刀尖上的舞蹈---4款主流Hips实机测试

竹木刀

转自卡饭论坛，作者：chesterzhao
( C6 p9 H. q- x9 |: q" M
9 ]3 H4 }0 d2 _7 P( L参测软件：按软件英文首字母顺序排列

Comodo v3  3.0.18.309(简称comodo)

! G9 L/ F! e7 H) K# UEQSysSecure 3.41(简称eq)
# U0 l4 A: N* @3 h1 w% p
6 i, O6 }. Z/ Q, _* iProSecurity 1.43(简称ps)                 　

5 [% L% s3 }, @" k) f+ d" FSystem Safety Monitor 2.4.2.620(以下简称ssm)

3 w% l0 `3 ?* C$ J' k" @) o由于不可抗力因素，eq并没有实机安装测试，而是参考了各种权威测试帖，敬请谅解
; e6 L! _3 f* Y  e  w0 P' ?2 X8 V" S
" i% A* E$ l) y; |% C# ^( |

# Y' ~" F7 {. NOS：xp sp2 msdn原版
2 h% L7 t+ |# v: N: B2 D) [
内存：1G*2
) V, p8 J6 ~4 M# I
. O* B$ e0 f7 u7 @) O4 v测试目标：当前4款主流hips不完全横向比较（托盘图标、软件界面、资源占用、自我保护测试、病毒防御...）

样本下载地址：
1、熊猫烧香 样本来源  

http://bbs.kafan.cn/viewthread.php?tid=106100

( F* h" H% [" @6 ]/ u8 S2、小浩病毒 样本来源  

4 V  C5 L! n, H9 Y2 p& ]  _3 Rhttp://bbs.kafan.cn/viewthread.php?tid=118551
' l* e: S8 Y1 z& _( Q2 f0 ~
3、磁碟机   样本来源  

% i; s3 z0 @6 O5 p6 L% Zhttp://bbs.kafan.cn/viewthread.php?tid=211669
4 ]# B( Y4 x1 ?1 ]( P5 K+ [2 \
! E$ b  d+ V$ g  s8 e* P4、机器狗   样本来源  
# @! m  L8 u! r( B( D% h8 F
http://bbs.kafan.cn/viewthread.php?tid=183346
) l% r/ z! v# O) B3 s
: ?. d" o0 [. p' k% c2 {托盘图标：
: M* Y- g, g" r% `: Mcomodo
' F" ?' F+ h1 x5 Q0 u7 d8 d
. H1 f3 c/ M# g
8 Q. x6 G' D' N+ A( }$ |; u3 heq
4 {! q5 W% {. f, O0 q! |  H

( g/ t7 s, w# Z! [/ tps
* p, R$ A0 k9 ]5 E4 [- Q9 p& ?! S

. `6 a& O5 Z* m4 V& U1 {ssm
) ^" |' @- k5 x: l* y, \

软件界面：　
comodo
- S9 w) p- S9 O4 F5 Y% G1 w
8 }2 M6 X# e0 w7 r! E
, |% \' _& j4 F) g+ X: o! ?% ^
/ Q$ e- I- |9 X0 B) teq



ps


  U3 m" S7 c2 X. z8 r
: U" ^2 f; ~# G% v. zssm




资源占用
! A' c* O  u8 }% \4 V
' P- H7 O9 V3 [# S/ E2 S" d/ B：各人系统环境各有不同，仅供参考，如有雷同，纯属巧合
6 d' t6 w7 `, S
0 _0 ^" H1 \) B: W0 g) O
+ |" o6 A0 a0 P; ^: [! Z' k
/ `) G( \- _) {3 W  |0 j* g( Q/ vcomodo
% m1 C' U- ?; [9 q
/ V3 u; K" _; O5 N* h+ |
, F7 }3 R% P+ O  r0 ieq

/ b# R! \/ [4 z0 p8 n" L6 @! k
2 l7 k% F9 c6 a3 K4 }( W1 Q
ps


  Z% w) G" T4 K( y6 m; J0 s
% m; @# W4 u* w0 I8 pssm
/ p1 [! S9 J. h
2 }& Z" I" A5 l( ]


