[sysshield]系统安全盾

rightt · 发表于 2006-9-8 23:16:38

持续感谢大大的热情及超标级的软件，専次感谢！

＝＝＝＝＝＝＝＝＝
另：
总感觉安全盾的图标有点……
故稍作修正，只是修正，没有修改，绝对保持原汁原味，见附件。
希望大大能启用这个修正过的图标，愿大家齐喜！！;P

wang6071 · 发表于 2006-9-9 00:10:57

谢谢 rightt 的修改 ,小细节都注意到了.下面的附件是启用您修改的图标重新编译的.
------------------------------------------------------------------------------------
to namejm :
1:检查一下你的文件夹选项-->查看-->是否是显示所有的文件
2:如果还不行贴个图看一个哪个内核驱动定位不到.(调整一下宽度,让路径显得完整一些)

namejm · 发表于 2006-9-9 00:30:03

　　贴图如下(点其他的没反映)：

6618 · 发表于 2006-9-9 00:36:18

反馈一下syscheck 1.0.0.29的测试发现的一些问题：
1、快速净化后，当我取消重启时，想打开编辑“Syscheck修复前备份”中的任何一个都没反应，打开桌面上的其他任何一个程序也没反应。
2、当我重启后，能解决1的问题，“但当我还原禁用的服务”后，重启机子时，在“正在关机处”失去响应，只能按机箱的RESTART重启。(之前的syscheck 1.0.0.28版也有这两个问题）

建议做成快速净化1和快速净化2，快速净化1像以前那样（syscheck 1.0.0.25版），保留声卡和网卡驱动——不禁用它们，这样净化后不用再还原禁用的禁服也可以上网，也有声音。快速净化2则是现在这个，净化更为彻底些。

[ 本帖最后由 6618 于 2006-9-9 12:40 AM 编辑 ]

wang6071 · 发表于 2006-9-9 00:50:35

原帖由 6618 于 2006-9-9 12:36 AM 发表
反馈一下syscheck 1.0.0.29的测试发现的一些问题：
1、快速净化后，当我取消重启时，想打开编辑“Syscheck修复前备份”中的任何一个都没反应，打开桌面上的其他任何一个程序也没反应。
2、当我重启后，能解决1的 ...

关于1是因为快速净化中自动选择了,<禁止线程创建>,你不取消它当然你无法做任何操作 :)

关于2应该比上一版情况要好很多呀,怎么会如此了,我再检查一下.你也可以尝试在1之后不重启手动编辑还原批处理,还原部份硬件驱动再做试验.(顺便把当前版本净化后的还原批处理的内容贴一下,与先前的比较一下是否减少了很多呢?)

to namejm:
估计是机器不同形成的原因,该文件无路径载入一般都在system32或windows下,用搜索功能可以找到.不过我还是感觉挺奇怪的，你查一下这几个文件的属性，厂商，生成时间，是哪个公司的．找不到goole一下也行．

----------------------------------------------
我现放上一个不是很彻底的版本，选择取消后自动取消了<禁止线程创建>的大家试试，看是否兼容性要好一些．

[ 本帖最后由 wang6071 于 2006-9-9 12:58 AM 编辑 ]

6618 · 发表于 2006-9-9 00:58:15

原帖由 6618 于 2006-9-9 12:36 AM 发表
反馈一下syscheck 1.0.0.29的测试发现的一些问题：
1、快速净化后，当我取消重启时，想打开编辑“Syscheck修复前备份”中的任何一个都没反应，打开桌面上的其他任何一个程序也没反应。
2、当我重启后，能解决1的 ...

1原来是这个原因，明白了谢谢。

1.0.0.29版还原服务的内容如下：
sc config "ac97intc" start= DEMAND
sc config "ALCXWDM" start= DEMAND
sc config "EQSpyWatch" start= DEMAND
sc config "FETNDIS" start= DEMAND
sc config "gameenum" start= DEMAND
sc config "Gpc" start= DEMAND
sc config "HidUsb" start= DEMAND
sc config "ialm" start= DEMAND
sc config "Imapi" start= system
sc config "intelppm" start= system
sc config "Ip6Fw" start= DEMAND
sc config "mssmbios" start= DEMAND
sc config "ms_mpu401" start= DEMAND
sc config "NPF" start= DEMAND
sc config "npkcrypt" start= AUTO
sc config "NwlnkFlt" start= DEMAND
sc config "NwlnkFwd" start= DEMAND
sc config "RDPCDD" start= system
sc config "rdpdr" start= DEMAND
sc config "RTL8023xp" start= DEMAND
sc config "SmartAVS" start= DEMAND
sc config "TermDD" start= system
sc config "usbprint" start= DEMAND
sc config "vmm" start= system
sc config "xFileMgr" start= system

wang6071 · 发表于 2006-9-9 01:01:22

原帖由 6618 于 2006-9-9 12:58 AM 发表

1原来是这个原因，明白了谢谢。

1.0.0.29版还原服务的内容如下：
sc config "ac97intc" start= DEMAND
sc config "ALCXWDM" start= DEMAND
sc config "EQSpyWatch" star ...

