SSM“AD”模塊中級教程——組類別升級設(shè)置（高級篇） 原創(chuàng)作者： Oceanzd
[卡飯首發(fā)]SSM“AD”模塊中級教程——組類別設(shè)置（初級篇）http://www.kpfans.com/bbs/viewthread.php?tid=55441&extra=page%3D1QUOTE:
寫作原因：還是因為那幾位會員（yzt1004，16734994等）的原因而寫的，并且解釋清楚SSM各類權(quán)限的意思，以進(jìn)行“授之以漁＋授之以魚”的教程配合了～～
實際上，自己也是為了練一練手吧～～～
QUOTE:
測試版本：
SSM 收費版 2.3.0.612，使用半年注冊碼
這次的分組名稱和賦予的權(quán)限都有改變，但是大部分的還是一樣的。分組明確更明確的話安全性會更提高，也易于找到程序，順便學(xué)習(xí)一下各類程序的應(yīng)用等。非核心系統(tǒng)文件的分界更明顯了，這樣的話包括一些容易被木馬等利用的進(jìn)程（Svchost.exe，Explorer.exe等）的權(quán)限和管理就會和其它的程序分離開來。當(dāng)然一些會員會想，單獨設(shè)置也很方便呀，為什么這樣弄呢？這個我也不好說，可能是我的性格所致吧，要把東西分類的整整齊齊（就像我的文件夾分類……）。
總之，此帖僅供參考，很多規(guī)則還需要靠自己的能力來進(jìn)行修改和添加。我只會講述部分實例而已，并且會講解SSM的權(quán)限意義，這樣自己制定起來會更明白設(shè)置的意義。
QUOTE:
日志： 程序啟動：是否記錄程序啟動的日志。
程序終止：是否記錄程序終止的日志。
進(jìn)程間的活動（DLL注入等）：是否記錄包括創(chuàng)建新的線程或者遠(yuǎn)程線程等的日志。
系統(tǒng)控制：是否記錄操作系統(tǒng)函數(shù)的日志。
設(shè)置全局掛鉤：是否記錄關(guān)于API等被全局掛鉤的日志。
加載驅(qū)動：是否記錄程序加載sys驅(qū)動的日志。
注意：一些人不知道程序啟動的設(shè)置位置，可能會將“日志”選項曲解為“直接控制程序”的設(shè)置區(qū)，這個區(qū)只是為了記錄日志的，但是為什么也要分類是否記錄日志呢？我也只是為了分類明確而已。系統(tǒng)控制：允許物理內(nèi)存存?。簺Q定是否在內(nèi)存寫入緩存（包括線程等），0線程意味著這個進(jìn)程雖然存在，但是沒有存在的價值。
底層磁盤讀?。郝赃^不講（大家都清楚）。
允許關(guān)閉系統(tǒng)：決定此程序是否允許調(diào)用ShutDown函數(shù)關(guān)機(jī)。
底層鍵盤讀取：用來監(jiān)控keylogger的。
代碼注入/DLL 注入：允許遠(yuǎn)程代碼控制：決定是否允許第三方程序?qū)σ粋€程序的代碼嵌入控制（包括一些Windows主題等，關(guān)聯(lián)DLL）。
允許遠(yuǎn)程數(shù)據(jù)修改：決定是否允許第三方程序?qū)σ粋€程序的嵌入代碼行為（關(guān)聯(lián)“代碼”）。
掛起線程/進(jìn)程：決定是否允許第三方程序?qū)σ粋€程序的注入型監(jiān)視，用來檢查程序的發(fā)生行為（包括調(diào)試程序）。
進(jìn)程控制：若被終止則重啟進(jìn)程：題目說得很清楚了。
不驗證效驗和：即不驗證MD5，有很大風(fēng)險，但是適合經(jīng)常升級自身的程序。
斷開用戶界面時阻止：即禁止了后臺運行，用戶的窗口必須可見。
檢測命令行參數(shù)：決定了此進(jìn)程可以調(diào)用的程序或者自己本身被其它父進(jìn)程調(diào)用。
終止其它進(jìn)程：題目說得很清楚了。
保護(hù)：題目說得很清楚了。網(wǎng)絡(luò)：略過。選項：保護(hù)規(guī)則不被刪除。
