刀尖上的舞蹈---4款主流Hips实机测试

竹木刀

转自卡饭论坛，作者：chesterzhao

参测软件：按软件英文首字母顺序排列
: X* E+ a% R9 n
Comodo v3  3.0.18.309(简称comodo)
' c" B$ M' q3 w1 t" O9 ~( x( }
/ {- ~, c$ |1 u2 c/ ?EQSysSecure 3.41(简称eq)
/ [0 k* @/ l" D7 u; Z; E
ProSecurity 1.43(简称ps)                 　

System Safety Monitor 2.4.2.620(以下简称ssm)
2 R4 O' D+ b2 ?7 y5 r: L
由于不可抗力因素，eq并没有实机安装测试，而是参考了各种权威测试帖，敬请谅解
2 @6 N& a7 p" I* L# K' u


OS：xp sp2 msdn原版
1 [+ S: q' ^. {# Y& \6 a
内存：1G*2
9 O" O! O& g4 u& X
测试目标：当前4款主流hips不完全横向比较（托盘图标、软件界面、资源占用、自我保护测试、病毒防御...）
2 [0 r" E) G: n  x8 B7 t$ I
' M; C3 a; ]/ ^4 D  J1 J$ w: O样本下载地址：
. e- H2 U1 r0 f1、熊猫烧香 样本来源  

http://bbs.kafan.cn/viewthread.php?tid=106100
: A) F) {8 i4 f" E' s4 D3 V
- X( j" W, i" F' L2、小浩病毒 样本来源  

3 F0 E! q$ v/ B, M; f) B# }/ Yhttp://bbs.kafan.cn/viewthread.php?tid=118551

3、磁碟机   样本来源  

/ |5 s, D4 M2 B, Uhttp://bbs.kafan.cn/viewthread.php?tid=211669

) K. n* O/ l  t* ]- H% d2 S" w4、机器狗   样本来源  

3 g* r) C- K% n: Dhttp://bbs.kafan.cn/viewthread.php?tid=183346

托盘图标：
1 v, G- p' ]! h6 B' ocomodo

2 v1 a6 v/ ~0 V2 D' l6 }
! C) h: J- s  |) L( neq
3 Z5 C! s. H6 ~2 C

ps


ssm

7 B5 x& c0 V( h9 S/ ^" S' M
4 o0 j  P8 K3 ^0 c2 C" k* S软件界面：　
( @3 Z$ T2 m6 m) J/ Z* E" mcomodo
4 `) [( S. H7 B' g0 ]/ t6 g


eq
8 g7 i! {5 E, ~/ e; A& s


  E0 A- g* Q+ c% ~) Aps

$ R0 `( @0 C: a% [/ ]) c

ssm


) T, Q; J, m: [8 S; {1 f/ r

资源占用

, f7 x' B5 K+ F3 M' L0 j：各人系统环境各有不同，仅供参考，如有雷同，纯属巧合
& s7 \: E' i% l0 b" P


/ V8 r5 i' L4 H& qcomodo


% T$ G9 H$ X/ V8 ?+ g9 j/ u9 {) v4 Eeq


$ V+ }  J- i+ o
ps
* @% g* ?9 B2 u3 L$ u
& f, @1 P* b+ Z8 h- k! l0 A6 @
5 F) G8 }8 L4 P$ j( W
7 l5 I) s2 A7 y0 l7 U' ~" Cssm

" @! `9 J) X- n8 I
! [4 j. Y! `# {: O. f
; y. e0 i$ M& l( C5 z/ j$ _8 S
阶段总结：
" T" e& @  L  I9 y. }- ]0 z
# M' E- @0 |9 s1 h现有的一般配置运行HIPS软件已经绰绰有余，其系统资源占用相对于杀毒软件和防火墙来说绝对是轻量级的

7 Y. Q4 _; h5 u4 z

[ 本帖最后由 竹木刀 于 2008-3-14 17:04 编辑 ]

竹木刀

进程保护：使用工具Advanced Process Termination v2.1

+ @% k9 `/ f( s  x5 m( Ccomodo
% n' H/ g: V- Q; x7 d# |7 [2 ^
' [7 y. h8 z( v7 M  p
: f: o! j, t% X8 y% Y  Q+ R4 lComodo 在图形界面cfp.exe关闭之后、启动之前，默认的规则处理逻辑是允许。

