AVZ 4.30

[quote=kps;255524]А в каких случаях применяется DeleteService, когда не работает ? Дело в том, что если зловред активен, он может защищать свою службу от удаления, тогда DeleteService естественно не сработает, а BC_DeleteSvc поможет.[/quote]
Да это понятно. В том-то и дело, что не работает даже при удалении "пустышки" в реестре, когда файла зловреда уже не существует. А когда зловред в наличии, эта функция и не особо нужна, т.к. используется DeleteFile + ExecuteSysClean, что автоматически влечет попытку удаления сервиса и обычно срабатывает.

Не знал, что ExecuteSysClean удаляет службу из реестра. По опыту такого не было. Может, Олег прояснит.

[quote=kps;256029]Не знал, что ExecuteSysClean удаляет службу из реестра. По опыту такого не было. Может, Олег прояснит.[/quote]
Удаляет ... там алгоритм такой:
1. Сканирование CLSID - поиск ссылающихся на удаленный файл и их удаление. Причем не просто удаление CLSID, но и зачистка основных мест, где он мог прописаться, например BHO
2. Чистка автозапуска
3. Чистка расширений WinLogon (по идее может почиститься на п.п. 2, но ранее в менеджере автозапуска не было списка Winlogon расширений и они убивались отдельно). Я оставил дублирование - для надежности
4. Чистка служб и драйверов. Ведется только под NT
5. Удаление SPI/LSP (естественно с переупорядочением провайдеров)
6. Расширенная чистка системы - устранение проблем типа некорректных ключей Run и Load, пресловутых безобразий с Session Manager\SubSystems, некорректным userinit и т.п. - ведется по обновляемой базе
Особенность всех пунктов только в том, что я исповедую принцип "не навреди", поэтому если нет 100% уверенности, что ключ принадлежит удаленному зловреду, то он не чистится

[quote=Pavel1;255995]Да нет никаких претенций, просто этот зоопарк прекрасно уживался, а с AVZ Guard и DrWeb(Cureit) не захотел.Просто хочется понять суть происходящего, с Вашей, специалистов помощью,чтоб впредь таких проблем избегать.:)[/quote]

Читай библию, там всё давно написано. :P

Когда ты строишь Вавилонскую башню, то или ты ОЧЕНЬ грамотно согласовываешь её части, или рано или поздно она рушится.

ПРИМЕРНАЯ математика этого дела такова. Если в систем 5 резидентных программ, то мы имеем 5!, то есть 5*4*3*2*1=120 взаимодействий. При 6 программах - их уж 720. При 7 - 5040.
Так что по мере добавления руткитов система разваливается очень быстро.

Тонкий вопрос - какие именно программы нужно считать резидентными (руткитами). Тут может быть много разных критериев.

[QUOTE=Jef239;256231]Читай библию, там всё давно написано. :P

Когда ты строишь Вавилонскую башню, то или ты ОЧЕНЬ грамотно согласовываешь её части, или рано или поздно она рушится.

ПРИМЕРНАЯ математика этого дела такова. Если в систем 5 резидентных программ, то мы имеем 5!, то есть 5*4*3*2*1=120 взаимодействий. При 6 программах - их уж 720. При 7 - 5040.
Так что по мере добавления руткитов система разваливается очень быстро.
[/QUOTE]

Если программы "резидентные" то они между собой не связаны(Адресное пространство то у каждой разное).

Руткиты перехватывают системные функции и таким образом влияют на результат работы функций, поэтому по мере их добавления растет вероятность сбоев + уменьшается скорость работы функции которые перехватываются.

[QUOTE]
Тонкий вопрос - какие именно программы нужно считать резидентными (руткитами). Тут может быть много разных критериев.
[/QUOTE]

Резидентная программа - цитата с ВП:
"В эпоху многозадачных ОС резидентными иногда называют программы, загруженные постоянно и работающие в фоновом режиме. Но применение этого термина некорректно по отношению к многозадачным ОС."

А руткиты не просто в "фоне" работают, а к примеру модифицируют память с целью вставить свой обработчик чего-то.

Я не хочу ввязывать в спор о терминах. Я специально всё упростил до упора, ибо отвечал чайнику.

На самом деле, есть резидентная часть ядра, а есть подгружаемая. И модификация резидентной части ядра (руткит) опаснее, чем подгружаемой.