新增組設(shè)置：
圖片附件:
1.PNG(2007-2-26 08:16, 20.62 K)
在原有的基礎(chǔ)上添加了Cmd Run和Child App。原來的System(about)分化成了Common System App，System App(ask for connect)，System App(Deny to connect)。
圖片附件:
2.PNG(2007-2-26 08:16, 9.21 K)
Common System App里面的程序列表。當(dāng)然不止這幾個程序，我只是列出了幾個很典型的程序而已。這里的程序都是會被大部分病毒注意和常用的系統(tǒng)程序。權(quán)限上的限制和要求很高。
圖片附件:
3.PNG(2007-2-26 08:16, 13.32 K)
我設(shè)置的權(quán)限制定。一般來說最好打開“命令行參數(shù)”一條，雖然會更加繁瑣，但是安全性會大大增強(qiáng)。
圖片附件:
4.PNG(2007-2-26 08:16, 34.41 K)
父子級設(shè)定。必須打開大量的問號，因為我們不能確定DLL木馬或者EXE木馬的調(diào)用意圖，有可能會雙層注入調(diào)用。一些組的程序不能作為這個組的程序的父程序，以防止虛擬調(diào)用。
圖片附件:
5.PNG(2007-2-26 08:16, 8.84 K)
這里是System App(ask for connect)的設(shè)置組。包括了極少量的需要聯(lián)網(wǎng)，相對安全，個人用戶能用到的系統(tǒng)程序。
圖片附件:
6.PNG(2007-2-26 08:16, 13.44 K)
我的權(quán)限設(shè)置。
圖片附件:
7.PNG(2007-2-26 08:16, 34.18 K)
父子級設(shè)置。和Common那個一樣，實際上這類需要聯(lián)網(wǎng)的程序都會限制的比較嚴(yán)的。
圖片附件:
8.PNG(2007-2-26 08:16, 32.68 K)
這里是System App(Deny to connect)的設(shè)置組。包括了大量不需要聯(lián)網(wǎng)的系統(tǒng)程序（包括計算器等）。
圖片附件:
9.PNG(2007-2-26 08:16, 14.04 K)
這里的權(quán)限看起來和聯(lián)網(wǎng)的一樣，控制的比較嚴(yán)，但是這里的程序大部分也不需要很多權(quán)限，所以就如此設(shè)置。
圖片附件:
10.PNG(2007-2-26 08:16, 35.26 K)
由于不聯(lián)網(wǎng)，不確定性會減少很多，在父子級里面的嚴(yán)格控制會更多。
圖片附件:
11.PNG(2007-2-26 08:16, 13.47 K)
這個是Cmd Run的權(quán)限。為何權(quán)限要求很嚴(yán)呢？因為這里的程序只能被Cmd調(diào)用，命令行里的命令也不會或者很少牽扯系統(tǒng)文件，所以很多關(guān)聯(lián)都給禁止了。
圖片附件:
12.PNG(2007-2-26 08:16, 34.81 K)
先設(shè)置成都禁止（除了核心系統(tǒng)和Trusted的之外）。
圖片附件:
13.PNG(2007-2-26 10:54, 8.81 K)
然后在Common System App打開Cmd和Svchost的父程序權(quán)限。為什么要打開Svchost呢？因為Svchost會一直監(jiān)視并且會打開任何正在執(zhí)行的程序的線程，否則不能確定程序，必須打開。
圖片附件:
14.PNG(2007-2-26 08:16, 10.18 K)
這里是Child App的設(shè)置組。為什么叫Child App呢？因為這些程序只會作為子程序運行，不會調(diào)用其它程序。當(dāng)然這類程序很少，所以要求很嚴(yán)，加入以前要仔細(xì)了解此程序的運行方案。
