目前许多杀毒软件、软件防火以及HIPS都具有了注册表监控功能，对防范病毒木马等恶意程序起到了不小的作用。但是现有的注册表监控并非无懈可击，比如使用操作HIVE的高级方法，达到绕过注册表监控修改注册表的效果。

测试了卡巴6、瑞星、GSS等含有注册表监控功能的安全软件，我写的这个演示程序使用的特殊技术均可以突破他们修改注册表。

本程序仅作科普以及安全警示之用，勿将程序中的方法用于非法用途。

注册表监控弱点演示程序 下载地址： http://www.xyzreg.net/BypassRegMon.rar


作者：邪恶八进制核心成员xyzreg


＝＝＝＝＝＝＝＝



由于我電腦上使用的是EQ，并未使用SSM，所以用EQ測試了下。結果4种方法都可以攔截

其中有兩種方法要求在C盤子創建文件，被阻攔。關閉文件保護后，依然能成功阻止對注册表的修改。

由于EQ目前版本日志記錄有些問題，顯示的有些驢頭不對馬嘴。







這個使用特殊方法b作的測試（關閉文件保護），也能攔截，只是日志記錄有些不對…

這是SSM的官方回覆：

SSM successfully intercepts all BypassRegMon actions exept the one.
This tool performs registry modification via restore registry operation.
I.e.
SSM has registry rule for
"HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run" registry key. In case you will try to modify this key or its subkeys, you will get app activity dialog from SSM and can deny the action.
But BypassRegMon tool performs restore registry operation for
"HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies" registry key. So, SSM does not intercept the action in such cases.
To force SSM to intercept such actions you have to create registry object in SSM for
"HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies" registry key
or for any key above it. For example for
"HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion"

Future SSM builds will include the fix for this problem. SSM will permit restore registry operations if the rule for the target key is already exists or ask the user for decision by default.

Thank you for your help.

_________________
System Safety Support Team

看來mcafee應該也能被繞過...