[sysshield]系统安全盾

6618

我试了上面的那个网页，一共弹出了33个窗口，但没有发现有木马改定注册表之类的，不知是不是我的系统加强了设置的问题。当把下面的项禁用后，窗口就弹不出来。

xdg3669

原帖由 6618 于 2006-11-19 10:19 AM 发表
我试了上面的那个网页，一共弹出了33个窗口，但没有发现有木马改定注册表之类的，不知是不是我的系统加强了设置的问题。当把下面的项禁用后，窗口就弹不出来。

这样的设置应该能拦截所有不安全的控件。我用OPERA，关闭了卡巴，没有任何窗口提示；打开了卡巴，不断弹出警告

sck

是有木马,被卡巴检测到，安全盾也检测到想创建一个进程。

小木头

好厉害！我用傲游试了试这个网站，打开后弹出了无数个网页。我的安全盾未任何提示！可能是我打全了ＸＰ系统补丁的原因！


提醒大家不要用ＩＥ进行测试　

[ 本帖最后由 小木头 于 2006-11-19 01:07 PM 编辑 ]

6618

原帖由 xdg3669 于 2006-11-19 11:09 AM 发表
这样的设置应该能拦截所有不安全的控件。我用OPERA，关闭了卡巴，没有任何窗口提示；打开了卡巴，不断弹出警告

我的机子没有装杀毒软件，当时也没打开安全盾，是裸机，打开那个网页，我动都不动它，让它自己弹完了33个窗口后，我再用一系列的工具查看进程，并没发现有可疑的进程和启动项，也许病毒未能得逞？有点奇怪，不知道是不是我的机子打齐了补丁，使用了IP安全策略和使用了红叶的恶意网页木马免疫的缘故。

zwww1967

多谢，更加完善了，辛苦了。

wang6071

上面那个网不算什么(也不知是否是偶的补丁也打得较全,没遇到弹出警告,Maxthon优秀地阻止了同名窗口的创建),昨天测试的这个才历害,刚才试了试还是有马,测试前请作好防备工作,有一大堆的木马将下载运行.....(偶测试到最后是反复无休止地生成几个同名文件,只得关了Mathon,重新打开才没有再继续下载运行木马)