阶段总结：

现有的一般配置运行HIPS软件已经绰绰有余，其系统资源占用相对于杀毒软件和防火墙来说绝对是轻量级的


6 k* v2 ~/ h/ E6 V3 a  w# f/ ]
6 ^, c" C' n9 n[ 本帖最后由 竹木刀 于 2008-3-14 17:04 编辑 ]

竹木刀

进程保护：使用工具Advanced Process Termination v2.1
. ?8 h0 b" y9 t- P8 p
3 @0 R5 s- C, U  D9 ccomodo

+ E4 l' y( @6 I: m
Comodo 在图形界面cfp.exe关闭之后、启动之前，默认的规则处理逻辑是允许。

选上 block all the unknown requests if the application is closed，可以在GUI关闭以后，启动之前，提供保护。

测试病毒的时候，万一cfp崩溃了。。。，所以要选上。

, {: X7 i$ C0 `3 A0 M/ t6 [在安装了新的自启动程序以后，需要暂时去掉，等学习规则以后，再选上。

, C$ _4 ^4 Q3 o7 v8 QComodo 完全可以无进程内核保护，两个方法：

1. block all the unknown requests if the application is closed 或者
" P9 p9 X1 S+ E3 R  i- d
2. 使用我的All Applications Limited 作为所有程序规则 All Applications *
/ L% [* X1 X/ k
5 q: U8 F/ ?; \8 S7 }( H* X2 k% U因为，在GUI关闭以后，All Applications 里的Ask规则会被忽略，直接允许。这种处理方式是为了照顾用户体验。
7 p) f, J7 e0 d& G0 }, ^4 [8 Z
2 w, L1 D* m% b) w这两种方法，可以同时使用。

. ^6 J" d: @2 Mps

! f# B, L/ ~  n3 U& q( U! ~
  S0 O1 e  {0 y3 j& v
进程被结束后，防护依然有效（基于内核保护的缘故）

ssm
$ i% f& Z$ ^- U  H% S% g
9 Q: l7 ?! \2 ~0 L& c! v4 L
有点出乎意料啊


3 K$ t) ~- y9 s- z
eq

( |, J- X4 o8 j% W4 |) I

哪位ＸＤ做个测试后发上来，谢谢



3 z2 \1 R" o: |& h阶段总结：现在市面上的安软自我防护一般分为（1）软件进程难以轻易被结束，如BZ和SSM，一旦被结束后，防护大多就失效了。（2）软件进程易被终止，但因为基于内核或驱动级别防护，故无进程状态下仍可发挥作用，如PS和DW
  p  Y* @; m' s) w; n/ Z1 F
其中第二种方案为目前大多数HIPS所采用

竹木刀

病毒测试之：
. H2 t6 K( b& f9 l% a7 W( a
熊猫烧香
- I$ d" _) v) K7 z7 Tcomodo


ps
! n: X4 \8 C2 T$ o4 \3 E( b- U# T

) W/ W# Q1 Z5 o6 [



3 L' R6 ]1 N* n

3 R' l% v- x' b' s) P8 fssm
7 Y9 ?! R! c9 a; q' L

. A5 u3 z, x( G" v) f& y& T4 K* A
1 y# k0 G2 R" J; D, u& g* D8 J
6 i1 l) J5 g- ^, w6 {eq
- r* A! g% C9 I, u


5 J) P( P  p4 w! D. h
/ P0 m( S. }1 F' j% [, l

" e. w5 H5 T$ P2 o6 }! k, j6 O小结：
& n+ D( d/ H+ d四款软件均轻松阻止了熊猫，没有任何尸体和进程生成
2 D, N. P0 u2 a


8 n1 {5 w# |/ _3 s5 ~
小浩病毒

/ O/ O! ^) f* S- Qcomodo
7 F) w& \9 `% h( O# k
( Y4 K* a1 j2 y/ d/ W
& |$ K, p. \/ Q3 H" F& M
7 ^& E, W/ i* P


& A- m3 {" l2 P8 X5 F. L6 r# T

; y) |8 ~3 x9 n3 s" k

ps



) L- y  p3 d5 R) C, L$ `
3 c& Y6 N; [; ]/ F0 c: L1 u
2 u6 \5 g' W4 G. _$ n; V: Z9 Q
; J/ l5 }2 \7 `) s4 F) u
+ Q. r& f2 _% o+ {& [9 v( z5 l$ D
( U" z1 H. g7 I6 s1 g
" Y! |8 U2 K* F, T3 `1 `9 c$ |# B3 d8 b6 a
( D5 y1 i6 r) P- M  T  T, ]7 u

