刀尖上的舞蹈---4款主流Hips实机测试

竹木刀

转自卡饭论坛，作者：chesterzhao
( e) y0 W3 d$ q! y$ X  r
) |3 _! }5 h& e: w  ^7 \6 l参测软件：按软件英文首字母顺序排列

Comodo v3  3.0.18.309(简称comodo)
' U! u9 e+ s: Z! @
EQSysSecure 3.41(简称eq)

ProSecurity 1.43(简称ps)                 　
# u. k5 j0 ~5 p, k+ \( J
System Safety Monitor 2.4.2.620(以下简称ssm)

由于不可抗力因素，eq并没有实机安装测试，而是参考了各种权威测试帖，敬请谅解


# P& _% x. W# A' l4 ~6 X1 V
OS：xp sp2 msdn原版

内存：1G*2
7 {& m5 J, H9 ~" C) |0 i* H- o1 A
测试目标：当前4款主流hips不完全横向比较（托盘图标、软件界面、资源占用、自我保护测试、病毒防御...）

样本下载地址：
6 U! l9 l; l( n/ k' b2 O9 v1、熊猫烧香 样本来源  

http://bbs.kafan.cn/viewthread.php?tid=106100

3 k5 X1 t1 Y4 f3 l3 F  w3 G2、小浩病毒 样本来源  
& i6 ]" S8 K6 }4 t
http://bbs.kafan.cn/viewthread.php?tid=118551
  g$ V3 D$ I2 g3 Y8 _
3、磁碟机   样本来源  
! Q9 s4 [! E! C& @
http://bbs.kafan.cn/viewthread.php?tid=211669
7 t# ~6 z$ f/ n' ~) ~' k1 S7 G4 G
4、机器狗   样本来源  

http://bbs.kafan.cn/viewthread.php?tid=183346

, {3 H0 x- X3 u9 y' [7 y- [托盘图标：
& ]0 w  k: `3 T! t" n& x. Z3 gcomodo
" m( h9 E6 Q9 C, @8 |
+ G8 g) L% i! j0 c! i1 H
8 r3 m3 L) W& ^, O9 Heq

) Z$ S9 g7 v/ M# w7 O  ~$ s6 W
ps


2 }# `) V9 ~) n) B+ H- gssm
6 x( ]3 ]( E+ C/ d( v3 k

软件界面：　
comodo

/ K: B4 _% t2 X' k5 z0 h1 \8 W

) y2 v$ j: {( keq

; ~. @! W5 J- [! [4 }! n" Q7 z
+ c  _3 `' F2 g: K) j7 g
ps



; j  l* k5 l' f/ Bssm



. C; I5 p2 [9 b9 v
( ~$ q* q$ t1 b" j3 w# h- N3 R" i资源占用

：各人系统环境各有不同，仅供参考，如有雷同，纯属巧合
/ k! H* x6 Y9 d  M
  ]+ d8 R6 r  @/ S
4 b, x. d; ]9 d8 L6 h) l
$ b# c3 l$ Z; zcomodo


; x: }5 e% f, ^! F/ w. O3 Feq
: p3 I; H* d2 c% |
0 n- d7 h+ g2 b- i; J4 a# @
3 ~* W- U8 D7 @9 K) [- \. F5 G: C
ps


! o2 U6 [# B. Z7 Z9 G
ssm
3 Z6 E% `# F" P, t/ z$ K4 y# N


& p0 N& B: D7 _) h) P  \. J4 M
- ?4 G: t, Q. {+ z4 f阶段总结：
5 v2 e5 R+ Y. ]4 G/ [! C* Z  b
/ Y; W0 b9 }# K* W) n现有的一般配置运行HIPS软件已经绰绰有余，其系统资源占用相对于杀毒软件和防火墙来说绝对是轻量级的

8 }0 c7 Y  V0 m4 J9 w

0 |  Z" F' @; N1 q; q9 @/ b[ 本帖最后由 竹木刀 于 2008-3-14 17:04 编辑 ]

