新装的机，没有HIPS不敢测试，请高手帮个忙

[ 本帖最后由 chenrui19930 于 2008-7-17 15:09 编辑 ]

RD:  

[HKEY_LOCAL_MACHINE\software\microsoft\Windows\CurrentVersion\Explorer\BitBucket]
"NukeOnDelete"=dword:00000001
"UseGlobalSettings"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\Windows\CurrentVersion\Run]
"NetWindow"="x:\\DESKTOP\\netwindows\\netwindows\\Server.exe"

[HKEY_LOCAL_MACHINE\software\NetWindow]
"Parameter"="121"
"Password"="77878978977"

[HKEY_LOCAL_MACHINE\​System\​CurrentControlSet\​Services\​WinSock2\​Parameters\​NameSpace_Catalog5 ]

[HKEY_LOCAL_MACHINE\​System\​CurrentControlSet\​Services\​WinSock2\​Parameters\​Protocol_Catalog9 ]


FD
\Device\Afd\AsyncSelectHlp


File                                                    Control Code
==============================================
\Device\Afd\Endpoint              AFD_SET_INFO (0x0001203B)
\Device\Afd\AsyncSelectHlp    AFD_SELECT (0x00012024)
\Device\Afd\Endpoint              AFD_GET_TDI_HANDLES (0x00012037)
\Device\Afd\Endpoint              AFD_SET_CONTEXT (0x00012047)
\Device\Afd\Endpoint              AFD_BIND (0x00012003)
\Device\Afd\Endpoint              AFD_GET_SOCK_NAME (0x0001202F)  
\Device\Afd\Endpoint              AFD_SEND_DATAGRAM (0x00012023)
\Device\Afd\Endpoint              AFD_RECV_DATAGRAM (0x0001201B)  


C:\WINDOWS\system32\Msimtf.dll (Mem Map)


ND:
open port: TCP 5050


需要客户端的程序才能看出这东西有多厉害。

[ 本帖最后由 ALEXBLAIR 于 2008-7-18 01:14 编辑 ]

远控软件
至少它有界面操作，而且可以退出，玩玩无妨

kaspersky 2009 拦截成功
截图（自动模式+默认设置）

请去HIPS区

[ 本帖最后由 syfwxmh 于 2008-7-17 17:55 编辑 ]

kaspersky 2009测试数据请看HIPS区

下载

晚上玩玩

2008-07-17 19:27:33    创建注册表值      操作:允许
进程路径:D:\2\netwindows\netwindows\Server.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\NetWindow
注册表名称:[Key]
触发规则:应用程序规则->----低------>d:\2\*


2008-07-17 19:27:38    创建注册表值      操作:允许
进程路径:D:\2\netwindows\netwindows\Server.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\NetWindow
注册表名称:Parameter
触发规则:应用程序规则->----低------>d:\2\*


2008-07-17 19:27:40    创建注册表值      操作:允许
进程路径:D:\2\netwindows\netwindows\Server.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\NetWindow
注册表名称:Password
触发规则:应用程序规则->----低------>d:\2\*


2008-07-17 19:27:44    删除注册表      操作:允许
进程路径:D:\2\netwindows\netwindows\Server.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
注册表名称:NetWindow
触发规则:应用程序规则->----低------>d:\2\*


2008-07-17 19:27:49    删除注册表      操作:允许
进程路径:D:\2\netwindows\netwindows\Server.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
注册表名称:NetWindow
触发规则:应用程序规则->----低------>d:\2\*

没有动作，不知道厉害在那些地方。

不懂。。。在沙盘下测试有危险吗？？？

这个还是一般的.... 检测出来了...

晕，我在sandboxie下测试退出时居然不没有删除相关改动，不知道是不是我操作问题。