www.1717kan.cn/index_1077.asp

e:\docume~1\admini~1\locals~1\temp\888bar16.exe进程创建被阻止 2006-11-18 20:08:55
e:\docume~1\admini~1\locals~1\temp\firendnet9.exe进程创建被阻止 2006-11-18 20:09:14
e:\docume~1\admini~1\locals~1\temp\e05f59a163a00997.exe进程创建被阻止 2006-11-18 20:09:18
e:\docume~1\admini~1\locals~1\temp\20116.exe进程创建被阻止 2006-11-18 20:09:19
e:\docume~1\admini~1\locals~1\temp\20311.exe进程创建被阻止 2006-11-18 20:09:20
e:\docume~1\admini~1\locals~1\temp\setup.exe进程创建被阻止 2006-11-18 20:09:21
c:\aut0exec.exe进程创建被阻止 2006-11-18 20:09:22
e:\docume~1\admini~1\locals~1\temp\1016.exe进程创建被阻止 2006-11-18 20:09:24
e:\docume~1\admini~1\locals~1\temp\setup-279.exe进程创建被阻止 2006-11-18 20:09:25
e:\docume~1\admini~1\locals~1\temp\sna.exe进程创建被阻止 2006-11-18 20:09:26
e:\docume~1\admini~1\locals~1\temp\tubar1211.exe进程创建被阻止 2006-11-18 20:09:26
e:\docume~1\admini~1\locals~1\temp\20060901003.exe进程创建被阻止 2006-11-18 20:09:28
e:\docume~1\admini~1\locals~1\temp\host7008.exe进程创建被阻止 2006-11-18 20:09:29
e:\docume~1\admini~1\locals~1\temp\svchost.exe进程创建被阻止 2006-11-18 20:09:34
c:\123.exe进程创建被阻止 2006-11-18 20:09:42
e:\docume~1\admini~1\locals~1\temp\svchost.exe进程创建被阻止 2006-11-18 20:09:43
e:\docume~1\admini~1\locals~1\temp\0.exe进程创建被阻止 2006-11-18 20:09:44
e:\docume~1\admini~1\locals~1\temp\wingoin.exe进程创建被阻止 2006-11-18 20:09:45
e:\docume~1\admini~1\locals~1\temp\wingoin.exe进程创建被阻止 2006-11-18 20:09:46
e:\docume~1\admini~1\locals~1\temp\wingoin.exe进程创建被阻止 2006-11-18 20:09:48
e:\docume~1\admini~1\locals~1\temp\mdb.exe进程创建被阻止 2006-11-18 20:09:50
e:\docume~1\admini~1\locals~1\temp\xia.exe进程创建被阻止 2006-11-18 20:09:50
e:\docume~1\admini~1\locals~1\temp\wingoin.exe进程创建被阻止 2006-11-18 20:09:51
e:\docume~1\admini~1\locals~1\temp\wingoin.exe进程创建被阻止 2006-11-18 20:09:52
e:\docume~1\admini~1\locals~1\temp\wingoin.exe进程创建被阻止 2006-11-18 20:09:53
e:\docume~1\admini~1\locals~1\temp\0.exe进程创建被阻止 2006-11-18 20:09:53
e:\docume~1\admini~1\locals~1\temp\svchost.exe进程创建被阻止 2006-11-18 20:09:54
e:\docume~1\admini~1\locals~1\temp\svchost.exe进程创建被阻止 2006-11-18 20:09:57
e:\docume~1\admini~1\locals~1\temp\mdb.exe进程创建被阻止 2006-11-18 20:09:57
e:\docume~1\admini~1\locals~1\temp\mdb.exe进程创建被阻止 2006-11-18 20:09:58
e:\docume~1\admini~1\locals~1\temp\mdb.exe进程创建被阻止 2006-11-18 20:09:59
e:\docume~1\admini~1\locals~1\temp\0.exe进程创建被阻止 2006-11-18 20:09:59
e:\docume~1\admini~1\locals~1\temp\svchost.exe进程创建被阻止 2006-11-18 20:10:03
e:\docume~1\admini~1\locals~1\temp\xia.exe进程创建被阻止 2006-11-18 20:10:05
e:\docume~1\admini~1\locals~1\temp\nwod.exe进程创建被阻止 2006-11-18 20:10:07
e:\docume~1\admini~1\locals~1\temp\svchost.exe进程创建被阻止 2006-11-18 20:10:13
e:\docume~1\admini~1\locals~1\temp\svchost.exe进程创建被阻止 2006-11-18 20:10:15

[ 本帖最后由 wang6071 于 2006-11-19 05:37 PM 编辑 ]

bbb333

原帖由 wang6071 于 2006-11-18 05:26 PM 发表
可能是你先启动了bt工具再在浏览器中点击bt种子吧?这样是不会阻止的.

要阻止窗弹出是需要在浏览器中点击bt种子,下载完bt种子后直接由浏览器启动bt软件来打开bt种子,这样的操作才会弹出阻止窗.

谢谢王兄，就是这个问题，现在正常了，再一次谢谢王兄和飞沙兄。

小木头

今天下载了一个最新Windows清理助手用它扫了一下系统，竟然提示发现了svchsot.exe及sxs.exe木马．打开显示硬盘各个分区选显示隐藏文件，果然在ＤＥ发现各发现一个sxs.exe木马（一个戴眼镜的小孩头像图标）其他分区没有．可是找不到生成的autorun.inf．右键也没有自动播放选项．syscheck中也没有发现它的进程和服务！看来是安全盾阻止了他的运行并未生成autorun.inf．由于使用中系统并未出现异常．于是我把sxs.exe直接删除并把它直接添加到系统黑名单中了．

[ 本帖最后由 小木头 于 2006-11-19 08:35 PM 编辑 ]

wang6071

自动转入Dos下删除文件,支持ntfs,采用了磁盘卷标这一不随系统环境改变的标识来判断转换文件路径,理论上解决了Dos与win下盘符不统一的问题.(存在的问题是可能在state硬盘上取不到卷标,Ide硬盘应该不存在问题)

