HIPS规则编写指导

更新时间:2023-05-23 13:02:29 阅读：评论：0

HIPS规则编写指导（新手教程）

前言

此文虽然名为新手教程，但只是为了让其它看了教程已经觉得可以编写了，却无从下手编写规则的朋友看。此文贡献给各位还在编规则门口徘徊的朋友，希望让大家对HIPS编写有一个系统的认识，所以建议看此文之前，先去看看其它教程，等到把其它教程消化了，那么恭喜你，你适合看这编教程了。

常见的变量说明

所谓的Windows系统目录简写环境变量，就是为一些常用且固定的Windows系统目录的路径建立一个与之对应的相对简单的缩写，使之更容易输入或定位。

Windows系统默认情况下都是安装在电脑C盘的Windows目录下，但这并不是固定的，如果你的系统不是安装在这个目录下，那么程序想要定位你的某个系统目录的话，就需要使用到目录简写环境变量了。使用这些环境变量，程序员或系统管理员无需事先了解你的系统安装位置，就能轻易的找到所要使用的系统目录路径。

%AllUrsProfile% (说明：所有用户的配置文件总目录)
对应路径：C:\Documents and Settings\All Urs\

%USERPROFILE% (说明：指向当前帐户的用户目录)学习实践活动
对应路径：C:\Documents and Settings\用户名\

%HOMEPATH% (说明：同上。指当前用户的配置文件目录)
对应路径：C:\Documents and Settings\用户名\

%systemdrive% (说明：Windows系统所安装到的盘符根目录，通常就是C盘的根目录)
对应路径：C:\

%HOMEDRIVE% (说明：同上，C盘的根目录)
对应路径：C:\

%windir% (说明：Windows所在目录)
对应路径：C:\WINDOWS\

%SystemRoot% (说明：同上，Windows所在目录)
对应路径：C:\WINDOWS\

%Temp% (说明：这个是系统的临时文件夹所在目录)
对应路径：C:\Documents and Settings\用户名\Local Settings\Temp\

%TMP% (说明：同上，与%TEMP%的指向相同。)
对应路径：C:\Documents and Settings\用户名\Local Settings\Temp\

%ProgramFiles% (说明：Program Files程序安装目录)
对应路径：C:\Program Files\

%commonprogramfiles% (说明：指向公用文件（Common Files）目录 )
对应路径：C:\Program Files\Common Files\

%APPDATA% (说明：Application Data目录)
对应路径：C:\Documents and Settings\用户名\Application Data\

%ComSpec% (廉洁自律条例说明：指向cmd，也就是命令提示符)
对应路径：C:\WINDOWS\

%LOGONSERVER% (说明：文件路径)
对应路径：2字好词\\icech

同时，以上变量设置还可以通过在CMD状态下输入t命令查看。也可以在鼠标右键“我的电脑”，选择“系统属性-高级-系统变量”，在系统变量里手工可以添加变量（不一定支持）。

HIPS规则编写指导（新手教程）(2)

附1：其它HIPS（非EQSysSecure）可能支持的一些变量：

Windows 系统环境变量

%ALLUSERSPROFILE% ：列出所有用户Profile文件位置。
%APPDATA% : 列出应用程序数据的默认存放位置。
%CD% : 列出当前目录。
%CLIENTNAME% : 列出联接到终端服务会话时客户端的NETBIOS名。
%CMDCMDLINE% : 列出启动当前所使用的命令行。
%CMDEXTVERSION% : 命令出当前命令处理程序扩展版本号。
%CommonProgramFiles% : 列出了常用文件的文件夹路径。
%COMPUTERNAME% : 列出了计算机名。
%COMSPEC% : 列出了可执行命令外壳（命令处理程序）的路径。
%DATE% : 列出当前日期。
%ERRORLEVEL% : 列出了最近使用的命令的错误代码。
%HOMEDRIVE% : 列出与用户主目录所在的驱动器盘符。
%HOMEPATH% : 列出用户主目录的完整路径。
%HOMESHARE% : 列出用户共享主目录的网络路径。
%LOGONSEVER% : 列出有效的当前登录会话的域名控制器名。
一鸣惊人的近义词%NUMBER_OF_PROCESSORS% : 列出了计算机安装的处理器数。
%OS% : 列出操作系统的名字。(Windows XP 和 Windows 2000 列为 Windows_NT.)
%Path% : 列出了可执行文件的搜索路径。
%PATHEXT% : 列出操作系统认为可被执行的文件扩展名。
%PROCESSOR_ARCHITECTURE% : 列出了处理器的芯片架构。
%PROCESSOR_IDENTFIER% : 列出了处理器的描述。
%PROCESSOR_LEVEL% : 列出了计算机的处理器的型号。
%PROCESSOR_REVISION% : 列出了处理器的修订号。
%ProgramFiles% : 列出了Program Files文件夹的路径。
%PROMPT% : 列出了当前命令解释器的命令提示设置。
%RANDOM% : 列出界于0 和 32767之间的随机十进制数。
%SESSIONNAME% : 列出连接到终端服务会话时的连接和会话名。
双子座和狮子座%SYSTEMDRIVE% : 列出了Windows启动目录所在驱动器。
%SYSTEMROOT% : 列出了Windows启动目录的位置。
%TEMP% and %TMP% : 列出了当前登录的用户可用应用程序的默认临时目录。
%TIME% : 列出当前时间。
%USERDOMAIN% : 列出了包含用户帐号的域的名字。
%USERNAME% : 列出当前登录的用户的名字。
%USERPROFILE% : 列出当前用户Profile文件位置。
%WINDIR% : 列出操作系统目录的位置

