[sysshield]系统安全盾

JB2005

看来还要等些时间才能看哟!!

xdg3669

看来要有大动作了！

xubo1971

很有几天未看见有更新了，看来是在作大手术。

zxyu

感谢wang6071提供这么好的软件

gdlgh

顶上去！！！大家有新发现的黑名单交流一下。

ctsren

没有动静了，我来顶一下！

xdg3669

帖子不能沉！Up up up!

zxyu

再顶！

wang6071

谢谢大家对本软件的关注，最近太忙，实在没时间更新程序．
今天抽空改了一下，获得两个结果：
1:   可以不限路径安装到任意盘符下了（以前不能不安装到系统盘)．
２： 可以实现全盘监视了．（整个硬盘的监视，偶测试了偶的c:-h:盘的监视，资源占用没增加多少，真是一个喜讯呀!原来还想去研究一下底层的设备驱动，看来用不着了，又可以偷懒一回：）
等偶再多做些试验，就发布新版．

推士机

[这个贴子最后由推士机在 2005/08/21 12:37pm 第 1 次编辑]

下面引用由wang6071在 2005/08/21 12:16pm 发表的内容：
谢谢大家对本软件的关注，最近太忙，实在没时间更新程序．
今天抽空改了一下，获得两个结果：
1:   可以不限路径安装到任意盘符下了（以前不能不安装到系统盘)．
２： 可以实现全盘监视了．（整个硬盘的监视，偶 ...

好消息，看样子红叶可以把系统安全盾加入到V21了！支持wang兄发布新版！

emca

衷心希望能够加强一下设置界面，提高操作的便利性。一个好工具，使用不太直观确实太可惜了！
另外，如果我想强行设置注册表中被监视的某个键值为自己的特定值，当SysShield检测到这个键值不符合预置的设置后，会弹出确认对话框，但如果点击确认，用户修改的结果并不能被选择保存，这有些方便。如果能够让用户选择还原、保存新设置就好了。

emca

不符合系统默认配置但又必须强行修改的有：系统Shell文件Explorer.exe的路径。默认是没有指明路径的，这就可以被恶意利用。其他还有几个。

wang6071

[UploadFile=SysSheild_1124609477.rar][UploadFile=SysSheild_1124609491.rar]
上面传的是改进了的syssheild主程序,已下载了原syssheild的兄弟请用这个主程序测试一下全盘监视功能.(未下载过的兄弟请到http://free.ys168.com/index.aspx?wangsea 下载,然后用这个主程序替换一下.
目前仅修改了全盘监视及安装路径问题,其它的未作修改.
下一步将改进注册表方面的监视内容,关于如何才能方便地设置请大家多提意见.
因为监视已经是全硬盘分区的了,所以设置问题可能要大家多费心提一些建议,比如还是采取原来的  黑名单模糊过滤+pass文件 还是别的什么,总之,以易用的设置为原则(可能需要减少一些设置项,偶也认为现在的设置项太多了.:)

yz2528

期待中。。。

emca

1、我对Windows目录设置为黑名单、模糊匹配后，试图复制一个3721.exe（黑名单中存在）到Windows目录，成功，程序过滤无效；放到仅仅定义 C|A 的C:根目录，也成功，过滤无效。测试过程中反复切换过启用和禁用也不见生效。
2、每次打开主界面后，只要关闭它，程序不是最小化到系统托盘，而是崩溃退出，有一个出错对话框，一闪即过，看不清。
3、上述问题在安装到C:或D:盘都是一样。

wang6071

[UploadFile=1_1124617671.rar][UploadFile=2_1124617684.rar]
re emca 兄:
   奇怪呀,在偶的机器上没出现您所说的现象,偶刚才又试了一下黑名单与自定义,都没有问题,怀疑是上传文件坏了,再上传一下,请各位兄弟试试.
   偶是如下测试的:
   在E:盘安装(偶的win2003盘),然后在目录监视中定义了一个d:\,然后在E盘根目录下新建文件.txt,重命名它为3721.exe,然后复制这个文件到d:盘的任意目录下,看能否删除.
  再复制此3721.exe到E盘的各目录下(用黑名单),均能删呀!
  另外,最大化,最小化及退出也未出现软件异常反应.
  所以,请大家重新下载试一下,并报告试用的结果.

wang6071

[UploadFile=B5C3B5BDD3B2C5CC_1124618649.rar]
另请红叶兄下载这个rar 测试一下偶用的返回全盘盘符的函数在您的机器上是否正确返回了分区盘符．

lj858155

哈哈 出差回来看见新版 初步测试通过 谢谢

推士机

[这个贴子最后由推士机在 2005/08/21 07:29pm 第 1 次编辑]

初步测试syssheild安装在C、D、E、F下均可有效拦截：
[UploadFile=SpxImage_1124623083.jpg]

emca

下面引用由wang6071在 2005/08/21 06:07pm 发表的内容：
另请红叶兄下载这个rar 测试一下偶用的返回全盘盘符的函数在您的机器上是否正确返回了分区盘符．

正确地返回了所有除光驱之外的硬盘盘符。

emca

重新下载上述文件后，运行正常了。可能真的是我的文件损坏。

推士机

建议大家抓紧测试，找出BUG，以便wang兄尽快完善、发布正式版。红叶光盘少了这个好东东的确是一大憾事！

wang6071

关于文件监视的过滤设置如何才方便适用请大家多提意见.比如说现在的方案中你认为哪些是比较适用的,哪些是可以合并的,哪些是可以加强的等等
关于注册表面也请多提些建议,咱不求大而全,如何有效方便才是制作的宗旨.
1:是加强目前的用户自定义呢?加强这个有个不太方便定义的问题.因为要校验用户输入的类型(担心不小心写错了)
2:做几个注册表一键恢复默认值的按钮?方便是方便,但这样就无法扩充了.
3:做成一个外挂加载.reg之类列表框的来选择执行(可以无限扩充)?可淘汰目前的用户自定义注册表监视,在程序内默认保持住.reg的打开方式及.exe的打开方式即可.

