Проблема с DSO Exploit [Архив]

egik

13.11.2004, 00:30

Поставил SpyBoot и вот что он выдал

DSO Exploit: Data source object exploit (Èçìåíåíèå ðååñòðà, nothing done)
HKEY_USERS\S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Inter net Settings\Zones\0\1004!=W=3

DSO Exploit: Data source object exploit (Èçìåíåíèå ðååñòðà, nothing done)
HKEY_USERS\S-1-5-20\Software\Microsoft\Windows\CurrentVersion\Inter net Settings\Zones\0\1004!=W=3

DSO Exploit: Data source object exploit (Èçìåíåíèå ðååñòðà, nothing done)
HKEY_USERS\S-1-5-19\Software\Microsoft\Windows\CurrentVersion\Inter net Settings\Zones\0\1004!=W=3

DSO Exploit: Data source object exploit (Èçìåíåíèå ðååñòðà, nothing done)
HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\Cur rentVersion\Internet Settings\Zones\0\1004!=W=3

пробовал лечить даже в безопасном режиме не помогает
Что делать?

Geser

13.11.2004, 01:54

Ничего. Это баг SpyBoot-а
Да, и название темы должно иметь смысл, и давать представление о чём пойдёт речь в теме.
Например "Проблема с DSO Exploit" или "Не удаляется DSO Exploit"...

Andrey

13.11.2004, 09:20

Всё очень просто:
Зайди в реестр (пуск->выполнить->regedit) и удали конец данных ключей (как правило значение 1004).
Затем установи утилиту dsostop2:
http://www.nsclean.com/dsostop.html
http://www.nsclean.com/dsostop2.exe
ftp://ftp.nsclean.com/pub/dsostop2.exe

egik

13.11.2004, 09:51

а что эта программа делает???

Andrey

13.11.2004, 09:58

а что эта программа делает???

Закрывает данную дыру.
В принципе данная дыра в OC Windows не актуальна (если всё пропатчено самыми последними обновлениями).

egik

13.11.2004, 11:41

sp2 стоит, а все равно влезла, а что это за дыра, я так понял, что что-то связано с настройками браузера, почистил реестр и все прошло :)

Andrey

21.11.2004, 10:11

Под данную дыру существует эксплойт, подробнее здесь http://www.greymagic.com/security/advisories/gm001-ie/, а проверить Ослика на примере запуска калькулятора можно здесь: http://www.greymagic.com/security/advisories/gm001-ie/simplebind.html - для простых пользователей; http://www.greymagic.com/security/advisories/gm001-ie/advbind.asp - для продвинутых (введите в окошко любую команду, и наблюдайте, выполнит её IE или нет). На пропатченой Wind'е эксплойт не работает. SpyBoot будет ругаться до тех пор, пока вручную не удалить (или изменить, см. ниже (Спасибо kps !!!)) записи в реестре.

egik

21.11.2004, 11:28

Иду по ссылка Каспер ругается мол, а продвинутом, надо-ли что-то вводить в путсую строку, что-либо?

kps

21.11.2004, 11:34

SpyBoot будет ругаться до тех пор, пока вручную не удалить записи в реестре.

Насколько я понимаю, удалять там ничего не нужно, а нужно изменить значение "1004". Для этого я написал рег. файлик, который сам это делает. Достаточно просто добавить инфу оттуда в реестр.

Исправленную версию можно скачать отсюда (http://webtemplates.com.ua/files/uploads/fix_DSO.reg). После этого Спайбот должен перестать ругаться.

egik

21.11.2004, 11:37

я уже давно удалил вручную, но за рег все равно спасибо!

Geser

29.11.2004, 20:55

А рег не работает. Выдаёт ошибку :(

kps

29.11.2004, 21:09

Вероятно проблема в том, что он предназначен для случаев, когда существуют следующие ключи в реестре:
1.[HKEY_USERS\.DEFAULT]
2.[HKEY_USERS\S-1-5-18]
3.[HKEY_USERS\S-1-5-21-1993962763-2077806209-725345543-1003]
4.[HKEY_USERS\S-1-5-20]
5.[HKEY_USERS\S-1-5-19]

если в реестре нет хотя бы одного из этих ключей, то соответствующую строку нужно удалить из рег файла. На ХР я не тестировал, т.к. у меня 98, но по идее все должно работать, т.к. я сделал все по этой рекомендации (http://forums.net-integration.net/index.php?s=43bf6838d6068b89b20c0f0db96ff19f&showtopic=17159&st=0&#entry85518) , которую автор Спайбота официально признал.

kps

29.11.2004, 21:23

Переделал его. Теперь должен в любом случае работать. Скачать можно здесь (http://webtemplates.com.ua/files/uploads/fix_DSO.reg).