看来安全模式下还是将你的硬件都禁了！那个列表基本无用！
还是用 #1627 楼的吧，基本上是最好情况了．重启前自已改一下批处理先运行再重启就行了．

6618 · 发表于 2006-9-9 01:04:33

原帖由 wang6071 于 2006-9-9 12:50 AM 发表

我现放上一个不是很彻底的版本，选择取消后自动取消了<禁止线程创建>的大家试试，看是否兼容性要好一些．

[ 本帖最后由 wang6071 于 2006-9-9 12:58 AM 编辑 ]

附件: syscheck(1.0.0.29).rar (2006-9-9 12:58 AM, 384.82 K)
该附件被下载次数 1

这个版本我试了，没有了之前说的1和2的问题，一切正常。

wang6071 · 发表于 2006-9-9 01:08:28

原帖由 6618 于 2006-9-9 01:04 AM 发表

这个版本我试了，没有了之前说的1和2的问题，一切正常。

正常是正常,但没法禁用用system加载的驱动.只能禁用自动及手动形启动的服务.为兼容性只好这样做了.

6618 · 发表于 2006-9-9 01:14:56

原帖由 wang6071 于 2006-9-9 01:08 AM 发表

正常是正常,但没法禁用用system加载的驱动.只能禁用自动及手动形启动的服务.为兼容性只好这样做了.

做成快速净化1和快速净化2，快速净化1用这个，且不禁用声、网驱动。快速净化2用上一个？——哈哈，建议而已。

wang6071 · 发表于 2006-9-9 01:18:27

原帖由 6618 于 2006-9-9 01:14 AM 发表

做成快速净化1和快速净化2，快速净化1用这个，且不禁用声、网驱动。快速净化2用上一个？——哈哈，建议而已。

算了,这个世界还是菜鸟居多,弄不好一天到晚提问题,麻烦......
技术较强一点的都可手动分析出这类木马(其实以system方式启动的木马还是很少的),快速净化目的只是减少一点修复时间,这样看来目的还是基本可达到的.

emca · 发表于 2006-9-9 08:04:41

赞成！医生治病不治命，彻头彻尾的菜鸟没有办法，只好听之任之。
如果是真正的纯种菜鸟，还是上街买那种万能克隆光盘，每天克隆一两次就解决了，哈哈～

xdg3669 · 发表于 2006-9-9 09:14:00

经测试#1621楼和#1627楼的sysckeck2,

1、在我的xp sp2机上没有6618的哪两情况；

2、#1621楼和#1627楼的sysckeck2生成两个禁用的服务对比，#1627楼的没有禁用到系统加载的部分。

3、用#1621楼的和syscheck(1.0.0.28)生成的禁用的服务.bat对比，两个文件相同。

4、用“启动备份.reg”恢复的启动项在Msconfig观看重复了。但能彻底恢复。

其他生成的文件都相同。

sunkist · 发表于 2006-9-9 11:17:35

原帖由 emca 于 2006-9-9 08:04 AM 发表
赞成！医生治病不治命，彻头彻尾的菜鸟没有办法，只好听之任之。
如果是真正的纯种菜鸟，还是上街买那种万能克隆光盘，每天克隆一两次就解决了，哈哈～

;P 这样下去硬盘也会短命。。。。。。。。。

freesoft00 · 发表于 2006-9-9 20:30:25

系统安全盾是个很好的安全软件

想问一下，是否能和Winpooch，ssm ,pg,gss 等软件一起使用.是否有冲突.

