diskman.exe
diybar2.dll
dlpig.exe
dm.exe
dmbar.dll
dmdaemon.dll
dmipn.dll
dmsched
dmsched.exe
dtap.dll
dtctr.dll
dudu.exe
dudu_hh.exe
duduacc.exe
dudupros.exe
duduprosvc.exe
dvdkeyauth.exe
dvldr32.exe
ebaytb.dll
ebaytbdaemon.ex
ebaytbdaemon.exe
ebaytoolbarcomm.dll
exiorer.exe
exp1orer.exe
explore.exe
fad.sys
firewall_anti.dll
firewall_anti.exe
frundlll.exe
g_server.dll
g_server.exe
g_server_hook.dll
g_server2.0.exe
game.exe
gdtest.htm
gr-125.exe
hap.dll
hbast.dll
hbcf.ini
hber.ini
hbhap.dll
hbhelper.dll
hbhsy.ini
hbkf.ini
hbsetup.log
hbu.ini
hbuf.ini
hcalway.sys
hda.ini
hdp.dll
hdp.ini
hdtbar.xml
hello.exe
helper.dll
helper.ini
henbagkiller.exe
henbang.exe
henbang.ini
hepler.html
hepler1025.ini
hfind.exe
hmapi.dll
hmtoolbar.dll
hookdll.dll
hprocess.sys
hwclock.exe
hws.exe
idnconv.dll
idnmail.exe
ieangel.dll
iebar.inf
iebar23.0.dll
iehelper.dll
iehelper_8032.dll
iexplor.exe
iexplore.exe
iexplorer.dll
iexplorer.exe
iexplorer_hook.dll
imaconv.dll
imaoe.dll
imaol.dll
imuiepls.dll
imuliver.dll
inetapi32.dll
infofobar.dat
infofobar.dll
irjit.dll
isass.exe
iservc.dll
iservc.exe
jiaozhu.exe
kernel32.exe
khdap.sys
knqtwz]`.dll
kzdh.exe
linbak.dll
loader.exe
locator.exe
lowlvl.dll
lsass.exe
lssas.exe
m2syadll.dll
madbp.sys
mario.exe
menuinfo.dll
meobjsdt.dll
mewin.dll
microapmddt.dll
minib.dll
miniddd.exe
mmsassist.dll
mouse1.dll
movesearch.exe
msetup.exe
msinfo.dll
msinthk.dll
msn.exe
mstasks.exe
mwqu_32.dll
n0tpad.exe
nbar.exe
netlib.exe
netpig_setup.exe
netsendserver.dll
netsendserver.exe
netsendserverkey1.dll
network.exe
newweb10246.exe
nmwizarda14.exe
notepad.exe
notifier.dll
ntd11.dll
olullj.vdf
optimum.dll
p2psvr.exe
patch03.dll
patch05.dll
patch06.dll
patch10.dll
pcastctl.dll
pig.exe
pig3setup.exe
pig4setup.exe
pigup.exe
pluginenlog.dll
pnpsvc.inf
podcastbarmini.exe
printers.exe
prostrdll.dll
pupw.sys
qcssbl9.exe
qq.exe
qqbind.exe
qqbq.exe
qqemo.exe
qqfacerclient.e
qqfacerclient.exe
quicklink.dll
qyule.exe
ranx.dll
rasvss.dll
rb32.exe
rdriv.sys
remotesetup.exe
rep.exe
repair.dll
rss.dll
run.exe
run32.dll
rund1132.exe
rund1l32.exe
rundl132.exe
rundll16.exe
rundll32.exe
saga.sys
scrblock.dll
scvhost.exe
sdastro.exe
search.exe
searchm.dll
searchnet.exe
serinit32.exe
serverhost.exe
serveup.exe
services.exe
setup99.exe
smss.exe
sobarnetinstaller.exe
sodaie.dll
sodaie.dll
softreg20.exe
softreg38.exe
sogoutb_setup_mini.ex
sogoutb_setup_pp365xi
spoolsv.exe
srvnet32.dll
ssl.dll
stdsver.dll
stdup.dll
svch0st.exe
svchost.exe
svchosts.exe
svohost.exe
svr.dat
svshost.exe
syscast.exe
sysmonde64.dll
system.exe
system32.exe
taskmgr.exe
tbhelper.dll
tcgg.exe
temp0.dll
temp1.dll
temp1.dll =
temp2.inf
tgbrfv_.exe
tgbrfv_5.dll
thdstat.exe
tollbar.bmp
toolbar.bmp
toolbar.dll
toolbaru88.dll
tutuag32.exe
tvclient.bin
u88.exe
u88.ico
u88.url
u88icon.ico
u88setup.exe
unicows.dll
unpig.exe
unregister.ini
update.dat
updatesr.ini
usign.dll
ustqilnr.sys
vika23.exe
visionnet.dll
vkclient.exe
vkreader.exe
vpip.exe
waitdown.lst
web.exe
webad.dll
webband.dll
win.htm
win32.exe
windcheck2.exe
windows.exe
winhtp.dll
wininit.exe
winio.dll
winio.sys
winio.vxd
winlogin.exe
winlogon.dll
winlogon.exe
winlogon_hook.dll
winup.exe
winupdate.exe
wiwshost.exe
wlzsetup30.exe
wmimgr.exe
ws2_32.dll
ws2-64.dll
wsocket.dll
wuauclt.exe
xd.dll
xporexp.exe
xpstyle.dll
xpwindow.dll
yadfilter.dll
yadwreg.dll
yalive.dll
yaliveex.dll
yalliveex.dll
yangling.dll
yasbar.dll
yascenter.exe
yasctrlh.dll
yasfsks.dll
yasierres.dll
yasiesec.dll
yasnoad.dll
yassecblk.dll
yassisres.dll
yassist.dll
yassist4.exe
yassistex.dll
yassistse.exe
yaswiper.dll
ydragsearch.dll
yeheocx.dll
yhelper.dll
yieacore.dll
yieangel.dll
yieares.dll
yieaui.dll
yisou.dll
yisou_znmq.exe
yisoub.dll
yisous.dll
yisouu.dll
ykeepmain.dll
ylive.exe
ymenuinfo.dll
ynotifier.dll
yok_supersearch.dll
yoptimum.dll
yprockg.dll
yrepair.dll
yscrblock.dll
ysettings.dll
yulesetup.exe
yuninst.dll
ywiper.dll
yzsnetproto.dll
zcomhelper.ocx
zcommanage.exe
zplatform.exe
zsearch.exe
zsmod.dll
zsup.exe
zunins.exe