竹木刀

进程保护：使用工具Advanced Process Termination v2.1
) n+ N3 D7 \! o' @) A8 p' J
comodo


- w" I1 u: |: AComodo 在图形界面cfp.exe关闭之后、启动之前，默认的规则处理逻辑是允许。

. g& |, x+ ^/ @8 n& \* B1 D选上 block all the unknown requests if the application is closed，可以在GUI关闭以后，启动之前，提供保护。

测试病毒的时候，万一cfp崩溃了。。。，所以要选上。

在安装了新的自启动程序以后，需要暂时去掉，等学习规则以后，再选上。

& c4 ~& f/ X7 sComodo 完全可以无进程内核保护，两个方法：

9 M5 Y+ f7 L# ^8 {1. block all the unknown requests if the application is closed 或者
: V& D9 M+ `' }6 {4 l% U
2. 使用我的All Applications Limited 作为所有程序规则 All Applications *
+ g5 K2 x; ]3 }; Z
因为，在GUI关闭以后，All Applications 里的Ask规则会被忽略，直接允许。这种处理方式是为了照顾用户体验。
/ H0 c/ U. M( ]) t) M6 P% M
% ]- s6 v2 A% C4 n. Z2 r$ w& Q+ K这两种方法，可以同时使用。
( y# K/ ]! }, r/ F) R& o: Y6 h
9 ~: A7 k8 \( Q" Z7 aps
; V# t- M. _% p  M) r1 g- |

. \/ ]2 _7 Q: [3 x9 v
4 Q+ h& r! M' ~) [进程被结束后，防护依然有效（基于内核保护的缘故）
* X9 y6 D  l" ^3 s
  a* h7 l  G2 i1 ossm
! @1 r. H; q+ q& \7 ~$ @  I5 H

" L  n( U) W2 J; x2 @有点出乎意料啊
; U! r& P4 }( g# [6 b! t9 T5 W
2 r' |% r0 U/ E+ s$ j

" a4 v& q& P3 k! E- Yeq
: Z* i6 Q: x* @0 Z: D
% F7 x4 n; Z6 y! j+ A( R

哪位ＸＤ做个测试后发上来，谢谢


! K6 [$ H6 E3 u. C' N
8 [7 j) r5 r2 x3 y9 b阶段总结：现在市面上的安软自我防护一般分为（1）软件进程难以轻易被结束，如BZ和SSM，一旦被结束后，防护大多就失效了。（2）软件进程易被终止，但因为基于内核或驱动级别防护，故无进程状态下仍可发挥作用，如PS和DW

& z, ^* A6 P, v, K# v: {' H6 W2 K其中第二种方案为目前大多数HIPS所采用

竹木刀

病毒测试之：

) `/ U, Q4 M8 H( Z! ]. U" R熊猫烧香
comodo
  j( z; ]7 F! P6 Q: ]. I5 u
" e) n& K3 ~6 J; q# h. i1 p  H0 G% v
8 u7 f( b& I# P/ ]& N0 Yps




: ]6 e- i/ G" D0 L- ^
* x" t- J2 G+ l1 R7 d
: {, w- j; v* P3 c* {

* E& S( L! U. p: d' Mssm
/ D  ~% t8 F  H' ^
/ D6 o, K+ |/ c+ q$ R5 \: O- q
; s8 a! _! p2 n) {: ~. g. A0 G8 I, q

$ r& V! D& p8 |$ B+ p' Meq



. M  @7 B& N4 j
+ |! s3 g$ B. M8 T

小结：
四款软件均轻松阻止了熊猫，没有任何尸体和进程生成



0 B# {* S: J! G8 N4 B* f. ]: b
小浩病毒
" G' d9 B8 @) l/ d5 L
5 p$ V6 ]! J4 V/ dcomodo
) L) D8 g) x2 A) y) e
3 i9 U+ }( Q! x: b, Z8 w