另外,想问一下Winpooch的规则如何编写.

emca · 发表于 2006-9-9 20:41:43

更新安全盾最新规则，添加了若干最新病毒特征定义，尤其是添加了 .job 的文件类型（Dudu等就利用系统计划任务定时自动修复病毒本体）。
同时附上最新的 Winpooch 规则。

另，我的系统中同时使用安全盾和 Winpooch 似乎没有冲突，但也似乎没有必要（二者选一即可）。安全盾相对使用傻瓜化一些，Winpooch可能有些交互，需要非菜鸟资格才好用，但防护更严厉（比安全盾多出运行规则、网络访问规则并支持目录或文件的双重模糊匹配）。

在对付未知病毒上，Winpooch 的逻辑模糊判断可能防护更严格，但对正常安装的影响可能也更明显。下午测试了几个没有在安全盾中添加规则的病毒，只有Winpooch能够100%有效阻止其植入。

因此，一般人建议用安全盾，喜欢折腾的而且非菜鸟资格的可同时试试 Winpooch。如果你觉得需要发帖问人了，那么就肯定应当选择安全盾。

[ 本帖最后由 emca 于 2006-9-9 08:44 PM 编辑 ]

freesoft00 · 发表于 2006-9-9 21:11:02

Winpooch我也很喜欢,自己也学着加入规则,

但是还有不明白的地方.比如,网络的监听和连接规则有何不同?等.

在网上搜了一下Winpooch的规则配置,没搜到.希望有一个详细的教程.

另外,用上Winpooch,是否有必要和gss同时使用.?

感谢emca的规则和回复

freesoft00 · 发表于 2006-9-9 21:14:56

希望,王兄更新安全盾的时候同时更新上规则.

emca · 发表于 2006-9-9 21:17:13

Winpooch 不宜与Gss等同类软件同时使用，否则可能会导致严重冲突，导致系统停止响应甚至蓝屏！

Winpooch 的网络规则并不太理想，毕竟不是专门的防火墙。因此其网络规则我没有仔细配置。

wang6071 · 发表于 2006-9-9 21:53:25

原帖由 freesoft00 于 2006-9-9 09:14 PM 发表
希望,王兄更新安全盾的时候同时更新上规则.

目前安全盾还无更新,最新版是20060908 1.3版,发布在红叶兄规则之前,所以单独将红叶兄新定制的规则文件放到了我的空间供下载1.3版的兄弟安装后更新.

另外,发现红叶兄规则中有一条:c:\recycler\|ebd
请问一下这是仿冒回收站的新木马所建目录,还是recycled的笔误.

[ 本帖最后由 wang6071 于 2006-9-9 09:57 PM 编辑 ]

gdlgh · 发表于 2006-9-9 21:56:21

wang兄，安全盾”文件监控“项能否在已删除列表中加入文件的删除时间。

emca · 发表于 2006-9-9 22:02:44

[quote]原帖由 wang6071 于 2006-9-9 09:53 PM 发表

另外,发现红叶兄规则中有一条:c:\recycler\|ebd
请问一下这是仿冒回收站的新木马所建目录,还是recycled的笔误.
-----------------------
回复：
确实是发现一种新病毒仿冒这个目录名欺骗用户的，因此添加了这个规则。
因此，我在Winpooch中，添加的规则已经改成 ?:\recycle?\*.exe 的格式。

反复把玩Sysshield与Winpooch，感觉Winpooch的优点如下：
1.全程支持通配符
它支持当前路径的通配符和全路径的通配符，因此规则制订时既可简化规则，又可增强防护效果（当然得非常小心！）。
比如，*3721\*.exe 在单一路径规则时，仅仅只匹配这一级路径；如果指定为全路径规则，则*可替代多级任意路径！强的令人害怕。

2.执行保护
黑名单目录中的指定类型文件均无法执行，能够有效预防已经中毒的系统中的病毒程序的加载。

3.真正的文件写入防护
不知道它是怎样实现的，文件反正无法写入，而不是写入后删除。感觉心里更踏实：）

4.可交互操作
Winpooch 的规则支持用户采取多种响应方式，打开规则属性后即可灵活修改。尤其在调试或分析时，选择生成日志，可以极其方便地跟踪。

5.支持规则优先级
这样我们可以先允许特定程序执行，然后再禁止其他任何程序的执行。我对Windows相关目录就是这样处理的：系统本身的程序允许执行，其他的一律不许！这样，象灰鸽子之流基本没有执行机会，哪怕没有一条专门针对灰鸽子的规则。

说了上述那么多，主要目的是供 Wangsea 参考。也建议Wangsea兄有空时也把玩一下Winpooch。另外它是一个开源软件，能够弄到源代码，是否有些参考意义？

[ 本帖最后由 emca 于 2006-9-9 10:11 PM 编辑 ]

wang6071 · 发表于 2006-9-9 22:04:48

原帖由 gdlgh 于 2006-9-9 09:56 PM 发表
wang兄，安全盾”文件监控“项能否在已删除列表中加入文件的删除时间。

可以是可以,但觉得作用不大,反而增加删除时的处理时间.