另外,Img中的批处理写得很粗糙,无忧高手来优化一下。程序未经严格测试，请有条件环境的兄弟测试一下。

[ 本帖最后由 6618 于 2006-11-20 01:21 PM 编辑 ]

zts59

呵呵，又是一个建议：
能不能搞个像 ERD 里面那个设定目标WINDOWS系统文件夹，然后在WIN PE或另一WINDOWS中用SYSCHECK,
来对目标WINDOWS系统进行检测和修复，好像WINDOWS注册表中有记录其磁盘分区和盘符，
这样结合路径来做系统驱动、服务、启动项（含其对应的文件验证）。

wang6071

昨天家中的机器速度太慢,未实测删除文件,今天实测后修正如下:
1:
上一版只是将思路提出,完成时未经实际删除检验,今天检测后发现形如
0000-B638=C:\ 的环境变量用 %0000-B638%引用后无法转换,所以改进为:
B638=C:\ 这样环境变量 %B638%可以正确转换为C:\
2:
修正windows下自动重启前出现的一个错误对话框。
3:
感觉以此为思路将一键恢复做到windows下应该比现有的一键都方便．这个就各人研究了，哈哈！

[ 本帖最后由 wang6071 于 2006-11-20 12:15 PM 编辑 ]

6618

原帖由 wang6071 于 2006-11-19 11:14 PM 发表
自动转入Dos下删除文件,支持ntfs,采用了磁盘卷标这一不随系统环境改变的标识来判断转换文件路径,理论上解决了Dos与win下盘符不统一的问题.(存在的问题是可能在state硬盘上取不到卷标,Ide硬盘应该不存在问题)

另外,Img中的批处理写得很粗糙,无忧高手来优化一下。程序未经严格测试，请有条件环境的兄弟测试一下。

先向WANG兄说声sorry！前面的帖子我按引用，不小心按到了编辑了。WANG兄的这一思路确实不错，应该是史无前例！今晚如果有时间我将在我的机子上测试一下，我的是SATA硬盘。

[ 本帖最后由 6618 于 2006-11-20 01:24 PM 编辑 ]

zts59

原帖由 wang6071 于 2006-11-20 12:13 PM 发表
昨天家中的机器速度太慢,未实测删除文件,今天实测后修正如下:
1:
上一版只是将思路提出,完成时未经实际删除检验,今天检测后发现形如
0000-B638=C:\ 的环境变量用 %0000-B638%引用后无法转换,所以改进为:
B638 ...

王兄，我改了一下你的镜像，好像提高一丝丝的安全性，需要你改一下你的程序.



觉得没有必要判断什么盘符或卷标吧，如果Mydelfile.exe成生的像这样的：

$d$ /y ”\文件路径\文件名“        注解：$d$是外部命令(deltree改名的)，然后为了防止长文件路径，所以加上引号。

用ＩＦＳ来识别ＮＴＦＳ，它可以支持长文件名和路径（带引号）。
ＩＦＳ对ＮＴＦＳ下面的长文件有点问题。

如果不用长文件名表示路径的话，就ＯＫ，


这里说到ＮＴＦＳ不用长文件名表示路径径的话，最好是用ntfs4dos这个了，这个更小。


我改的这个镜像需要Mydelfile.exe要删除文件的要目录成生的一个delfiles.tmp，内容格如下：
$d$ /y ”\文件路径\文件名“

执行完成后，删除delfiles.tmp,最后还把生成了一个dellog.log记录（多次执行累加的记录）

[ 本帖最后由 zts59 于 2006-11-21 04:27 PM 编辑 ]

wang6071

原帖由 zts59 于 2006-11-20 07:01 PM 发表
王兄，我改了一下你的镜像，好像提高一丝丝的安全性，需要你改一下你的程序.
觉得没有必要判断什么盘符或卷标吧，如果Mydelfile.exe成生的像这样的：
$d$ /y ”\文件路径\文件名“        注解： ...

嘿嘿,与大家探讨一下,我说得也不一定对,综全意见大家分析一下该如何做才是最佳处理.

偶的镜像用doslfn加载了长文件名支持,所以可以不用引号删除长文件名
ntfspro我自我感觉兼容性强于ifs.至于判定盘符卷标是可能有人不止有一个xp系统,而且有时删除的文件可能是系统文件(视需要),所以加判断.