小木头

应该把红叶兄的快速还原注册表默认值 (快速净化系统)集成到安全盾的注册表工具中.

longwang

昨天试用了红叶兄的“快速净化系统”，发现有恢复失败的信息，能否显示恢复失败的项目啊？想知道哪些项目恢复失败了。

emca

关于恢复失败信息：

1.某些系统中，个别键值可能并不存在，因此会提示失败信息；
2.如果对注册表键项采取过保护，如权限设置等，则也可能因写入被拒绝而失败。但如果是有意保护的，就算失败也没有什么问题，除非是在被修改后保护的。

黑名单和过滤规则正在加紧制作，正在试图从那些专业的流氓软件清除工具中分离流氓病毒文件的信息，已经分离好多项目了。整理好后就共享给大家！

另，上午在2000环境使用 Syscheck 时，发现服务项目不能使用，选择后程序停止响应。

sunkist

TO EMCA
在恢复前是否要把安全盾关了.

emca

1、使用本人提供的恢复工具恢复前，最好关闭所有监视程序。当然由于事先会运行Hook解除程序，因此安全盾不退出理论上是没有影响的。但有些工具仍然可能对注册表采取了监视，因此以关闭为佳。

2、安全盾规则共享。

wang6071

修改了一下红叶兄的共享过滤文件以便Win2000共享,含有Windows的目录
%SystemDrive%\windows\system32\drivers\|eb
这样会转换错误,用原来的形式即可.
c:\windows\system32\drivers\|eb
不管系统安装在哪个盘,都可正确转换C:\windows为d:\windows或c:\winnt或d:\wiint

仅是不含windows的系统其它目录需要使用%SystemDrive%

[ 本帖最后由 wang6071 于 2006-8-29 01:04 PM 编辑 ]

wang6071

　　发现一个小问题：进程管理界面下，smss.exe、csrss.exe和winlogon.exe的模块信息，用右键的查看文件属性功能无法打开exe文件的属性，但可以打开dll文件的属性，稍微对比了一下，发现这几个exe文件的详细路径显 ...