Если у нас стандартно драйвера без пути на сколько я помню подгружаются отсюда [B]C:\WINDOWS\System32\Drivers\[/B] может быть сделать так чтоб скрипт AVZ подставлял путь? (Именно для драйверов)

[quote=zerocorporated;257533]Если у нас стандартно драйвера без пути на сколько я помню подгружаются отсюда [B]C:\WINDOWS\System32\Drivers\[/B] может быть сделать так чтоб скрипт AVZ подставлял путь? (Именно для драйверов)[/quote]
именно это и сделано в AVZ - но путь подставляется при условии, что в этой папке есть такой файл. А вот если его там нет - тогда путь не подставляется.

[QUOTE=Зайцев Олег;257604]именно это и сделано в AVZ - но путь подставляется при условии, что в этой папке есть такой файл. А вот если его там нет - тогда путь не подставляется.[/QUOTE]
Или если он есть, но не обнаружен (как в случае с Сризби).

[quote=kps;257647]Или если он есть, но не обнаружен (как в случае с Сризби).[/quote]
А вот в этом случае точно путь приписывать нельзя - так как нет гарантии, что драйвер лечит именно там, где мы думаем ... и указав в логе полный путь мы больше запутаем хелпера. Есть идея лучше - для таких файлов сделать отдельную ссылку в логе - "карантинить все возможные варианты" - ее нажатие приведет к генерации нескольких строк скрипта

[size="1"][color="#666686"][B][I]Добавлено через 46 секунд[/I][/B][/color][/size]

-----
Сегодня обновление баз содержит обновление эвристика - улучшен детект новых autorun зловредов

Да, в протоколе подставлять точный путь там, где он неопределен, конечно, неправильно. А сделать ссылку для того, чтобы вставить в скрипт возможные варианты - да, хорошая идея, можно добавить такие пути, где часто встречаются зловреды: %SysDisk%\ , %WinDir%\ , %system32%\ , %system32%\drivers и временные папки пользователя и системы.

Здравствуйте.

Создал в IIS 6.0 FTP каталог с обновлениями AVZ, например он виден по адресу [URL]ftp://10.z.z.z/avz/[/URL]

Скрипт для обновления:
[quote]begin
if ExecuteAVUpdateEx('ftp:\\10.7.1.242\avz\', 1, '','','') then
AddToLog('Обновление AV баз (прямое соединение) успешно выполнено');
end.[/quote]При попытке обновления появляется сообщение "Script executed without errors" , т.е. скрипт правильный и выполняется.

А вот в логах долгожданного 'Обновление AV баз (прямое соединение) успешно выполнено', а только то что в прикрепленном файле.
Куда копать? Что я делаю не так?

[QUOTE=gagarin_top7;259584]Здравствуйте.

Создал в IIS 6.0 FTP каталог с обновлениями AVZ, например он виден по адресу [URL]ftp://10.z.z.z/avz/[/URL]
[/QUOTE]

Такое ощущение что ftp протокол как то замешан, если вы обратили внимания то все источники обновлений + примеру из справки работают именно с HTTP а не с FTP.

Скачал версию 4.3
Вместо текста в основном окне цифры и вопросы
совет с lang=en не работает
.loc файла нет
создание его в ручную используя пример из help`а не помогает
Что не так?

Качали отсюда: [url]http://www.z-oleg.com/secur/avz/download.php[/url] ?
Версия 4.30

[quote=Зайцев Олег;245873]В теории такую проверку можно устроить в ходе эвристической проверки системы - возможности скриптов почти неограничены, почти все, что можно описать алгоритмом можно реализовать скриптом ...[/quote]
Гм, не нашёл в скриптах ассоциативной памяти. А без неё - тормоза будут. Так что написал на Delphi. Если кому нужно - используйте. Лицензия - GPL v2.

Но посмотреть на перепись на скрипты - было бы любопытно. :)

[quote=Jef239;260046]Гм, не нашёл в скриптах ассоциативной памяти. А без неё - тормоза будут. Так что написал на Delphi. Если кому нужно - используйте. Лицензия - GPL v2.

