卡饭论坛 » HIPS专区 » 谁来分析下之二

kuririn 发表于 2008-8-2 13:13

恩 試試這個

comodo會報namedpipe的

sandworm 发表于 2008-8-2 13:56

[quote]原帖由 [i]kuririn[/i] 于 2008-8-2 13:13 发表 [url=http://bbs.kafan.cn/redirect.php?goto=findpost&pid=4318798&ptid=295955][img]http://bbs.kafan.cn/images/common/back.gif[/img][/url]
恩 試試這個

comodo會報namedpipe的 [/quote]

我在XP下测试，MD RC3能拦截到读取\Device\NamedPipe\lsarpc，不知是否还有其它的行为

kuririn 发表于 2008-8-2 14:14

我 \Device\NamedPipe\* 允許讀的  是樓主要我這麼編的
不過 \Device\NamedPipe\* 讀詢問也沒差 只要不煩就行了[:30:]

忘記comodo報啥了 我去看看再來

kuririn 发表于 2008-8-2 14:25

comodo的  不過它默認沒這個規則[:xi17:]

[attach]323663[/attach]

sandworm 发表于 2008-8-2 16:01

查了一下代码，MD目前的版本拦截Named Pipe有bug，不能拦截到写入操作[:15:]

sxingbai 发表于 2008-8-2 17:30

回复 25楼 sandworm 的帖子

我的顶楼测试怎么能拦截创建呢？[:1:]

sandworm 发表于 2008-8-2 17:37

能拦截创建和读取，写入拦截有问题

查看完整版本: 谁来分析下之二