火绒拦截 ssh.exe

Moushu

火绒版本 5.0.75.15
病毒库 2024-09-27 18:27

版本        Windows 11 家庭中文版
版本号        23H2
操作系统版本        22631.4169

拦截 Windows 的 open-ssh 和 git 的 ssh，，，希望，，，至少拦截时能有个提示之类的

---

行为（这里只取其中两个）：

拦截 C:\Windows\System32\OpenSSH\ssh.exe
远程地址：20.205.243.166:22
本地地址：192.168.1.15:53194

拦截 D:\Program Files\Git\usr\bin\ssh.exe
远程地址：20.205.243.166:443
本地地址：192.168.1.15:53106

---

具体情况：

今天在一台不怎么用于开发的电脑上（用于娱乐的个人电脑）访问 github，电脑上启用了 Steam++（watt toolkit）加速 github

网页访问 github 正常，使用 git clone git@github.com 下载仓库时报错 Permission denied

换用 git clone http 的方式下载正常（后面检查日志发现火绒拦截了所有 ssh，但是放行了 git-remote-https.exe）

提交代码报错 Permission denied

执行 ssh -v git@github.com 报错 Permission denied

怀疑人生

重新生成了 ssh 密钥，重装 open-ssh，重装 Steam++，多次测试均报错 Permission denied

重复上述操作报错 Permission denied

怀疑人生

最终想起来电脑上有个一声不吭的火绒

检查日志发现火绒拦截了网络请求，在联网控制中添加规则

正常提交代码

火绒运营专员

您好，联网控制功能默认是不开启的，您开启后可看下新程序联网时您这设置的提示是什么呢？麻烦您导出火绒的安全日志上传至论坛。

Moushu

火绒运营专员 发表于 2024-9-28 18:31
您好，联网控制功能默认是不开启的，您开启后可看下新程序联网时您这设置的提示是什么呢？麻烦您导出火绒的 ...

详见附件，日志中用户名部分替换为了“user”


联网设置处的配置是“询问我”，和你的截图一致

火绒运营专员

Moushu 发表于 2024-9-28 21:31
详见附件，日志中用户名部分替换为了“user”

您好，这边看您提供的日志中有对ssh的程序做联网控制阻止动作，您可排查下联网控制控制规则并重新设置看下是否可以正常使用

Moushu

火绒运营专员 发表于 2024-9-29 09:02
您好，这边看您提供的日志中有对ssh的程序做联网控制阻止动作，您可排查下联网控制控制规则并重新设置看 ...

额，，我只是来反馈一个问题的，实际上我更改联网控制已经可以正常使用 ssh 了，我想说的其实是这两点：
1、出于未知原因，我的这台设备本来是正常使用 ssh 的但昨天突然不行
2、设置中选的是“询问我”但是实际上静默拦截没有跳出提示

火绒运营专员

Moushu 发表于 2024-9-29 15:26
额，，我只是来反馈一个问题的，实际上我更改联网控制已经可以正常使用 ssh 了，我想说的其实是这两点：
...

了解哈，火绒的 联网控制 功能会在没有相关规则时弹窗询问您，但如果已有相关规则（自动允许/阻止）均不会弹窗；从您提供的日志上看，火绒自动阻止ssh.exe的联出行为是由于您设置了相关规则哈~

火绒运营专员

您好，您可以暂时移除相关规则，然后再使用ssh，看看火绒是否弹窗，还需要确认是否开启免打扰模式，如果开启了就不会有弹窗提示的，但是日志里会有记录。

火绒运营专员

Moushu 发表于 2024-9-29 15:26
额，，我只是来反馈一个问题的，实际上我更改联网控制已经可以正常使用 ssh 了，我想说的其实是这两点：
...

楼主您好，一周仍未收到您的回复，您的帖子帮您关闭了，后续有问题麻烦到论坛发新帖，会有专人帮您跟进的，再次感谢您的支持。