另外,删除列表也只是设计成了保存最后400条的删除记录,这个主是从内存占用上长期不释放上考虑的.所以如果删除太多,你可能看不到最前面的删除记录.

emca · 发表于 2006-9-9 22:15:19

为方便其他安全爱好者，特将最常见的140多种流氓病毒和干扰性程序安装目录列表提供如下（有些流氓病毒没有专门的安装目录，这个得注意），供大家参考（有时可能用得着）：
%ProgramFiles%\100bao
%ProgramFiles%\360so
%ProgramFiles%\3721
%ProgramFiles%\5460
%ProgramFiles%\8848
%ProgramFiles%\Accoona
%ProgramFiles%\ad4all
%ProgramFiles%\Alexa Toolbar
%ProgramFiles%\ALiBaBar
%ProgramFiles%\baidu
%ProgramFiles%\baigoo
%ProgramFiles%\BiGet
%ProgramFiles%\bysootb
%ProgramFiles%\caishow tech
%ProgramFiles%\ChinaNet
%ProgramFiles%\chinasms
%ProgramFiles%\ChinaVNet
%ProgramFiles%\cnet
%ProgramFiles%\cnnic
%ProgramFiles%\common files\!Sunv
%ProgramFiles%\common files\comm
%ProgramFiles%\common files\Hyperbar
%ProgramFiles%\common files\ie-bar
%ProgramFiles%\common files\sand
%ProgramFiles%\Common Files\SDAgent
%ProgramFiles%\common files\smartde
%ProgramFiles%\Common Files\Sogou PXP
%ProgramFiles%\common files\system
%ProgramFiles%\common files\upd
%ProgramFiles%\common files\updat
%ProgramFiles%\Common Files\UPDATE
%ProgramFiles%\common files\winsoftware
%ProgramFiles%\coolwebsite
%ProgramFiles%\Copyso
%ProgramFiles%\CyberArticle
%ProgramFiles%\deskadtop
%ProgramFiles%\desktop media
%ProgramFiles%\Dianying
%ProgramFiles%\dodoorrssfinder
%ProgramFiles%\dudu
%ProgramFiles%\ebay
%ProgramFiles%\EbayShop
%ProgramFiles%\fliebar
%ProgramFiles%\FunWebProducts
%ProgramFiles%\fzdown
%ProgramFiles%\gimmysmileys
%ProgramFiles%\gogo
%ProgramFiles%\google
%ProgramFiles%\HarrySou Toolbar
%ProgramFiles%\hbclient
%ProgramFiles%\hbhdp
%ProgramFiles%\hbtools
%ProgramFiles%\hdp
%ProgramFiles%\henbang
%ProgramFiles%\Henbang Applications
%ProgramFiles%\HOTBAR
%ProgramFiles%\huaci
%ProgramFiles%\ibar
%ProgramFiles%\ICQToolbar
%ProgramFiles%\ie-bar
%ProgramFiles%\ieup
%ProgramFiles%\IE修复专家
%ProgramFiles%\infofo bar
%ProgramFiles%\InstallShield Installation Information
%ProgramFiles%\internet explorer
%ProgramFiles%\is
%ProgramFiles%\KooWo
%ProgramFiles%\Kos
%ProgramFiles%\Kuaiso Toolsbar
%ProgramFiles%\letscool
%ProgramFiles%\LtUcx
%ProgramFiles%\Media Access
%ProgramFiles%\Media Gateway
%ProgramFiles%\meibu
%ProgramFiles%\messenger
%ProgramFiles%\micrsoft searchbar
%ProgramFiles%\MINIPP
%ProgramFiles%\minippgou
%ProgramFiles%\Miphone
%ProgramFiles%\mmsassist
%ProgramFiles%\mop
%ProgramFiles%\msn messenger
%ProgramFiles%\MSN Toolbar Suite
%ProgramFiles%\mysec
%ProgramFiles%\MyWebSearch
%ProgramFiles%\nb46
%ProgramFiles%\nb46.com
%ProgramFiles%\netcounter
%ProgramFiles%\netease
%ProgramFiles%\netmeeting
%ProgramFiles%\NetMeting\Target
%ProgramFiles%\p4p
%ProgramFiles%\pcast
%ProgramFiles%\PhBookJar
%ProgramFiles%\pocozineplayer
%ProgramFiles%\qqhelper
%ProgramFiles%\qyule
%ProgramFiles%\Qyule.exe
%ProgramFiles%\Rising\KakaToolBar
%ProgramFiles%\sandai
%ProgramFiles%\Save Flash
%ProgramFiles%\ScanToolbar
%ProgramFiles%\sdastro
%ProgramFiles%\searchnet
%ProgramFiles%\ShopperReports
%ProgramFiles%\Sina
%ProgramFiles%\Sogua_Toolbar
%ProgramFiles%\Sougou PXP
%ProgramFiles%\Super Rabbit\IEG
%ProgramFiles%\Super Rabbit\MagicSet
%ProgramFiles%\system
%ProgramFiles%\systems
%ProgramFiles%\syulexk
%ProgramFiles%\TENCENT\Adplus
%ProgramFiles%\TENCENT\Sosobar
%ProgramFiles%\TweakAssist
%ProgramFiles%\Uninstall Information
%ProgramFiles%\Vagaa
%ProgramFiles%\vika
%ProgramFiles%\visionnet
%ProgramFiles%\vvsn
%ProgramFiles%\vvz
%ProgramFiles%\Windows ControlAd
%ProgramFiles%\Windows Live Toolbar
%ProgramFiles%\windows nt
%ProgramFiles%\WindowsUpdate
%ProgramFiles%\winfixer 2005
%ProgramFiles%\Winkld
%ProgramFiles%\wint
%ProgramFiles%\wsearch
%ProgramFiles%\xBar
%ProgramFiles%\XPLUS!
%ProgramFiles%\yahoo!
%ProgramFiles%\yayad
%ProgramFiles%\yisou
%ProgramFiles%\YOK.com
%ProgramFiles%\yulexk
%ProgramFiles%\zcom
%ProgramFiles%\ZhongSou
%ProgramFiles%\博体球讯_bt888.net
%ProgramFiles%\网络猪
%ProgramFiles%\易虎
%ProgramFiles%\忆多多
%SystemRoot%\debug\usermode

