Проверка URL'ов, есть ли смысл?

[QUOTE=Зайцев Олег;137915]Я лично на подобные "грабли" налетал уже неоднократно
[/QUOTE]
Я тоже. И тем не менее, если при проверке линка плюхин сообщает, что там живет пара VBS.PackFor, то это сразу говорит о многом.

[quote=borka;137971]Я тоже. И тем не менее, если при проверке линка плюхин сообщает, что там живет пара VBS.PackFor, то это сразу говорит о многом.[/quote]
Если говорит - то это говорит обо всем сразу. Жаль, что пример с [URL]http://z-oleg.com/eicar.php[/URL] не объяснил Вам, насколько легко вирусописателю защититься от этого плагина.

>>Жаль, что пример с [url]http://z-oleg.com/eicar.php[/url] не объяснил Вам, насколько легко вирусописателю защититься от этого плагина
Странный разговор.
Говорят легко обмануть можно и любой антивирус, но при этом полностью отказываться от антивируса на венде не желательно.
Плагин не всегда, но работает, так же как и все антивирусы не знают 0-day вирусов, но никто не говорит, что антивирус нужно выкинуть.
Проблемы подобных плагинов, описанные здесь понятны, так же как и понятны проблемы необнаружения вирусов антивирусами.
То, что КЛ не будет делать подобный сервис тоже понятно. Нет, ну и не надо. Думаю, найдете куда потратить сэкономленное. :)
Так же понятно, что отказываться от сервиса вэба тоже смысла нет, поскольку он может быть иногда полезен.

[quote=pig;137865]Так это вроде бы не вам советовали... Я так думаю (c)[/quote]

Да нет, именно мне.

icon, Вы очень правильно резюмировали эту беседу. Спасибо.
Полагаю тему исчерпанной.

1. Скриптов на той странице на момент проверки не было, это я помню точно.
Потому как пришлось их тогда искать. Нашел, но не на том сайте.
2. DVi, если не очень сложно - корректнее, плиз, когда пишете о работе других.
3. Насчет упомянутых блэк-листов - на сайте с закладкой их не бывает.
Да и блокировки онлайна я ещё не видел. Даже наоборот - из дому мне трояны не отдаются, а онлайну - пожалуйста :).

ЗЫ: Даже [url=http://www.kaspersky.ru/scanforvirus]простейшая онлайн-проверка файлов[/url] и та с ограничением размера файла 1 мБ.
Это уже политика фирмы, и присутствующими здесь она никак не определяется, лишь добросовестно соблюдается. Даже чересчур добросовестно.
А упомянутые технические сложности работы плагина и онлайн-URL вполне решаемы - было бы желание.

Вероятно, я мог ошибиться, приведя ссылку на сообщение [b]Alexey P.[/b] на форуме DrWeb в качестве доказательства неполной работоспособности плагина. Я приношу свои извинения Алексею за свои домыслы (вполне вероятно, что и не имевшие под собой оснований).

Поэтому ниже я даю ссылку на сообщение [b]Alex Plutoff[/b], недвусмысленно иллюстрирующее все вышесказанное. [b]Alex Plutoff[/b] показал, что плагин не обнаружил зверька, а аналитическое исследование [b]Alexey P.[/b] показало наличие целого зоопарка: [url]http://forum.drweb.com/index.php?method=showhtmllist&list=message&rollid=4409&words=Script.0&clearoff=1[/url]

>3. Насчет упомянутых блэк-листов - на сайте с закладкой их не бывает.
Ой как вы ошибаетесь.. еще как бывает.

Стоит ли рассказывать что вся закладка на сайте состиои из ифрейма на вредоносный пхп скрипт. а этот скрипт определяет версию браузера, банит 2йные обращения, фильтрует "нужные" ИП.

[QUOTE=Sanja;139512]>3. Насчет упомянутых блэк-листов - на сайте с закладкой их не бывает.
Ой как вы ошибаетесь.. еще как бывает.