圖片附件:
15.PNG(2007-2-26 08:16, 13.37 K)
我設(shè)置的權(quán)限。這類程序的權(quán)限需要一般很少（因為不作為父程序，不需要“調(diào)用”等權(quán)限）。
圖片附件:
16.PNG(2007-2-26 08:16, 35.42 K)
父子級設(shè)置。將“其它程序作為子級”全部設(shè)置為“禁止”。父程序就要自己看看此程序的屬性了，如圖片里的TT升級程序，就要禁止所有其它的程序做為父程序（除了核心系統(tǒng)進(jìn)程，殺軟，TT瀏覽器和Svchost外）。
典型系統(tǒng)文件的SSM設(shè)置：圖片附件:
17.PNG(2007-2-26 08:16, 34.58 K)
rundll32.exe的父子級設(shè)置。禁止不需要的程序的調(diào)用，但是子程序不能控制，因為rundll32經(jīng)常會調(diào)用一些可執(zhí)行程序（如應(yīng)用“控制面板”）。
圖片附件:
21.PNG(2007-2-26 08:16, 14.26 K)
regedit.exe的權(quán)限設(shè)置。禁用不必要的權(quán)限。
圖片附件:
18.PNG(2007-2-26 08:16, 35.14 K)
先禁用所有程序作為父程序和子程序（regedit不需要調(diào)用任何程序）。
圖片附件:
19.PNG(2007-2-26 08:16, 35.05 K)
然后在分組來開啟Explorer.exe的啟動權(quán)限。
圖片附件:
26.PNG(2007-2-26 08:16, 21.08 K)
注冊表修改改成“Unrestricted”（無限制的）。
圖片附件:
20.PNG(2007-2-26 08:16, 14.23 K)
svchost.exe的權(quán)限設(shè)置。
圖片附件:
22.PNG(2007-2-26 08:16, 35.17 K)
svchost.exe的父子級設(shè)置。拒絕所有程序作為父程序，然后在子程序勾選部分可靠的組，因為Svchost.exe需要對任何進(jìn)程開啟線程（特別是Explorer.exe）。
圖片附件:
27.PNG(2007-2-26 08:16, 24.86 K)
svchost.exe的注冊表設(shè)置，列出了經(jīng)常需要用到的注冊表應(yīng)用。建議對照添加和修改。
圖片附件:
23.PNG(2007-2-26 08:16, 14.96 K)
Explorer.exe的權(quán)限設(shè)置，包括經(jīng)常應(yīng)用的“進(jìn)程間活動”（太常見了，不舉例子了），“關(guān)閉系統(tǒng)”（平常的開始關(guān)機(jī)都是Explorer.exe調(diào)用函數(shù)的）和“終止其它進(jìn)程”（也很常見，你關(guān)閉窗口都算是Explorer.exe的）。
圖片附件:
24.PNG(2007-2-26 08:16, 34.72 K)
父子級設(shè)置。因為很多程序會反調(diào)用Explorer.exe（包括打開窗口），所以就設(shè)置成了“？”。大部分的程序都是Explorer.exe直接啟動的，所以大部分的都設(shè)置成勾號。殺軟也勾上了，但是部分進(jìn)程是以服務(wù)（services.exe）來啟動的，需要單獨設(shè)定。
圖片附件:
25.PNG(2007-2-26 08:16, 35.28 K)
最后在Common那里詳細(xì)的設(shè)置一下。允許這些程序以Explorer的子程序啟動或者其它操作。
圖片附件:
28.PNG(2007-2-26 08:16, 35.64 K)