emca · 发表于 2006-9-9 22:16:31

请 Wangsea 看看 1643楼。谢谢！

gdlgh · 发表于 2006-9-9 22:39:39

谢谢wang兄、红叶兄关注。
今晚9点多更新红叶兄的新规则时，习惯性点看了“文件监控”项发现删除了五次系统临时目录下system.dll文件，却不知道何时删除，关闭主界面再打开“文件监控”项内容已经没有了。刚吃过晚饭时看过次页并没有内容，想了半天不知道操作什么时产生了临时动态链接文件，我想加入删除时间便于查询。

wang6071 · 发表于 2006-9-9 23:56:23

安全盾1.31 20060909更新说明:
  因交流的过滤文件中的目录格式可能导致程序误判,比如:
  c:\program files\|e
  c:\program files\hotbar
  会导致c:\program files目录的只读保护,未定义规则的其它子目录写不进任何文件,
  原因在于c:\program files\hotbar少写了最后一个\.
  所以,本次针对这种可能的写法在程序中做了修正.
  同时,本次升级采用了红叶兄搜集整理的最新过滤规则.(仅过滤了重复的几条规则)

------------------------------
回复红叶兄:
1:全程支持通配符安全盾可以办到,但是如本次修正的一样,很容易发生误判.特别在规则太多时,可能不易发现问题.
2:Winpooch的功能大多是通过win32级钩子做成的,所以Hook了许多api,这些都是全局钩子,可能会影响程序的运行反映.
3:win32级的hook比较容易突破,你用syscheck的卸载模块试试．:其实做得好的还有ssm，这个做得较底层．
4:下过Winpooch源码，不过要装另一个控件才可编辑(对VC的IDE我极不熟悉,且好象它所用的编译器非Vc的)，我的C功夫是三脚猫，控制台的还勉强看懂，带界面的就转来转去不知转到哪去啦．哈哈．最主要的还是实在没有精力搞那么多，搞个简单的有点补充效果就觉得很满足啦．

[ 本帖最后由 wang6071 于 2006-9-10 01:16 AM 编辑 ]

referid · 发表于 2006-9-10 00:45:36

wang你好.我在使用你的软件时候发现他好象不支持多个帐户?当多个帐户启动的时候有时就会报错.甚至不注销用户的话根本无法切换用户.请你检查一下.谢谢.

gdlgh · 发表于 2006-9-10 10:09:30

谢谢wang兄，专门做加了删除时间的！！！
测试效果非常好，一目了然。没感觉到删除的时间延迟。

yht · 发表于 2006-9-10 11:57:42

sysshield增设显示删除时间!很有必要!可使吾等做到心中有数!有据可查!实际使用也并没有发现sysshield资源增加......

		自动登录	找回密码
密码			注册