Geser

29.11.2004, 21:48

Переделал его. Теперь должен в любом случае работать. Скачать можно здесь (http://webtemplates.com.ua/files/uploads/fix_DSO.reg).

Угу. Теперь работает :)

kps

29.11.2004, 22:12

Угу. Теперь работает :)

Это, конечно, хорошо, но он фиксит проблему только для текущего пользователя (current user). :-\ Т.е если мы например имеем ХР и двух юзеров Петя и Вася, то когда Петя запустит этот файл, проблема пофиксится только у него, и Спайбот будет все равно находить этот эксплоит в реестре в разделе Васи. Так что для полного решения траблы инфу из файла в реестр нужно добавить не только Пете, но и Васе.

Geser

29.11.2004, 22:15

Это, конечно, хорошо, но он фиксит проблему только для текущего пользователя (current user). :-\ Т.е если мы например имеем ХР и двух юзеров Петя и Вася, то когда Петя запустит этот файл, проблема пофиксится только у него, и Спайбот будет все равно находить этот эксплоит в реестре в разделе Васи. Так что для полного решения траблы инфу из файла в реестр нужно добавить не только Пете, но и Васе.

У меня перестал находить, хоть на компе 2 усера

kps

29.11.2004, 22:25

У меня перестал находить, хоть на компе 2 усера

Ну тогда все путем :)

Geser

30.11.2004, 08:59

Вота я исправил. На работе сработало, проверю ещё дома

kps

30.11.2004, 15:26

Вота я исправил. На работе сработало, проверю ещё дома

Ну это, скажем так, компромисс между первой и второй версией рег файла ;)
Но он опять же выдаст ошибку, если хотя бы одного из этих ключей нет в реестре:
1.[HKEY_USERS\S-1-5-18]
2.[HKEY_USERS\S-1-5-20]
3.[HKEY_USERS\S-1-5-19]
:-\
Так что, лучше использовать версию для текущего пользователя. Тогда хоть есть гарантия, что не будет выдавать ошибку.

Geser

30.11.2004, 15:36

Ну это, скажем так, компромисс между первой и второй версией рег файла ;)
Но он опять же выдаст ошибку, если хотя бы одного из этих ключей нет в реестре:
1.[HKEY_USERS\S-1-5-18]
2.[HKEY_USERS\S-1-5-20]
3.[HKEY_USERS\S-1-5-19]
:-\
Так что, лучше использовать версию для текущего пользователя. Тогда хоть есть гарантия, что не будет выдавать ошибку.

По идее ошибки быть не должно. Если ключей нет он же должен их добавить. Не знаю почему твой ватиант глючил.

kps

30.11.2004, 15:45

По идее ошибки быть не должно. Если ключей нет он же должен их добавить. Не знаю почему твой ватиант глючил.

Надеюсь, что твой вариант не будет глючить, но мне кажется, вот это (http://webtemplates.com.ua/files/uploads/2fix_DSO.reg) - оптимальный вариант. Все ведь не предусмотришь, но компе могут быть и десять юзеров, тогда и твой вариант не все пофиксит. А с этой модификацией (2fix_DSO.reg) все прокатит независимо от того, сколько юзеров. Только каждый юзер должен будет им воспользоваться для полного решения траблы.

pig

01.12.2004, 03:35

По идее ошибки быть не должно. Если ключей нет он же должен их добавить. Не знаю почему твой ватиант глючил.
Их некуда добавлять. Это же не просто ключи, а кусты - то есть, ссылки на файлы реестра.

Geser

01.12.2004, 10:05

Их некуда добавлять. Это же не просто ключи, а кусты - то есть, ссылки на файлы реестра.

А я думал реестр это один файл :) Век живи век учись :)

pig

01.12.2004, 11:46

На каждого пользователя имеется NTUser.dat + ещё и днамически создаваемый UserClass.dat - в профиле пользователя
В конфигурацию машины входят SOFTWARE, SYSTEM, SYSTEM.ALT, SECURITY, SAM - в %SysDir%\config
Оттуда же из файла default грузятся настройки анонимного пользователя, в контексте которого работает заставка входа в систему.

Актуальный состав реестра можно увидеть в HKLM\System\CurrentControlSet\Control\hivelist

Это может пригодиться при оживлении системы методом подключения вторым диском.