舉一反三：ping.exe的父子級設(shè)置。只允許核心系統(tǒng)進(jìn)程，殺軟，cmd和Svchost.exe來充當(dāng)父程序。
圖片附件:
29.PNG(2007-2-26 08:16, 13.48 K)
小試一局：dwwin.exe（Windows自帶調(diào)試程序）的權(quán)限設(shè)置。作為調(diào)試程序肯定要打開遠(yuǎn)程控制，掛起線程，終止其它進(jìn)程的權(quán)限。
圖片附件:
30.PNG(2007-2-26 08:16, 36.2 K)
實驗一個，關(guān)于設(shè)定子進(jìn)程。以UE里面UnRAR.exe來作實驗（因為只需要一個主父進(jìn)程）。首先禁止所有的父進(jìn)程（不包括核心系統(tǒng)進(jìn)程和殺軟）。
圖片附件:
31.PNG(2007-2-26 08:16, 36.44 K)
然后先設(shè)置cmd和svchost允許調(diào)用（cmd調(diào)用為此程序必須，但是其它的程序需要靠自己的判斷和經(jīng)驗）。
圖片附件:
32.PNG(2007-2-26 08:16, 37.79 K)
然后設(shè)置允許主程序UE調(diào)用。
圖片附件:
33.PNG(2007-2-26 08:16, 14.39 K)
taskmgr.exe的權(quán)限設(shè)置。允許關(guān)閉系統(tǒng)（一般為無法正常關(guān)機(jī)時使用）和終止其它進(jìn)程（這是必備的功能）。
圖片附件:
34.PNG(2007-2-26 08:16, 36.33 K)
父子級設(shè)置。先將父程序全部都禁止（除了核心系統(tǒng)進(jìn)程和殺軟）。子程序為了方便結(jié)束進(jìn)程，直接全部允許。
圖片附件:
35.PNG(2007-2-26 08:16, 36.9 K)
一般我們只需要用快捷鍵，也就是Explorer.exe來開啟taskmgr.exe。所以我們只要將Explorer和Svchost作為父程序就行了，其它的都禁止。
圖片附件:
36.PNG(2007-2-26 10:54, 24.06 K)
關(guān)于“命令行參數(shù)”的設(shè)定：
一些人會問，到底程序的啟動是在哪里控制的呢？找了半天都找不到，實際上是在“命令行參數(shù)”里面設(shè)置的。
關(guān)于“命令行參數(shù)”，就包括“％s”“-Embending”等，但是在這里比較常見的就有文件路徑了，如：X:\Program Files\Acdsee 8\Acdsee.exe E:\ssm.jpg。在手動設(shè)置的時候，很多人將X:\Program Files\Acdsee 8\Acdsee.exe也加進(jìn)去了，所以會發(fā)現(xiàn)無效，實際上中間有個空格，空格后面的才是參數(shù)，很多人都看錯了。那么只有一個路徑X:\Program Files\Acdsee 8\Acdsee.exe，沒有空格和后接參數(shù)怎么辦呢（在直接啟動SSM規(guī)則里沒有的主程序時）？那么就是留空，如圖。里面的“允許”和“阻止”就是決定是否以此參數(shù)來啟動程序了。
至此，SSM的組類別設(shè)升級置（高級篇）就結(jié)束了。一些地方可能會有不完善甚至錯誤的地方，盡管拍磚，我會盡快的改正的。
這樣的設(shè)置實際上不難的，就要靠自己的經(jīng)驗和對系統(tǒng)了解的水平，而且我已經(jīng)盡量的簡化和平?；恼Z言了，希望大家理解。在這里單獨設(shè)置規(guī)則和命令行參數(shù)是一個重點，希望大家重點看這里（雖然關(guān)于“命令行參數(shù)”的內(nèi)容不多）。也要糾正一些用戶的規(guī)則曲解問題。
這次就不在圖片上設(shè)置“Oceanzd 原創(chuàng)”了，但是希望大家轉(zhuǎn)貼的時候注明來源和作者。