$ w# l' |0 ]8 {: q
! Z  E+ `5 \8 W1 K) O% ^# r


! ]% Y* G& d- b0 T0 f

ps


8 _/ f1 X2 R) p: _


( v. n/ e7 [' b* O& Y; [3 x



; N* M& S" W2 v6 ?% A+ h
$ S/ F1 B8 D& [( d1 [* W
( |% S: M5 t: i9 ?6 N



6 u# k5 ~5 T" i2 G; R4 o
9 o0 B3 _/ V8 x6 Z& F$ w6 c

1 f  G& n  y, K6 ]- m. m8 y: _( }ssm
' J) ~+ q3 l4 `7 F, I* @

6 Q9 X4 p1 v1 @0 G2 Geq


# D9 M) G  r! u
: e  I2 d- E# [, f) [
; ?! Z* `/ B/ e) Q
, ?  N5 M8 t0 N# f8 H8 ^" B





* o3 k8 {0 f; X+ N小结：不用多说什么了，comodo、eq和ps均经受住考验，只在运行后生成一个无用的xiaohao.exe进程。


: q0 r  A# e$ M8 ]
反观ssm只是在xiaohao调用ie时弹出询问窗口，其余动作一概没有防住。壮烈牺牲

6 b( o/ S- Z9 L8 n/ R( D

竹木刀

机器狗:
comodo


' u% H# a3 Y3 \% X3 E
5 g1 X6 t# h+ Y6 f

9 f+ U: a1 [, B$ e* w
7 i- [+ V8 t/ @1 ]& v
" Q+ D9 ]2 [9 `+ a

, u# m; |( r- S# R/ H: X: c
5 j8 e5 g" l! R9 Aeq




5 A9 S+ s2 k8 A; G) @
" b" I' P: E3 t1 X2 H; e- c
0 _6 I, R3 F: L6 L7 `. l9 |7 Y1 c
9 k8 w5 h" w1 u, ~) F" S

. ~' a% O  D; U7 P% x0 d$ v
ps



; z. Q: x& _2 a' ^4 O
! f& g) {' Y7 e. o) D, X6 ^
5 v0 \" y# g3 x

3 N3 h  C- e( D! p
$ @4 ]2 I* z, G' k1 _! M, J4 d
小结:comodo、eq和ps完胜，而ssm我就不再测试了，大家应该都猜得到结果
+ h" @; C" W2 y, V


磁碟机
! Q8 p5 d: v# T9 v2 q# c
comodo
' U8 o3 G6 c/ M5 @7 C  T! J


4 I' e) }3 A7 }" `6 B8 ]4 i+ z. p4 c
# A4 a$ H- w, S4 V- A2 Q" h
+ \+ M6 m5 S9 J- Y' I8 P



5 M5 l5 O4 L5 c

eq
2 Q$ V3 Z! K+ C- z+ C" z' n* I

0 ^7 K( \/ t. F- O5 y6 P3 u8 l* G


5 x7 T: K* L/ _: H3 j5 S& I1 o
) i: ^. Z$ ^" Y- E2 S

+ e% x; `5 Q/ n( \. k" I" h
8 L  u" X7 t& v3 f3 f; G
- h1 l8 B) s* F; _, [5 A* y
说明：这是火鸟大大为了测mamutu而一路允许下去的，只要当中block一下就......
- C# O' f2 c4 q2 X2 z
( p0 s8 o2 c7 s; Z- \& I

ps
. D+ l$ J% X/ m
5 p, ~- W6 ~  k
- e9 m! H5 ^2 V% e% B) q, \1 g7 O! b
% \( o3 e& j0 \! E9 c一击致命！！！
2 c5 D4 ~* c8 \: z# W) I
老样子ssm还是老样子



阶段总结:

经过与四大毒王的血肉相搏，除了老牌的ssm由于缺少资金及技术支持，没有FD败下阵来，其它三款均与时俱进轻松过关

chesterzhao

麻烦请注明是转贴及出处，谢谢合作！！！

中航海

好复杂呀，要好好学