汇报个状况,关于FLASH升级程序的协议识别.

shao · 发表于 2009-8-28 16:45:36

FlashUtil10c.exe

这个程序大家都有,在目录C:\Windows\System32\Macromed\Flash. 附件也上传了一个.
这是flash自动升级的一个程序,会下载数据,被panabit识别成p2p软件的
Gnutella tcp 192.168.2.123:1169--61.14.175.11:80 253 1464, 3304

状况是这样的,近期公司内很多电脑IE随机打开某些网站就死机... 重装后还有发生,现在排查下来是因为上述程序无法联网下载数据造成的.
最后经过测试,上述程序被panabit识别成p2p类的Gnutella子类.

如果有同学和我一样,把P2P完全封死的策略,请注意此类问题.
谢谢, 希望panabit可以再看一下这个程序的协议包,是不是分配有误.

panabit · 发表于 2009-8-28 17:20:27

原帖由 shao 于 2009-8-28 16:45 发表
FlashUtil10c.exe

这个程序大家都有,在目录C:\Windows\System32\Macromed\Flash. 附件也上传了一个.
这是flash自动升级的一个程序,会下载数据,被panabit识别成p2p软件的
Gnutella tcp 192.168.2.123:1169--61. ...

你能否给抓一下包？

wghboy · 发表于 2009-8-28 21:47:26

用panabit封杀会误杀的，最好限制流量，qvod这个是最难控制的，部分流量未知，大家别以为你封的软件没流量就是封住了，有些特难封的，识别成其它协议

panabit · 发表于 2009-8-28 21:49:25

原帖由 wghboy 于 2009-8-28 21:47 发表
用panabit封杀会误杀的，最好限制流量，qvod这个是最难控制的，部分流量未知，大家别以为你封的软件没流量就是封住了，有些特难封的，识别成其它协议

QVOD用最新的9.08版本已经可以接近100%识别了，兄弟帮忙验证一下。

wghboy · 发表于 2009-8-28 22:30:14

不行，部份是未知，还有些认成其它协议，今晚我看到有部份认成360更新了

panabit · 发表于 2009-8-28 22:42:02

原帖由 wghboy 于 2009-8-28 22:30 发表
不行，部份是未知，还有些认成其它协议，今晚我看到有部份认成360更新了

360更新使用了QVOD协议。

panabit · 发表于 2009-8-28 22:59:43

原帖由 shao 于 2009-8-28 16:45 发表
FlashUtil10c.exe

这个程序大家都有,在目录C:\Windows\System32\Macromed\Flash. 附件也上传了一个.
这是flash自动升级的一个程序,会下载数据,被panabit识别成p2p软件的
Gnutella tcp 192.168.2.123:1169--61. ...

你用附件中的特征库看看是否解决了你的问题。
注意，这个特征库只适用于Panabit 9.08版，如果你不是最新版，请先升级到最新的9.08版，然后再升级此特征库。

wghboy · 发表于 2009-8-29 02:39:30

原帖由 panabit 于 2009-8-28 22:42 发表

360更新使用了QVOD协议。

那封qvod不是要把360一块干了

shao · 发表于 2009-9-4 08:42:22

马上升级测试谢谢老大.

		自动登录	找回密码
密码			注册

汇报个状况,关于FLASH升级程序的协议识别.

回复 7# 的帖子