附2：虽然EQSysSecure输入变量符号%时有那么多变量，其实有些变量是没用的，已测试不支持的变量有以下几个：

%USERPROFILE%
%HOMEPATH%
%HOMEDRIVE%
%Temp%
%TMP%
%APPDATA%
%LOGONSERVER%

附3：EQSysSecure的自带了几个$变量，与环境变量不同，具体作用如下：

$parent$ 当前父进程所在路径
$cdrom$ 光驱
$removable$ 移动盘

使用方法一般为:
$cdrom$\*相当于光驱里面的内容
$removable$\*相当于移动U盘里面的内容（有BUG，慎用）

$parent$比较特殊，举例说明：

FD父程序D:\允许修改子程序$parent$\*的意思是：
允许父程序D:\修改自己本身所在的目录（即这个例子中的D:\test\*下面的文件），但不包含上一级目录，如D:\*

HIPS规则编写指导（新手教程）(3)

规则编写流程

推荐阅读：气蛤蟆《掌握诀窍菜鸟也可以快速学会使用HIPS》

上文有详细的目录说明，其实太多目录对新手编写规则是很大影响的，所以我只罗列下面的目录。

首先HIPS防毒效果，相信大家都知道，而每个人也想编写自己的规则，可惜历代教程是如此难，让人望而却步，现在我写一个比较简单的新手教程，帮助所有爱好HIPS的朋友学会自己编规则，其实我知道很多人还是想自己编一下规则看看的，那么就跟我来吧。

一、先去除HIPS编规则难的观念。

我们把所有问题都简化一下，其实所有安全问题只是仅仅涉及到几个常见的目录而已，错综复杂的规则你看不懂，几个目录你总看得懂吧，难道你认为自己连几个目录都搞不定吗？还是不懂？没关系，我们一起来认识它们吧。

危险目录

?:\*.exe
?:\RECYCLE?\*
*\Local Settings\Temporary Internet Files\*
*\Favorites\*
?:\System Volume Information\*
%windir%\system32\*
%windir%\*
%SystemDrive%\*

阴险

例外目录

*\temp\*
*\桌面\*
%ProgramFiles%\*
*\Favorites\*
*\Local Settings\Temporary Internet Files\*IE
*\Documents and Settings\*大漠飞沙

三、开始编写规则。

先来一个3D的扫盲：我们都知道一个完整的HIPS都有这AD，RD，FD功能，而这几道防线，FD是首当其冲，病毒想要闯入系统就必须先过FD这一关，如果不是整天下载软件的话，一个严格的FD完全可以保证你的系统无毒，病毒都进不来，还怎么破坏你的系统？其次第二道防线是AD和FD为主，RD为辅助（保护重要注册表项目），3D全面合作来维护系统。当一个程序运行后，AD是起着主导作用，监视着程序的每一步行动，如果触犯规则判断为病毒，那么将被EQ轻松结束，而这时候的FD依旧起着很关键的作用，保护着重要目录和文件不被修改和删除。（在AD不允许加载驱动等高危操作的情况下的保护，如果AD沦陷了，FD也就会成为摆设，所以在病毒进入系统后，AD是主导）

然后由于任何HIPS的AD功能总是最丰富的，虽然是仅仅几个目录，里面眼花缭乱的拦截操作绝对给你有放弃的冲动，所以如果新手一开始是从AD入手，那么过不了多久你就会放弃了，其实AD的丰富的拦截只能说明功能的强大。

正确的做法应该从FD入手。

系统的目录不要想太多，就几个，把这些全限制了：

?:\*.exe
?:\RECYCLE?\*
*\Local Settings\Temporary Internet Files\*
*\Favorites\*
?:\System Volume Information\*
%windir%\system32\*
%windir%\*
%SystemDrive%\*

然后这几个目录读写适当允许：

*\temp\*
*\桌面\*
%ProgramFiles%\*
*\Favorites\*
*\Local Settings\Temporary Internet Files\*IE
*\Documents and Settings\*

然后才是AD，不要想一个程序运行了哪些需要拦截，哪些不要，这样你又要得头痛，很简单，你只要先编写运行的规则就行了，哪个目录的文件允许运行，哪个目录的禁止运行，直接套用你在FD编好的目录入手，相信你经过了FD的洗礼就已经知道得差不多了。把框架做好，然后再把拦截操作细化。

本文发布于:2023-05-23 13:02:29，感谢您对本站的认可！

本文链接：https://www.wtabcd.cn/fanwen/fan/82/745404.html

上一篇：涂磊微博经典语录

下一篇：最新毕业设计实训报告总结(九篇)