       这个是忘了转换了，下一版修正．

服务管理界面下点击服务状态之后的一个排版问题

从图上看没问题呀，按中文排在一起了．

上午在2000环境使用 Syscheck 时，发现服务项目不能使用，选择后程序停止响应

是最近的版本才出的问题还是一直都是这样?

emca

上午才有机会在2000下使用。现在我身边已经极难见到 2000了，因此不必为这点小小兼容性问题而费力了。我认为能够保证 XP和2003使用即可。后来这台2000我是干脆重装成XP了。

longwang

呵呵，2000环境使用 Syscheck 时，我也发现过停止响应的问题，另外syscheck里面没有单纯卸载模块的选项，都是带删除的。还有在exploer有严重错误的时候，无法定位文件，因为选定位文件exploer那时会错误终止。安全盾建议增加％systemroot％环境变量，或者启动时对filter一次检查处理，以filter增强共享特性。另外2000的用户现在还是很多的。

sunkist

是否做个bat 把共享里的那些文件一一删除。。

wang6071

原帖由 longwang 于 2006-8-29 04:21 PM 发表
呵呵，2000环境使用 Syscheck 时，我也发现过停止响应的问题，另外syscheck里面没有单纯卸载模块的选项，都是带删除的。还有在exploer有严重错误的时候，无法定位文件，因为选定位文件exploer那时会错误终止。安全 ...

单纯卸载模块而不删除有何用?卸载模块就是为了删除！单纯卸载模块后根据模块性质的不同可能引起进程的不稳定性，所以提供卸载模块就是为了删除。

在exploer有严重错误的时候，无法定位文件，这个问题估计只有微软能够解决。这种情况下不建议使用定位功能。

安全盾建议增加％systemroot％环境变量，或者启动时对filter一次检查处理，以filter增强共享特性：能提供Filter的人物也都是老大级人物了，照我1394楼的格式修改Filter再发布不是很难吧？:)

----------------------------------
syscheck(1.0.0.22)
服务管理页的右键菜单加入<查看文件属性>。
活动文件,敏感键值页加入<定位注册表>按钮,以方便有手动修改爱好的兄弟使用。
完善进程完理页的<输出信息>功能，将检测到的结果全部输出到桌面"Syscheck检测报告.txt"中。
解决某些兄弟喜欢将任务栏放到侧边致使程序最大化时某部份被挡住的问题。

emca

今天折腾一天的病毒，处理了好几台中毒非常厉害的系统。有些感受：

1、几台机器中杀毒之后无一例外都遇到 EXE 不能打开的故障，检查是病毒先修改 HKEY_CLASSES_ROOT\.exe 的默认值，本来是 exefile，却改成 winfile，然后创建 winfile 文件关联，并指向病毒文件。它并非直接修改 HKEY_CLASSES_ROOT\exefile 中的默认打开方式，因此一般的 EXE 修复技术无效！

    解决办法：由于任何EXE均不能运行，连 CMD 也都无法进入！因此，有两招可搞定：
    一是执行 command.com，如果病毒还算有良心没有破坏 COM 的关联，则进入这个命令行后再处理，即把注册表编辑器改名：
    copy c:\windows\regedit.exe c:\regedit.com
    c:
    cd\
    regedit
    二是按 Win+E，打开资源管理器！然后复制注册表编辑器并改名、执行！

   修改方法是 HKEY_CLASSES_ROOT\.exe 的默认值改成正确的 exefile，同时检查 HKEY_CLASSES_ROOT\exefile\shell\open\command 的默认值是否为 "%1" %*

    如果 COM 也不行，则可试试 pif 格式是否可用！方法与上面相同，仅仅是把 COM 换成 PIF 即可。

    ——因此，鉴于上述原因，Syscheck 如果遇到上述问题不能运行时，就可以用上述办法改成.com或 .pif 的扩展名后再用！！！！

    2、目前比较流行杀毒后磁盘分区全部或部分不能打开的故障！原因也是病毒修改了注册表的磁盘打开关联，而这个关联以往从来不被人重视！修复办法：
    在注册表编辑器中，将 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2 删除！不用担心，系统会根据磁盘分区具体情况自动重建这个键值，反复测试并不影响系统使用。
   或：在命令行执行以下命令：
    reg delete "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2" /f

    你也可以将下面的内容保存成一个批处理文件备用，急需时可快速解决磁盘分区不能正常打开的故障：
    假如批处理文件名为：FixDrvOpen.cmd
    内容：
reg.exe add "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v NoDriveAutoRun /t REG_BINARY /d ffffff03 /f
reg.exe add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer" /v NoDriveTypeAutoRun /t REG_DWORD /d 0x000000df /f
reg.exe add "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v NoDriveTypeAutoRun /t REG_DWORD /d 0x000000df /f
reg.exe add "HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v NoDriveTypeAutoRun /t REG_DWORD /d 0x000000df /f
reg delete "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2" /f