Но посмотреть на перепись на скрипты - было бы любопытно. :)[/quote]
А зачем скриптам ассоциативная память ... там же подерживаются TStrings - это массивы строк переменной длинны, позволяющие при желании построить что угодно. И поддерживаются массивы с динамической длинной.
Вот пример ассоциативного массива:
[code]
var
mem1, mem2 : TStringList; // Массивы - массив ключей и массив значения, "многие к одному"
// Инициализируем массив
procedure InitArray;
begin
mem1 := TStringList.Create;
mem2 := TStringList.Create;
end;
// Деинициализируем массив и освобождаем память
procedure FreeArray;
begin
mem1.Free; mem1 := nil;
mem2.Free; mem2 := nil;
end;
// Очищаем массив
procedure ClearArray;
begin
mem1.Clear;
mem2.Clear;
end;
// Добавление элемента
procedure AddItem(Val1, Val2 : string);
var
Key1Indx, Key2Indx : integer;
begin
// Поиск индексов ключа и значения
Key1Indx := mem1.IndexOf(Val1);
Key2Indx := mem2.IndexOf(Val2);
// Если значения нет, то его нужно добавить
if Key2Indx < 0 then begin
mem2.Add(Val2);
Key2Indx := mem2.Count - 1;
end;
// Такой элемент уже есть ? если да, то правим его; если нет - добавим его
if Key1Indx >= 0 then
mem1.Objects[Key1Indx] := TObject(Key2Indx)
else
mem1.AddObject(Val1, TObject(Key2Indx));
end;
// Поиск значения по ключу
function GetItemVal(Val1 : string) : string;
var
Key1Indx : integer;
X : variant;
begin
Result := '?';
// Поиск индекса ключа
Key1Indx := mem1.IndexOf(Val1);
// Ключ не найден ? Выход
if Key1Indx < 0 then exit;
// Ключ найден - возвращаем соответствующее ему значение
X := mem1.Objects[Key1Indx];
Result := mem2[ X ];
end;
// Поиск значения по ключу и его вывод в лог
procedure GetAndPrintItemVal(Val1 : string);
begin
AddToLog(Val1 + ' = ' + GetItemVal(Val1));
end;
begin
InitArray;
// Заполнение массива
AddItem('Кошка', 'Млекопитающие');
AddItem('Собака', 'Млекопитающие');
AddItem('Попугай', 'Птицы');
AddItem('Воробей', 'Птицы');
AddItem('Ворона', 'Птицы');
AddItem('Паук', 'Насекомые');
AddItem('Муравей', 'Насекомые');
AddItem('Пчела', 'Насекомые');
// Демонстрация работы поиска
GetAndPrintItemVal('Кошка');
GetAndPrintItemVal('Воробей');
GetAndPrintItemVal('Паук');
GetAndPrintItemVal('Слон');
FreeArray;
end.
[/code]
А в приведенном примере на Delphi кроме комментариев напрашивается еще создание класса, реализующего ассоциативный массив. С ним исходник сократился бы в размере и разделился бы на две части - собственно класс "ассоциативный массив" и все связанное с его поддержанием, реализованное на уровне его методов + код, отвечающий за сканирование и анализ реестра.

[QUOTE=Vasiam;259993]Скачал версию 4.3
Вместо текста в основном окне цифры и вопросы
совет с lang=en не работает
.loc файла нет
создание его в ручную используя пример из help`а не помогает
Что не так?[/QUOTE]
Вопрос решился дополнительным скачиванием полной базы - странно в основной дистрибутив языковые файлы не засунули...

[quote=Vasiam;260083]Вопрос решился дополнительным скачиванием полной базы - странно в основной дистрибутив языковые файлы не засунули...[/quote]
В основном дистрибутиве все требуемые для работы файлы естественно есть. Но для того, чтобы все работало, нужно просто извлечь AVZ из архива, а затем его запускать. А вот если запустить его из архива не распаковывая (архиватор в этом случае за кадром извлекает AVZ.EXE в временную папку и запускает его), или вытащить не все файлы из архива - то вот тогда мы и получим описанную ситуацию ...

[quote=Зайцев Олег;260057]А зачем скриптам ассоциативная память ... там же подерживаются TStrings[/quote]
"Для знатоков штучка" (с) Жванецкий
Ну под ассоциативой памятью я именно StringList и имел ввиду. Но кто же знал, что они у тебя есть???? Ты что, почти полный Object Pascal 2.0 сделал? А чей компилятор, твой собственный? А если не секрет, то какое связывание у имён методов объектов - раннее или позднее (у меня просто свой компилятор некого подмножества паскаля)?