Стоит ли рассказывать что вся закладка на сайте состиои из ифрейма на вредоносный пхп скрипт. а этот скрипт определяет версию браузера, банит 2йные обращения, фильтрует "нужные" ИП.[/QUOTE]
Наверное, не стоит.
Фильтр - не на сайте с закладкой, он на троянском сайте с мпак или аналогом.
А детектится уже тот первый айфрейм - думаю, видели. До вредоносного пхп скрипта в таком варианте дело уже не доходит.

В том то и дело что нифига не детектится :)

[QUOTE=Sanja;139585]В том то и дело что нифига не детектится :)[/QUOTE]
Это почему еще? Если ифрейм известен, то почему бы ему не детектиться?

[quote=borka;139663]Если ифрейм известен, то почему бы ему не детектиться?[/quote]
Тут вот какая загвоздка: многие интернет-счетчики используют механизмы [COLOR=Blue]<iframe src="" width=0 height=0>[/COLOR]. Мы пробовали построить простенький эвристик на этих данных - и в тот же день получили большой поток фолсов. Пришлось убрать эту запись из антивирусных баз.

Похожая на этот "эвристик" (по замыслу, а не по исполнению) запись VBS.PackFor страдает ровно тем же самым. И если техподдержка DrWeb не получает жалоб своих пользователей по поводу этой записи, то лишь из-за несовпадения массива пользователей и массива ложняков.

Или Вы говорите о детекте конкретных УРЛов, указываемых в свойстве [B]src[/B] этих фреймов?

Вы точно в этом не одиноки. Слышал, что такую же "эвристику" делал вебвашер.
Но до внедрения в фильтры у них дело вроде не дошло.

[QUOTE=DVi;139673]Тут вот какая загвоздка: многие интернет-счетчики используют механизмы [COLOR=Blue]<iframe src="" width=0 height=0>[/COLOR]. Мы пробовали построить простенький эвристик на этих данных - и в тот же день получили большой поток фолсов. Пришлось убрать эту запись из антивирусных баз.[/QUOTE]
Да, я видел достаточно много честных ифреймов на вполне честных сайтах. Тут без фолсов не обойдется. :(

[QUOTE=DVi;139673]Похожая на этот "эвристик" (по замыслу, а не по исполнению) запись VBS.PackFor страдает ровно тем же самым. И если техподдержка DrWeb не получает жалоб своих пользователей по поводу этой записи, то лишь из-за несовпадения массива пользователей и массива ложняков.[/QUOTE]
Это сигнатурный детект, насколько я понимаю.

[QUOTE=DVi;139673]Или Вы говорите о детекте конкретных УРЛов, указываемых в свойстве [B]src[/B] этих фреймов?[/QUOTE]
Нет, я говорю о самой конструкции в целом. Например,
<iframe src="hттp://traffnew.biz/dl/adv659.php" width=1 height=1></iframe> и т. п. Если это вирусный ифрейм (Вирлаб определил), и он есть в базах (Вирлаб внес), то он будет найден при проверке страницы.

[quote=borka;139680]Это сигнатурный детект, насколько я понимаю.[/quote]
Да, там положена сигнатура на скриптовый упаковщик, а не на его содержимое. Поэтому я назвал это "как бы эвристикой".

[quote=borka;139680]
Нет, я говорю о самой конструкции в целом. Например,
<iframe src="hттp://traffnew.biz/dl/adv659.php" width=1 height=1></iframe> и т. п. Если это вирусный ифрейм (Вирлаб определил), и он есть в базах (Вирлаб внес), то он будет найден при проверке страницы.[/quote]
Понятно. Такие простые конструкции мы вносим прямиком в базу черных адресов в виде маски на домен (если выяснено, что весь домен является зловредным).