    ——因此建议Wangsea把上述修复磁盘分区打开故障的功能集成到 Syscheck 中！建议就采取删除 MountPoint2 和设置禁止所有固定磁盘驱动器的自动特性来实现（上述键值下，光盘不受影响）。

    3、本人提出的快速还原系统关键的自动加载默认键值设置的思路在实践中证明是有效的，尽管里面也有不少BUG，而且最高优先级的问题仍然没有解决，但在提高解决问题的速度上，亲自实践证明仍然是非常有效的。因此我将继续完善这个思路（目前已经进行了大量修改），待成熟后，希望 Wangsea 把这个功能通过更高效的编程方式移植到 Syscheck 中，可以考虑命名为“快速净化”（可考虑设置一个专门页面，里面支持全选、选择部分进行恢复，但不采取几十处键值一一选择的方式，而是可以考虑以通常的破坏可能性分成若干个级别？）。

    4、今天遇到这些重大中毒故障的系统中，有两台是正版瑞星、一台是网上从金山下载的金山杀毒最新版本。我真的非常纳闷：这些被无知者们捧上天的杀毒神仙，为什么对这些病毒都视而不见？！！！！！！杀毒软件不杀如此作恶多端的流氓病毒（改EXE关联、通过磁盘访问方式加载等难道不是病毒行为？！），或者是不作为，或者是杀毒软件已经在某种利益驱动下与病毒进行了灰色合作！！！！事实摆在那儿，我想这些杀毒软件的拥趸者和这些厂商的开发和技术人员是不需要任何分辩了，因为任何解释都只会越描越黑！！

    尤其可恶的是，为了杀掉病毒并清除病毒的注册表键值，我不得不首先杀掉瑞星！否则结果可能大家都遇到过：试图手工删除病毒键值时，瑞星跳出来干预了！真不知道瑞星实时监控在病毒写注册表时为什么不有效干预！

    善良的弱智用户们啊，醒醒吧！！！

sck

wang6071 兄：
我把安全盾规则filter.dat集成到原来的安全盾1.26上，这个一个自解压缩包，是用来替换红叶工具箱中的，如果我安装了，则安全盾规则又变回原来的了，如果是直接复制filter.dat到安装文件夹则可以。这是什么原因造成的？能否解答一下吗？我上传了，你看一下好吗？

longwang

to wang6071：
按照王兄的说法：“不管系统安装在哪个盘,都可正确转换C:\windows为d:\windows或c:\winnt或d:\wiint”
但我今天在2000中就未能将C:\windows转换为c:\winnt。请王兄检查一下。

[ 本帖最后由 longwang 于 2006-8-29 08:54 PM 编辑 ]

小木头

与楼上同样我的系统在F:\盘.也没正确转换还是显示C:\windows.    我 XP系统

wang6071

昏~,原因是压缩了sysshield.exe后发生的异常.
这里重传未压缩的sysshield.exe,请大家替换后测试.(以后更新干脆不压缩了)
正常了报告一声,我再更新偶空间上的完整包.

回来再看一下贴子,再昏~,都说是1.27版才支持的了,哪能集成在1.26版上呢？
大家试试偶空间下载1.27版吧，也许不是压缩的问题．

[ 本帖最后由 wang6071 于 2006-8-29 09:43 PM 编辑 ]

longwang

towang6071：
经测试XP下，未压缩和空间下载的退出重新启动sysshield.exe能够正常转换。2000系统现在没条件测试。

[ 本帖最后由 longwang 于 2006-8-29 10:34 PM 编辑 ]

sck

用未压缩的替换后正常了,太好了.

sck

wang6071 兄:
原来我的是1.27版的,制作自解压缩包是有问题的,用你提供的未压缩的或用(Win)Upack 0.39final压缩的就没这个问题,我这上传我制作的自解压缩包和压缩工具.

[ 本帖最后由 sck 于 2006-8-29 11:15 PM 编辑 ]

sck

压缩工具,请你用这工具压缩,压缩后的体积比你原压缩的小些.

wang6071

原帖由 sck 于 2006-8-29 11:10 PM 发表
压缩工具,请你用这工具压缩,压缩后的体积比你原压缩的小些.

谢谢，收下了!

longwang

1.27版2000系统正常。

yht

1.27完全安装版,主程序体积350kb左右!那个未压缩的sysshield.rar (2006-8-29 09:36 PM, 325.57 K) 实际体积竟达850kb!?.........

小木头

王兄  :
是压缩了sysshield.exe后发生的异常. 用未压缩的sysshield  不管系统安装在哪个盘,都可正确转换安全盾规则.