XP下的安全策略防毒(页 1) - 教程下载区 - 我爱电脑技术论坛打造最好的电脑自学交流论坛

administrator 发表于 2008-4-9 21:30

XP下的安全策略防毒

一、很多病毒木马为逃过用户的追杀，会藏在很隐蔽的地方，比如回收站，system volume  information(系统还原文件夹)等，并且加上隐蔽属性使用户不易发觉。而事实上，这些文件夹正常情况下是没有任何可执行程序的，所以我们可以建立以下规则：
?:\RECYCLER\*.* 不允许的这里?号的意思是所有盘符下因为回收站在每个盘下都有~%_e$Ys6Tt T2e
?:\System Volume Information\*.* 不允许的
%windir%\system32\drivers\*.* 不允许的  q@b&{ R
%windir%\system\*.* 不允许的  这里的%windir%意思就是 c:\windows 后面我会给大家补充这方面的~
7w\,i*A0N'OOp
下来我们试下刚才建立的规则~看到效果了吧限制了~再看看其他的~照样限制了吧~:l'I7T`I#jY^
剩下的两个留给大家自己试了~呵呵~

二、进程假冒是木马擅用的一个手段，比如system32文件夹下有一个svchost.exe的系统文件，病毒便同样以此文件命名，然后放到windows或其他任意文件夹下。病毒运行时系统默认的任务管理器里只会显示进程名为svchost.exe，而系统本来就有很多个svchost.exe,这样病毒很好地达到了欺骗用户的目的。所以我们在这里来建立两条规则来限制它：
1、svchost.exe 不允许的
2、%windir%\system32\svchost.exe 或通过浏览查找这一文件不受限的
在这里大家注意下，由于优先级的关系，第二条使用绝对路径的规则优先级高于第一条基于文件名的路径，也就是说第二条的路径下的是允许运行的，而其他任意路径下的都无法运行。所以在这里并不矛盾~
U~lH)N"x!q
下来我们试验下~同样限制了吧

三、有些病毒用双扩展名来迷惑用户，比如：MM.jpg.exe、免费得qq会员的方法txt.exe等等，然后再将图标改成前一个扩展名的图标，这里我就不改了，不少人会误认为它们是图片和文本文件而掉以轻心，再加上有诱惑力的文件名，中招就在所难免了。所以我们建立如下规则：
*.jpg.exe 不允许的
*.txt.exe 不允许的k p f+WXUd'w

这样可以有效防御此类的病毒~ 试验一个吧~还是限制了哈哈病毒完蛋了吧Qfm^!aPg;}

四、对U盘病毒，同样可用建立规则来限制(假如你电脑上的U盘符是G)
G:\*.exe 不允许的4||Ux {C)Z
G:\*.com 不允许的
如果电脑上不止一个USB接口，可以多写几个规则 G可以变化的~n8}9A_TVR,j

我插下U盘试下~病毒被限制了呵呵~~#vH0\ J Zt1g
urR;pf!t
五、文件名伪装虽然是比较老的技术了，不过依然有一定的“市场”
例如：explorer.exe和exp10rer.exe 大家仔细看会看出区别吗？
注意 0和o的区别、1和l的区别。由此我们来建规则：-MC(N5HnB,s
expl0rer.exe 不允许的
exp1orer.exe 不允许的,C9y {4K.wL-m
exp10rer.exe 不允许的ea$s?Oh;E;s"U
这里大家可看清楚了呵呵~~~ JC%i7O Jz ~(z~
.]"C&sN@-Y |
随便试验一个~限制了~
`8q!@6lBvHjZ

再补充下相关信息：
1、虽然使用软件安全策略带来的兼容性问题可能性很小，不过还是有的，一旦碰到了怎么办?其实系统已经帮我们准备了日志功能，如果是因系统安全策略的原因导致某个程序无法运行，系统会弹出警告对话框。这个对话框其实已经告诉我们解决方法了，赶紧到事件查看器中查看应用程序日志，双击打开出问题的日志提示，在描述中会告诉我们这一问题是因为哪条规则而引起的，我们只要把相应的规则删的删、改的改，这就由我们自由发挥了  看到了吧这就是我们刚才的限制~~P_b;^(`|.{
tM#[9W^9n tC{
2、在定义规则时我们可以使用绝对路径，也可以用通配符或者环境变量，这里就涉及一个规则的优先级问题了，按微软的规定：绝对路径>使用通配符的路径>文件名E%e;zUs,P_vN4b
常见的文件夹环境变量有
%allusersprofile% 表示 c:\documents and settings\all users
%appdata% 表示 c:\documents and settings\当前用户名\application data;]2H$\0_{p2H
%systemdrive% 表示 c:P;N$mm6Ty.UG
%systemroot%和%windir% 表示c:\windows!| \QFx)A%Z
%temp%和%tmp% 表示 c:\documents and settings\当前用户名\local settings\tempvDm_ch'O"W*j3h
%userprofile% 表示 c:\documents and settings\当前用户名4wl+YT lsl
%programfiles% 表示 c:\program fileswF ou@Y
(U t8j\,qrYGZu
这个大家看下就OK了~

3、在其他规则的右键菜单中，还有一个新散列规则，它通过提取文件的特征信息(如：版本、Hash码等)来识别文件，非常准确。但当系统文件正当升级后，散列规则将因无法识别而阻止它运行，从而造成系统瘫痪，所以建议大家一般不要使用新散列规则。Vmg}sR!G n

.U+Q6Yi:s7Sn)r
教程下载地址：（将两个附件下载到同一文件夹再进行解压即可）*~)R$D\6xe
[attach]16564[/attach]b:NjR.h(G:? E
[attach]16565[/attach]

座虎观山 发表于 2008-4-9 23:11

第一个d:w.IyrZ0W
没看明白，

ppmill 发表于 2008-6-7 06:00

很不错，希望内容更精彩，谢楼主嘞！
:)14)

页: [1]

我爱电脑技术论坛's Archiver

XP下的安全策略防毒