您说的方法是在待删除文件目录生成delfiles.tmp,这个做法可能有点问题,因为待删除文件目录有可能有所保护,需要先突破保护才能写入delfiles.tmp.
而且每删除一个不同目录的文件就得生这样一个delfiles.tmp,操作不太简洁.如果用户取消了删除,还不得不分析文件,重新生成delfiles.tmp.容易造成误操作.

zts59

我说是那个delfiles.tmp是生成在分区的根目录　（同一分区删除文件只要在根目录有这个文件就行了）

这样，delfiles.tmp内容是不含盘符，是用相对于“\"根目录的相对路径。不会误删除文件的。

流程如下：
autoexec.bat call drvif.bat  　

drvif.bat call delfiles.bat

DELFILES.BAT CALL DELFILES.TMP

由drvif.bat判断整个硬盘哪个分区有delfiles.tmp,有则用DELFILES.BAT调用该分区的DELFILES.TMP(调用前，先转到该分区，这样才有效解了盘符问题，然后改名BAT调用)

@echo off
IF EXIST C:\DELFILES.TMP CALL DELFILES.BAT C: >nul
IF EXIST D:\DELFILES.TMP CALL DELFILES.BAT D: >nul

IF EXIST Z:\DELFILES.TMP CALL DELFILES.BAT Z: >nul




DELFILES.TMP是通过A:\delfiles.bat，可以解决盘符的问题　　内容如下：
@echo off
%1
cd\
attrib delfiles.tmp -h -r -s >nul
ren delfiles.tmp deling.bat >nul
call deling.bat >nul
type deling.bat>>dellog.log
del deling.bat
a:
cd\



例如：
DELFILES.TMP内容如下：
$D$ /y \windows\system32\drivers\aa.sys
$d$ /y \docume~1\alluse~1\win.com

其实ＩＦＳ支持长文件名，不过那个dos下的deltree不支持而已。
我想用DELTREE,因为可以删除含只读等其它属性的文件。
这样就不用ATTRIB了。

如果在根目录还要生成一个专门attrib的批处理的话感觉不好。

[ 本帖最后由 zts59 于 2006-11-20 08:42 PM 编辑 ]

wang6071

原帖由 zts59 于 2006-11-20 08:28 PM 发表
我说是那个delfiles.tmp是生成在分区的根目录　（同一分区删除文件只要在根目录有这个文件就行了）

这样，delfiles.tmp内容是不含盘符，是用相对于“\"根目录的相对路径。不会误删除文件的。

DELFILES ...

这个方案就是我最初2517楼的提议呀!但觉得在每个要删除文件的分区都生成这么一个文件觉得有所不爽．

ntfsdos要手动输入一个Y，不够自动化．

[ 本帖最后由 wang6071 于 2006-11-20 08:40 PM 编辑 ]

zts59

原来如此，还是你走在前面啊，

生成那个文件可以隐藏，这样就看到了啦

我有一个破解版的ＮＴＦＳ４ＤＯＳ。不要输入回车的。

[ 本帖最后由 zts59 于 2006-11-20 09:03 PM 编辑 ]

zts59

哈哈，解决了deltree不能用长文件名路径的问题，换了一个版本的DELTREE.EXE

不错

wang6071

原帖由 zts59 于 2006-11-20 08:45 PM 发表
我有一个破解版的ＮＴＦＳ４ＤＯＳ。不要输入回车的。

这个版本的ntfsdos测试过没有？需要用在批处理中并在有ntfs分区的环境中去实际增删文件，如果成功才可以用的．以前用过破解的好象不完整，在批处理中无法使用．再多测一下，如果通过了就将通过的Img上传吧．

另外，判断盘符也是出于有空时作windos下的一键玩考虑的．从兼容性上考虑当然最好的方案是将盘符排除在外面．

[ 本帖最后由 wang6071 于 2006-11-20 09:18 PM 编辑 ]

zts59

该镜像自动查找各分区的DELFILES.TMP来执行

用ＩＦＳ来识别ＮＴＦＳ，它可以支持长文件名和路径（带引号）。

delfiles.tmp是生成在各分区的根目录的文件，因为是用DELTREE.EXE所以不用ATTRIB了。

这里我把DELTREE.EXE改了名字为$D$.exe,

DELFILES.TMP内容例如下：

$D$ /y “\windows\system32\drivers\aa.dll.sys”
$d$ /y “\document and settings\all users\win.com"

这里要问的是，如果先不要删除文件，仅给文件改个名如何呢？
不过改个什么名，一下子，也没有写了。看看大家改改！

wang6071

原帖由 zts59 于 2006-11-20 10:07 PM 发表
该镜像自动查找各分区的DELFILES.TMP来执行

用ＩＦＳ来识别ＮＴＦＳ，它可以支持长文件名和路径（带引号）。

delfiles.tmp是生成在各分区的根目录的文件，因为是用DELTREE.EXE所以不用ATTRIB了。

这里我 ...