[quote=Зайцев Олег;260057]И поддерживаются массивы с динамической длинной.[/quote]
А в хелпе есть про это???

[quote=Зайцев Олег;260057]А в приведенном примере на Delphi кроме комментариев напрашивается еще создание класса, реализующего ассоциативный массив. С ним исходник сократился бы в размере и разделился бы на две части - собственно класс "ассоциативный массив" и все связанное с его поддержанием, реализованное на уровне его методов + код, отвечающий за сканирование и анализ реестра.[/quote]
Нет, не сократился бы. Всё, связанное с ним - это процедура ReplacePath. При написании классом - она бы разбухла раза в три. Стала бы понятней, но труднее в отладке (сложнее было бы одновременно отслеживать переменные).

Ну что же, получается, чтопеределать несложно. Если нужны коммментари - отпиши, вставлю их в код.

Интересно, а зачем редактор СКРИПТА трогает драйвер?
1:03:26 Разрешить AVZ_SE.EXE Изменение критического объекта системы F:\WINNT\system32\Drivers\ujy1njmz.sys

[quote=Jef239;260383]"Для знатоков штучка" (с) Жванецкий
Ну под ассоциативой памятью я именно StringList и имел ввиду. Но кто же знал, что они у тебя есть???? Ты что, почти полный Object Pascal 2.0 сделал? ...
А в хелпе есть про это???
....
Интересно, а зачем редактор СКРИПТА трогает драйвер?
1:03:26 Разрешить AVZ_SE.EXE Изменение критического объекта системы F:\WINNT\system32\Drivers\ujy1njmz.sys[/quote]
Про стрингс в хелпе сказано, про массивы - нет, надо дописать. Движок там покупной - я взял готовый от создателя FastReports, здраво полагая, что если возьму свой - буду больше движком заниматься, чем его функционалом :) Но применил я движок больше как парсер скрипта ... со временем может и свой воткну.
Редактор скрипта может по инерции шалить с драйверами - он сделан из урезанной версии ядра AVZ, скрипт то выполнить он не может но некоторые остаточные эффекты могут быть

[quote=Зайцев Олег;260417]Про стрингс в хелпе сказано, про массивы - нет, надо дописать. [/quote]
Хорошо бы полное описание движка включить. Например, я просто не понимаю, есть ли там Try Except. И можно ли описывать свои классы.

Ещё. Олег, ну пожалуйста, преобразуй выдачу сообщений в выставление Selected в окне редактора скриптов. То есть разобраться, где именно он говорит про ошибку и что не умеет - КРАЙНЕ сложно. Похоже, что не умеет начальные значения переменных делать, но об этом опять-таки нигде ненаписано.

[quote=Зайцев Олег;260417]Движок там покупной - я взял готовый от создателя FastReports, здраво полагая, что если возьму свой - буду больше движком заниматься, чем его функционалом :) [/quote]
Правильно рассудил. Offtopic: У нас была задача - сделать генерацию кода и под 80186 (16-битный код, промышленный контроллер) и под win32. Потому о покупном движке даже не думали. Зато там только выражения, If и for. Но зато - именно генерация бинарного кода.

Народ объясните, после запуска утилиты AVZ, в графе потенциальных уязвимостей есть такое место: >> Безопасность: разрешен автозапуск программ с CDROM, что это значит если я отключил автозагрузку со всех носителей.

Есть такой особый параметр у драйвера CD-ROM

По ходу своего обучения появилось несколько предложений:

1. После исследования системы создаются два архива virusinfo_syscure.zip и virusinfo_syscheck.zip. В них содержатся файлы с одинаковыми именами - avz_sysinfo.htm. При распаковке архивов возникает конфликт имён. Предлагаю делать разные имена.
Да, я понимаю, что можно открывать протоколы и непосредственно из архива. Но это дело принципа.

2. Было бы очень удобно, если в протоколе рядом с Карантин, Удалить и т.п. была бы кнопка Google, после нажатия на которую открывалась бы новая вкладка в браузере с результатами поиска по полному пути файла либо только по его имено (тут надо подумать, как лучше).
А то надоедает каждый раз копировать имя (или путь), открывать Google и нажимать Поиск.