Как обещал Евгений Кузин, доработана онлайн-проверка Dr.Web плагинами.
Найденные в коде страницы скрипты и фреймы разбираются и проверяются также содержащиеся в них ссылки.
См. [url]http://forum.drweb.com/message/6087/0/#63756[/url]

[QUOTE=Alexey P.;144643]Как обещал Евгений Кузин, доработана онлайн-проверка Dr.Web плагинами.
Найденные в коде страницы скрипты и фреймы разбираются и проверяются также содержащиеся в них ссылки.
См. [url]http://forum.drweb.com/message/6087/0/#63756[/url][/QUOTE]
При проверке линка это выглядит следующим образом:
[b] Размер файла: 19812 байт, с учётом скриптов и фреймов: 58046 байт

[url]www.drweb.com[/url] - archive HTML
>[url]www.drweb.com/Script.0[/url] - OK
>[url]www.drweb.com/Script.1[/url] - OK
>[url]www.drweb.com/Script.2[/url] - OK
[url]www.drweb.com[/url] - OK

Эта страница включает в себя внешние скрипты/ фреймы. Все они были также проверены:

[url]http://www.google-analytics.com/urchin.js[/url]
[url]http://www.drweb.com/wz_tooltip.js[/url][/b]

Простите, что поднимаю эту тему. Месяц назад я не заметил ее обновления.
[quote=Alexey P.;144643]Как обещал Евгений Кузин, доработана онлайн-проверка Dr.Web плагинами.
Найденные в коде страницы скрипты и фреймы разбираются и проверяются также содержащиеся в них ссылки.
См. [URL]http://forum.drweb.com/message/6087/0/#63756[/URL][/quote]
Спасибо за информацию.
До какого уровня разбираются скрипты и фреймы?
Исполняются ли при этом скрипты типа document.write(unescape(eval(...))), которые составляют сейчас большинство инжектов на страницы?

Иными словами - если в странице лежит скрипт, который дописывает в конец страницы iframe, который в свою очередь содержит похожий скрипт, который опять-таки дописывает в конец страницы iframe (и так до десятка уровней вложенности - Вы ведь, Алексей, с этим знакомы), и в этом последнем iframe сидит детектируемый антивирусным движком VBS.PackFor, который и грузит реального зловреда - на каком уровне остановится проверяльщик УРЛов?
Если он не дойдет до конца - можно ли доверять результату его проверки и открывать проверенную страницу в браузере?

[quote=borka;144752][B]Эта страница включает в себя внешние скрипты/ фреймы. Все они были также проверены:

[URL]http://www.google-analytics.com/urchin.js[/URL]
[URL]http://www.drweb.com/wz_tooltip.js[/URL][/B][/quote]
Эта страница содержит не только внешние скрипты и фреймы, но и другие потенциально опасные внешние мультимедиа-файлы. Просмотрите информацию, которую дает об этой странице Firefox - Вы увидите баннер с Рамблера. Он был проверен антивирусом?
[IMG]http://i049.radikal.ru/0711/5b/187c028c6ea3.png[/IMG]

DVi, всё проще - сделайте лучше, и люди будут Вам искренне благодарны.
Очень желательно тоже в виде бесплатного сервиса.

ЗЫ: А искать соринку в глазу ближнего, традиционно не замечая бруса в своём - не царское это дело.

[QUOTE=DVi;155338]До какого уровня разбираются скрипты и фреймы?
Исполняются ли при этом скрипты типа document.write(unescape(eval(...))), которые составляют сейчас большинство инжектов на страницы?
Иными словами - если в странице лежит скрипт, который дописывает в конец страницы iframe, который в свою очередь содержит похожий скрипт, который опять-таки дописывает в конец страницы iframe (и так до десятка уровней вложенности - Вы ведь, Алексей, с этим знакомы), и в этом последнем iframe сидит детектируемый антивирусным движком VBS.PackFor, который и грузит реального зловреда - на каком уровне остановится проверяльщик УРЛов?
Если он не дойдет до конца - можно ли доверять результату его проверки и открывать проверенную страницу в браузере?[/QUOTE]
Вопрос об этом стоЯл тогда же, когда появилась проверка скриптов и фреймов. Разбор этих структур обещались сделать. Не все сразу.