7 Q# c) i3 S% H/ K
/ }  t; c6 E8 _" z" i/ V" k

% P. _" _& [, g5 G! P, m8 ?( |

9 S( D+ k4 m0 {0 a- N4 `  k6 b' t
ssm

& \. A( j/ G- b4 x2 n, y
eq
" V! d$ f8 _& A4 p9 n) L6 {
! Y+ O0 }: h* n" e
$ D2 }, j2 u- k% @3 H
3 E+ X$ D3 Z2 S# i
3 f" u( E9 \/ b: ~


+ K+ P8 f' ?! @


9 K! z# @/ x9 G! R$ q
小结：不用多说什么了，comodo、eq和ps均经受住考验，只在运行后生成一个无用的xiaohao.exe进程。

/ S; I, t7 q5 v/ C- g' Z* M
/ K" M# x$ x2 m0 t  \. f
反观ssm只是在xiaohao调用ie时弹出询问窗口，其余动作一概没有防住。壮烈牺牲

1 d7 e" S/ \/ c' U

竹木刀

机器狗:
comodo
5 p; h! O6 t7 f: A+ F
% Q$ k. J) N7 D1 U+ i* ~$ Q& Q/ t

3 I3 T0 Z! Y5 c* J8 y6 Y6 v. ]
1 N: u7 R* Z$ ~; H& q
2 V" ]- t6 G" ^

' b( i. _# P0 N- N9 `- O
* [- [* c: r8 ^: w8 v

! B$ q; e6 v2 T$ leq
  C% Y# _4 _, @. v. f0 o, Q
% o! U' K% w; q  k, o
5 M, ?* N. {- n5 K& @7 i7 G8 E- S






; a) [) ]9 d6 v* O+ h5 r
ps

) S0 b% [: N$ V6 p. x
6 `8 [3 [5 c' k- M1 O9 }2 b


4 n. S7 k! V# ]( s) n7 H" @/ t

4 b6 p2 Z/ V8 W7 b7 C& `
: F) H+ Y: C; C, P: ~. |
. q9 D9 @0 j1 z* [7 Z5 t0 U# A* B小结:comodo、eq和ps完胜，而ssm我就不再测试了，大家应该都猜得到结果
2 F  T$ ?/ C. ]  J3 O

2 z6 {1 C4 e; R$ e/ U4 z
  b6 M: v/ W$ o6 [: z磁碟机

* i  S( }# B2 n& E0 ^! T! R: h6 {0 fcomodo
# W- g- _" C5 T$ L( ~* @, R, P3 ?
  v( L6 D) g) E- V
3 T8 I' J( g2 ?  b3 N9 E! `4 f$ o
+ L* I7 g: s% ]( J5 s

2 F% `: `5 h' J8 t$ v



  Y( N+ t) v: S( ?8 K! [
) z% ~. u+ o1 E
, n1 w7 m& f$ E8 A' V# ?eq
. ^7 ~" p6 }8 Z, G) o

3 u7 g3 _3 @2 _$ `


* j7 z8 p* S  D
% _, y# v- z, f" G
  F4 K+ ?& P7 k% _0 \* w% [
. T2 ~% k1 ?+ V" u$ j; N
5 U4 ^0 a9 t. L; l) }3 \

3 H/ J6 s- V( ]2 A' Z说明：这是火鸟大大为了测mamutu而一路允许下去的，只要当中block一下就......

" E: Q% T3 H4 ~1 x& e) S2 I  Y4 ?
) L4 _+ r4 j- d9 g* d
ps
+ k6 F8 i4 Z3 i$ k: L5 s

# [. |! _  a! i, f1 d$ I
一击致命！！！
; c( b+ p  v5 J5 c; o1 M; J/ a
老样子ssm还是老样子


* j  v: {* v9 I
4 r+ j. l$ k+ ]8 n  G) y阶段总结:

经过与四大毒王的血肉相搏，除了老牌的ssm由于缺少资金及技术支持，没有FD败下阵来，其它三款均与时俱进轻松过关

chesterzhao

麻烦请注明是转贴及出处，谢谢合作！！！

中航海

好复杂呀，要好好学