[QUOTE=MiStr;265804]По ходу своего обучения появилось несколько предложений:


2. Было бы очень удобно, если в протоколе рядом с Карантин, Удалить и т.п. была бы кнопка Google, после нажатия на которую открывалась бы новая вкладка в браузере с результатами поиска по полному пути файла либо только по его имено (тут надо подумать, как лучше).
А то надоедает каждый раз копировать имя (или путь), открывать Google и нажимать Поиск.[/QUOTE]

Не разу ещё не копировал :)По моему это зависит от настороек используемого браузера :) Достаточно выделить нужное и нажать правой кнопкой, выбрать поисковик.

[url]http://virusinfo.info/attachment.php?attachmentid=66520&d=1218357629[/url]

[quote=MiStr;265804]По ходу своего обучения появилось несколько предложений:

1. После исследования системы создаются два архива virusinfo_syscure.zip и virusinfo_syscheck.zip. В них содержатся файлы с одинаковыми именами - avz_sysinfo.htm. При распаковке архивов возникает конфликт имён. Предлагаю делать разные имена.
Да, я понимаю, что можно открывать протоколы и непосредственно из архива. Но это дело принципа.

2. Было бы очень удобно, если в протоколе рядом с Карантин, Удалить и т.п. была бы кнопка Google, после нажатия на которую открывалась бы новая вкладка в браузере с результатами поиска по полному пути файла либо только по его имено (тут надо подумать, как лучше).
А то надоедает каждый раз копировать имя (или путь), открывать Google и нажимать Поиск.[/quote]
1. Статичные имена файлов позволяют автоматизировать автоанализ протолоколов, обычно лог открывается прямо из архива и проблем никаких нет
2. А какой смысл хелперу искать в Google что-то ?! В большинстве случаев подобный поиск ничего вразумительного не дает - он дает кучу мусора, ссылок на разные противоречивые логи и описания. Крайне просто сделать выводы без привлечения поисковиков - на основании местоположения файла, его имени, размера, атрибутов, даты создания и характерных сообщений эвристики в логе - всеравно по сути все подозрительное и неопознаное нужно карантинить для изучения и вынесения точного вердикта.

[QUOTE=Зайцев Олег;265811]
2. А какой смысл хелперу искать в Google что-то ?! В большинстве случаев подобный поиск ничего вразумительного не дает - он дает кучу мусора[/QUOTE]
Мусор, между прочим сегодня- очень прибыльный товар ;). А искать в Гугле очень даже имеет смысл. Например имеется файл: %system%\adadfafas.dll , Гугл о нем не знает [B]ничего[/B], и это уже повод его заподозрить, и даже с высокой вероятностью утверждать. что это зловред. Если же Гугл дает ссылки на [QUOTE]разные противоречивые логи и описания.[/QUOTE]имеет смысл просмотреть некоторые из них, т.к. они очень часто находятся в ВИ или в форуме Касперского.
Хорошая база поиска по CLSID есть напр. на [url]www.castlecops.com[/url].

Нужно ли включать поисковики в лог, как предлагает MiStr - не уверен. Не потому что оно бесполезно, а просто страница будет только в мониторах 16:9 полностью видна 8)

edit: а вот еще интересная информация от уважаемого drongo: [url]http://virusinfo.info/showthread.php?t=27836[/url]

[QUOTE=drongo;265806]Не разу ещё не копировал :)По моему это зависит от настороек используемого браузера :) Достаточно выделить нужное и нажать правой кнопкой, выбрать поисковик.
[/QUOTE]
Действительно, я почему-то не заметил соответствующей функции. :)

[QUOTE=Зайцев Олег;265811]1. Статичные имена файлов позволяют автоматизировать автоанализ протолоколов, обычно лог открывается прямо из архива и проблем никаких нет
[/QUOTE]
Да, протокол открывается без проблем прямо из архива. Но я все архивы, содержащие протоколы, разархивирую, поскольку не люблю при открытии лишний раз нажимать мышкой в открывшемся окне программы-архиватора.

[QUOTE=Зайцев Олег;265811]
2. А какой смысл хелперу искать в Google что-то ?! В большинстве случаев подобный поиск ничего вразумительного не дает - он дает кучу мусора, ссылок на разные противоречивые логи и описания. Крайне просто сделать выводы без привлечения поисковиков - на основании местоположения файла, его имени, размера, атрибутов, даты создания и характерных сообщений эвристики в логе - всеравно по сути все подозрительное и неопознаное нужно карантинить для изучения и вынесения точного вердикта.[/QUOTE]
Есть много причин. Надеюсь, их не нужно все перечислять. Необходимость в функции, которую я предложил, частично отпала (см. начало моего сообщения).

