[迎新][绅博原创]所有注册表监控都很弱

竹木刀

来自绅博版主xyzreg ，好像是邪恶八进制出来的。
0 |4 |9 S/ c1 j) i. V
* T; O" k: A- R* j7 D1 E4 Q6 r以前在绅博还有个文章，有兴趣的可以去看看。
[原创]所有的防火墙都很弱
# ]- ^& W3 t6 s0 ^# p8 x- w
" }0 R2 I0 W3 Q, v+ ], k; `% @本文原帖：
http://bbs.hypost.cn/read.php?tid-126071.html
' ~& w7 [) J) A4 X3 i

前言：大家好，前段时间较忙，很久没来了。这次接着上次的《所有防火墙都很弱》科普~ 其实标题中的“所有”有些绝对了，但是出于与上次《所有防火墙都很弱》的文章形成系列，而且事实上目前的所有注册表监控程序都可以使用相关的方法突破之，所以标题就这样取了。本来此文想发在HIPS区的，但是承蒙大家厚爱，受笑待人生兄邀请当此版版主，所以就贴在自己版了。其实此文目的还是让大家增强安全意识，选择更好的安全软件~
$ r6 V/ w3 T, q, g  `0 B
$ \9 }+ {1 W/ n% W6 W  
  目前许多杀毒软件、软件防火以及HIPS都具有了注册表监控功能，对防范病毒木马等恶意程序起到了不小的作用。但是现有的注册表监控并非无懈可击，比如使用操作HIVE的高级方法，达到绕过注册表监控修改注册表的效果。

  测试了卡巴6、瑞星2007、GSS、江民2007等含有注册表监控功能的安全软件，我写的这个演示程序使用的特殊技术均可以突破他们修改注册表。
% ?$ `3 K" f! {! I, |  p1 I
* ~, D% N& s6 Y9 B" y1 D) I$ E3 s! d8 ~  本程序仅作科普以及安全警示之用，勿将程序中的方法用于非法用途。

2月27日更新：

  程序已升级，可以突破以前版本不能突破的 SSM最新版、ZoneAlarm Pro 7、EQSecure、ProSecurity、卡巴6.0.2.675最新版等。 就目前来看，此次增加的特殊方法修改注册表B可以突破除了犀牛之外所有的实时拦截类注册表监控程序。

% ]/ e* X7 @- }( |  当然，仍有方法突破犀牛改注册表的，比如使用非常规进Ring0法进Ring0然后恢复他的SSDT hook。至于360安全卫士之类的注册表修改通知式的非实时注册表监控也有办法绕过。有两大方法，清除Notify回调函数和rootkit技术隐藏注册表。
$ w3 w/ [* b+ t, t% E, y# W$ q
( k- P) I, W$ `0 J2 X
3 N' J8 I' ]  \) J
  N  I$ L2 L  i, j
* o# b5 _0 E. p' i$ t注册表监控弱点演示程序 下载地址： http://www.xyzreg.net/BypassRegMon.rar
8 ~1 j$ m& L) G7 B" z8 D

; D. l8 y+ v4 _  J
1 z6 s" b9 B+ H, {) y0 z; c7 }' Z3 o[ 本帖最后由 竹木刀 于 2007-12-28 14:46 编辑 ]

竹木刀

测试了一下风云墙，特殊B被过，真牛X。

竹木刀

GSS和EQ我装了，不过没加载驱动，懒得试了，不过从原帖的回复看是都突破了的，SSM和ZA也过了，不过居然没有过犀牛，果然强悍，可惜没有破解，要不然就去搞一个了，其他的主动防御产品我都有，要的跟帖。