选上 block all the unknown requests if the application is closed，可以在GUI关闭以后，启动之前，提供保护。
, ]& N, Z8 C/ {) Q8 q7 r1 O
' X: M3 o2 }& J9 {9 S! _3 g测试病毒的时候，万一cfp崩溃了。。。，所以要选上。

在安装了新的自启动程序以后，需要暂时去掉，等学习规则以后，再选上。
2 l& S5 {. K* R* e- |( W) X1 e
Comodo 完全可以无进程内核保护，两个方法：

& d% o( F$ C9 p  v! X; I* T1. block all the unknown requests if the application is closed 或者
0 S! u. d- b: Q" Z# D
$ ?, F* N9 f. g2. 使用我的All Applications Limited 作为所有程序规则 All Applications *
! U: A4 M# f! T0 [% w4 o! }0 s
' d! D( A4 g! H4 A! a/ }+ i因为，在GUI关闭以后，All Applications 里的Ask规则会被忽略，直接允许。这种处理方式是为了照顾用户体验。

, S& W# k6 A$ y% T0 D; O2 |这两种方法，可以同时使用。
/ l( Z$ R% k9 Q; h; w
. }* O0 ^' q: I7 t( J5 Fps
+ \" n* z6 F- u5 c0 i

/ Z4 w8 Z& v5 _+ f  ^. e$ Z
进程被结束后，防护依然有效（基于内核保护的缘故）

6 T' b/ C0 f5 ussm
4 |2 e9 [$ E3 _' a- A: ]' T0 H
8 U- G6 e7 B0 s$ N. u
5 |4 g  \. m/ t' X8 y5 y& X有点出乎意料啊



- I5 o" e4 w& P- \, Req
  e9 M8 ?. o0 n


7 j5 J  X& G: x哪位ＸＤ做个测试后发上来，谢谢
: a" \; m2 d% D+ w" @; S
7 S, |$ [, l. {' R% L, e! [9 l, n. f& B
3 b2 a8 R) v8 e) ]
: y( D6 A9 S) @+ P阶段总结：现在市面上的安软自我防护一般分为（1）软件进程难以轻易被结束，如BZ和SSM，一旦被结束后，防护大多就失效了。（2）软件进程易被终止，但因为基于内核或驱动级别防护，故无进程状态下仍可发挥作用，如PS和DW

$ T& W4 B7 I& ?: |. X% A6 C其中第二种方案为目前大多数HIPS所采用

竹木刀

病毒测试之：
/ t% z1 x: E! w, t9 }# S& S
熊猫烧香
, m/ |$ t% Q" t, E. ?comodo
7 M) O# A) L" M. Y( {; l

ps


% L; {% N, o, ]9 j$ {# k

( @  u3 z2 V7 L

2 r; Z$ j1 ^4 c; |) `1 m

ssm
" r4 I! @0 b4 w$ ]5 z
: `0 W/ G0 d. l% i! \! k


/ Q: z! J+ K2 e7 J- seq
+ ~" T; e+ }) _3 y* Z8 q0 q

% W; x  Q( Q8 o  F8 R4 z

2 R1 c4 n  b1 N* I

  \/ u; ~/ U( f0 }( B小结：
: J) Z. Q0 f+ [2 Y: e& c% M/ o' T9 o0 u+ `四款软件均轻松阻止了熊猫，没有任何尸体和进程生成

4 z! v- e! _6 a! l: w8 M. `
& ]1 r- {+ A' X, Y

, n/ w) y; x; I! n, ?& a小浩病毒

) `, i( y: W7 e1 p5 {comodo
! X; M, [- B# B) |) ?$ E

1 Y2 P  I& a9 m4 U  W6 Z: @



2 k3 S; W/ G& w) n! U4 \



5 ^- a: L6 {$ [2 M2 ~ps
" D6 i/ W8 |( h" r

6 {8 W& g% ?' ^( i# p' e1 y
% t3 S2 N/ K/ Q& ?& Q- O5 W
+ E2 r+ r4 j+ t4 q! n* l) N0 E/ Y
$ [# b0 U& t# ^! T3 l4 ~. f
; i4 p" p5 G- g& {