emca

1、新发现BUG：
   我使用上述最新文件替换后，设置为引导时加载Sysshield，但重启后无法正常登录系统，进入桌面前开始登录，随后显示自动注销，如此循环。反复排查，恢复隔日的注册表备份，一一安装今日安装的并重启，没有发现异常；唯独选择启动时加载SysShield后出现问题。因此看来可能是加载时对系统某些目录有限制而导致的。附我的配置：
[SysSheild_UserDir]
Computer=HFUTNIC
c:\|a
c:\documents and settings\admin\local settings\|e
c:\program files\|edb
c:\windows\|edb
2、关于界面：
    目前的界面中，点击左边的项目，右边只显示一个简单的说明，双击后才能显示当前的相关配置内容，这不方便不合理。内容显示和对应的说明可以放在相同的一个界面中；
    选择一个项目进行设置时，比如我选择了配置列表中的C:|A，下面那么多的复选框如果我选择几项，则上面列表中的内容并不能同步改变。
    建议进行目录权限设置时，可以用一个统一的列表来设置和显示，类似ZoneAlarm的程序配置。大致描述如下（仅仅是举例，合适与否且不论）：
-------------------------------------------------------------------------
规则启用  目录名称      不包含子目录  模糊匹配   黑名单   内型过滤  免检文件
   √       C:\Windows      ×           √        √        √        ×
   √         ………………     ×           √        √        √        ×
   ×         ………………     ×           √        √        √        ×
-------------------------------------------------------------------------
（按钮：）    [添加监视目录]    [删除选定]
即每条规则在列表中作为一条记录的形式存在，每条记录可以选择是否启用；可以选择每条记录匹配哪些字段。下面的按钮可以方便地添加新的监视目录和删除选定的目录。相关的用法说明则可写在下面的适当位置。
设置时，只需浏览并添加一个目录路径到列表，然后点击上面每条记录中的选项即可在选中与否之间切换。
与此同时，对于根目录、系统目录中，如果存在危险选择，则可以给出一个警告。

wang6071

re   emca:
   非常感谢您对设置方面的建议.
   关于新版在您的机器上造成反复重启不能登陆,可能是因为pagefile.sys文件的动态创建所致(偶的机器一般是固定其大小的,所以我这边没问题). 请在免检文件中加入这一个试一试.
   

xdg3669

发现了一个BUG：
     启动监视后，原来是用黑名单转为自定义目录后导致用户登录配置文件丢失！登录时正常是出现：正在加载用户配置文件，但我的一出现后立即出现：正在启动:\WINDOWS\system32\wlnotify.dll。启动后导致默认墙纸文件夹改变为我的图片文件夹，并且默认文件夹图片不能设为默认墙纸！

wang6071

[UploadFile=1_1124684324.rar][UploadFile=2_1124684335.rar]
所有因为重启后有问题的兄弟,请下载这个延时5秒后启动的主程序替换原程序试一试.

emca

壮着胆试了一下，选择引导时加载，结果又不能登录了！安全模式也不行。奇怪的是，我把程序目录名改掉也仍然如此。反复对比排查，找不到其他原因，只要启动时Sysshield加载，不做别的任何事情，都100%不能登录！

zw2416

看不到，咋办？

wang6071

[这个贴子最后由wang6071在 2005/08/22 11:19pm 第 2 次编辑]

下面引用由emca在 2005/08/22 08:25pm 发表的内容：
壮着胆试了一下，选择引导时加载，结果又不能登录了！安全模式也不行。奇怪的是，我把程序目录名改掉也仍然如此。反复对比排查，找不到其他原因，只要启动时Sysshield加载，不做别的任何事情，都100%不能登录！

真是奇怪呀,偶将设置改为与红叶兄完全一样,如下:
[SysSheild_Filter]
onlymon=*.exe;*.dll;*.inf;*.vbs;*.sys;*.bat;*cmd;
blurring=0-9.exe;0-9.dll;
[SysSheild_PassFile]
[SysSheild_UserDir]
Computer=WANGSEA-QIE2GIW
e:\|a
e:\documents and settings\administrator\local settings\|e
e:\program files\|edb
e:\windows\|edb
经测试,无论是黑名单过滤还是用自定义过滤都没有重启后不能登陆的问题，估计可能是与红叶兄使用某个监测软件相冲突所致．偶的机器的启动项如下：
[RunList]
PHIME2002ASync=E:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
PHIME2002A=E:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
KvMonXP=E:\PROGRA~1\KV2005\KVMonXP.kxp /auto
系统安全盾=C:\Tools\syssheild\SysSheild.exe
[UserRun]
ctfmon.exe=E:\WINDOWS\system32\ctfmon.exe
KVFW=E:\Program Files\KVFW\kvfw.exe -silent
[ShellExecuteHooks]
{AEB6717E-7E19-11d0-97EE-00C04FD91972}=
另外，看红叶兄反映的情况，可能是与系统注册表丢失有关(也就说，可能对注册表保存的文件发生了自动删除,与具体过滤设置有关系，但看红叶兄楼上提供的过滤设置又没有可能发生这种情况的过滤），还是请在目录监测中加入一行：
C:\WINDOWS\system32\config\|C
排除注册文件保存目录，再次测试．(别人出现这个问题恐怕就不敢再试了，所以只有请红叶兄再检测一下,以发现问题发生于何处）