谢谢zts59
deltree个人感觉没必要改名,这样避免不知道在干什么.对待删除的文件要改名还不如建个Delvirus文件夹Move文件.大家先手动测测zts59的镜像文件,同时也欢迎提出更合理的建议.

[ 本帖最后由 wang6071 于 2006-11-20 11:12 PM 编辑 ]

6618

原帖由 6618 于 2006-11-20 01:23 PM 发表
今晚如果有时间我将在我的机子上测试一下，我的是SATA硬盘。

我的是SATA硬盘，160G，C盘是FAT32格式，测试结果如下，
在生成"转DOS下执行是出错“如图1，后我想关掉mydelfile.exe时出错，如图2，重启后，选“删除顽固文件”项，加载GRUB过程中出错，光标在动，程序失去响应，图3（手机照的图）

[ 本帖最后由 6618 于 2006-11-20 11:22 PM 编辑 ]

wang6071

原帖由 6618 于 2006-11-20 11:21 PM 发表

我的是SATA硬盘，160G，C盘是FAT32格式，测试结果如下，
在生成"转DOS下执行是出错“如图1，后我想关掉mydelfile.exe时出错，如图2，重启后，选“删除顽固文件”项，加载GRUB过程中出错，光标在动，程序失 ...

提示错误是因我传错了主程序版本,没想到又传成上次的版本了,镜像是修改了的.已测试过删除文件.

重启后进入不了dos难道是我用的这个Grldr不支持您的sata硬盘,这可是个大问题.
您手里有可以加载img并支持sata硬盘的grub版本吗?偶是很久没更新啦,不知道新版的grldr是否支持sata硬盘.

[ 本帖最后由 wang6071 于 2006-11-20 11:39 PM 编辑 ]

紫狐

有可能的grub不支持SATA引起的，不知道img里面的grub是那个版本，0.97前的版本都不支持SATA，0.97又好像还没有中文版，我下载了测试版的0.97，但是也不支持SATA，只有E文版支持，我对grub不是很熟悉，测试可能有误，希望熟悉grub和有SATA的朋友进行测试。

wang6071

原帖由 紫狐 于 2006-11-20 11:34 PM 发表
有可能的grub不支持SATA引起的，不知道img里面的grub是那个版本，0.97前的版本都不支持SATA，0.97又好像还没有中文版，我下载了测试版的0.97，但是也不支持SATA，只有E文版支持，我对grub不是很熟悉，测试可能有误 ...

E文版的也行呀,反证是只要一个引导,又不要Menu.lst中指定的界面.只要能支持sata就行啦.

xdg3669

这个是2005-12-14 version 0.4.1   grub_for_dos-0.4.1正式版支持中文的grldr和grub.exe！不知是否适合？

[ 本帖最后由 xdg3669 于 2006-11-21 12:06 AM 编辑 ]

6618

原帖由 wang6071 于 2006-11-20 11:29 PM 发表

提示错误是因我传错了主程序版本,没想到又传成上次的版本了,镜像是修改了的.已测试过删除文件.

重启后进入不了dos难道是我用的这个Grldr不支持您的sata硬盘,这可是个大问题.
您手里有可以加载img并支持sa ...

刚才去DOS之家下了GMY的一键GHOST8.3里面有Grldr,不知是什么版本，也是不支持，出错界面一样。希望”紫狐“能传个E文件0.97版的Grldr试试。

6618

试了WANG兄重新上传的mydelfile，在WINDOWS下已不再出错，再试了xdg3669 兄上传的Grldr，同样出错，但出错界面不一样，这次只启动到lauching grub.....就失去响应，只有光标闪呀闪呀的，看来只能寄望紫狐说的0.97E文版了，请紫狐兄或有这个版本的朋友上传一个上来试试，我就不去网上到处找了。

wang6071

试试这个grldr 11/17/2006 应该是最新的了(注意要手动替换c:\下的grldr,Mydelfile.exe不会覆盖已有的grldr)

如果不行的话到 http://grub4dos.jot.com/WikiHome 下载其它版本的grldr试一试

[ 本帖最后由 wang6071 于 2006-11-21 12:16 AM 编辑 ]