8 P- @/ F% ?6 F( O) p; k

5 t# c6 ]4 c) E: [
+ w+ [8 G1 y" I; M! E
& H" B/ I) Z$ T# K- Y
+ I+ ^4 O: d) J
9 x9 |/ i+ @+ X0 i# g
( ^6 |; `1 N' z2 B! t


& ~# f; J: e( j  M; Vssm
- y3 m. y2 p4 \$ W) D
( y! }$ ^6 |/ B2 l" l9 t% t  b' L
eq




9 g% u$ M9 [, ?, q
! M% j& Z& E* u% U5 g



( [& A. q1 F, }6 ~8 F* Y
: x9 m4 Q  }: m. Z- I  E" I8 w( A
) g, X6 ~+ H8 [1 X2 }' X% W小结：不用多说什么了，comodo、eq和ps均经受住考验，只在运行后生成一个无用的xiaohao.exe进程。


2 m2 o4 y! R3 E# a
反观ssm只是在xiaohao调用ie时弹出询问窗口，其余动作一概没有防住。壮烈牺牲
, s7 ?2 p3 a, C" L- k6 }, D8 X0 |3 S) |

竹木刀

机器狗:
comodo
8 D( j  q- ^9 w1 z
  H1 @$ B& P- C" m3 w- v

& L- G$ k! k/ O- l3 C% z$ ^8 R+ J
! r0 W- p0 x; A0 X( d& Q



0 S& Y5 Q# |8 [- v# h- j9 p- D4 C
. W" k8 h" Z7 a) w# k. w1 m/ T7 G( U
1 s. J+ h8 d) T' r/ Neq

% V5 p, H  t! v2 Z1 y) J/ ~
+ B8 [- a) R; u! T- X0 {  ~6 f% S* y
, [2 `. W2 M6 R1 s4 s+ [% v/ D; W
$ I2 \& S( s# I1 w9 |( V/ z. q
' L6 a5 u* B% D. D8 s1 A
5 |3 B7 `% {* v' D3 H' `
$ N& n; u: ^4 p3 ~
2 W: }0 h1 V8 m  L7 r

ps


, `6 I; F, Q: B0 I- X! F% v

  |+ y" p  ?, w9 [) T% L7 {) s/ A8 k

1 n8 R& }5 B9 q" \
) z; }6 X3 O: ^1 n1 g+ K) m
( j# x; I" L3 b' F% ?
小结:comodo、eq和ps完胜，而ssm我就不再测试了，大家应该都猜得到结果



8 ?8 l4 p6 Z2 \7 B8 {  T磁碟机
  w* j% R! f1 M% |! t
6 L$ }2 q0 I7 M9 Ecomodo
7 I/ D- j# w3 N9 \& g5 V
# H/ q7 Y4 o( k! |: ?: A
7 r# [" w  L- U$ _" j  M" W



1 x* ?4 e  L' g* Q3 Z4 B1 K) T0 ?( X
1 c$ T1 ?* W: G, _
/ Q4 F; |: q& A1 i% h. E
' j! f* [6 M+ e  U" s1 v7 P+ K
1 W: K8 t! g9 i
9 ]  L( e3 o) `3 Veq
' v9 u7 }. a6 m
, j- H) C* _' t2 z4 B/ i1 V


  c& E: D: ]9 \! B; O+ c0 e- ^






说明：这是火鸟大大为了测mamutu而一路允许下去的，只要当中block一下就......
4 D, G2 N& m! w9 J

; f& j# b8 y! {  B8 {
ps
* ]# v  M% ~! A" o' P; ^. y" s5 v+ N

: T- _+ a8 ^8 {( |/ k
一击致命！！！

老样子ssm还是老样子

: s3 h8 X$ d+ o1 K4 V2 [
1 [0 H! j2 j/ @: E( v
/ m' r+ B. e* R8 \阶段总结:
, h4 ?9 b. K9 ]- I8 o( i. R/ I
9 a" @" P. k- O: ]& B' a1 L经过与四大毒王的血肉相搏，除了老牌的ssm由于缺少资金及技术支持，没有FD败下阵来，其它三款均与时俱进轻松过关

chesterzhao

麻烦请注明是转贴及出处，谢谢合作！！！

中航海

好复杂呀，要好好学