[quote=MiStr;265824]Но я все архивы, содержащие протоколы, разархивирую, поскольку не люблю при открытии лишний раз нажимать мышкой в открывшемся окне программы-архиватора.[/quote]
И проводник и FAR и ещё много кто умеют входить в архивы как в папки.

У меня проводник не может входить в архивы, как в папки. У меня архиватор 7-Zip и Windows Vista.

[QUOTE=MiStr;265846]У меня проводник не может входить в архивы, как в папки. У меня архиватор 7-Zip и Windows Vista.[/QUOTE]Откройте Проводник, щелкните правым мышем по архиву, Открыть как... ZIP-компримированную папку (за точность перевода не ручаюсь, поэтом у даю картинку в аттаче)

[quote=Rene-gad;265848]Откройте Проводник, щелкните правым мышем по архиву, Открыть как... ZIP-компримированную папку (за точность перевода не ручаюсь, поэтом у даю картинку в аттаче)[/quote]
По-русски это будет "Открыть с помощью."-"Сжатые ZIP-папки".

Но можно проще - правая кнопка мыши и пункт "Проводник" (второй сверху).

[QUOTE=MiStr;265824]Действительно, я почему-то не заметил соответствующей функции. :)
[/QUOTE]

Например в опере: выделяем текст -> правой кнопкой мыши -> "Поиск" или "Поиск с помощью"

[QUOTE=zerocorporated;265870]Например в опере: выделяем текст -> правой кнопкой мыши -> "Поиск" или "Поиск с помощью"[/QUOTE]И в Лисе похоже :)

Есть оператор DeleteFileMask. А почему нет QuarantineFileMask? Получается, что файлы по маске можно только удалять, а закарантинить нельзя. Неужели не было прецедентов?

[quote=MiStr;265952]Есть оператор DeleteFileMask. А почему нет QuarantineFileMask? Получается, что файлы по маске можно только удалять, а закарантинить нельзя. Неужели не было прецедентов?[/quote]
Почему нельзя - оператор помещения файла в карантин QuarantineFile поддерживает поиск по маскам, см. доку: [URL]http://www.z-oleg.com/secur/avz_doc/script_quarantinefile.htm[/URL]
Просто в случае с удалением файлов для удаления по маске вводился особый оператор ввиду опасности данного удаления, с карантином такой опасности нет.

если пробовать что-то искать в гугле из лога авз, то скорее всего мы попадем сюдаже - на ВИ.
:)

то Олег:
Олегу Вас очень хорошая и серьезная тулза, но в бочку меда хорошую ложку дегтя добавляет большое кол-во опечаток в файле version.txt в архиве с прогой. Опечаток очень много - режут глаза. На новенького произведут впечатление, что автору "пофиг" на тулзу, да и сама тулза не стоит внимания. Сам знаю, что это не так. Но лучше будет все-таки без опечаток в описаниях версий.*

*имеются в виду опечатки в [B]обычных[/B] словах, а не в терминах - в них орфография гуляет - слова т.к новые и заимствованные.

Возможно, где-то эти вопросы уже поднимались, но я не нашел. Поэтому спрошу. Если подобное обсуждалось, то дайте ссылку и не пинайте ногами.

При чтении справки про АВЗгуард увидел следующее:
[QUOTE]
Создание файлов с расширениями *.exe, *.dll, *.sys, *.ocx, *.scr, *.cpl, *.pif, *.bat, *.cmd на любом диске
[/QUOTE]
(это запрещяется недоверенным приложениям)

Возникает ряд вопросов:
1). Почему заданы конкретные расширения (ведь практически любое расширение может "прятать" за собой исполняемый файл? Почему так их немного и нету, например, расширений *.com, *.inf
2). А как насчет записи в файл или модификация других файлов? (например модификация pe-файлов, *.ini-файлов и т.д - не суть важно каких именно)

...и еще:
если из справки копировать текст (выделить мышкой текст, вызвать контекстное меню и в нем выбрать соответствующий пункт) и затем вставлять в какой-либо, допустим, текстовый редактор, то вместе с текстом вставляется еще и следующее:

[QUOTE]AVZ, (C) Зайцев О.В., http:[/QUOTE]
...почему нету url-адреса?..
с ним было-бы лучше:)

[quote=priv8v;266809]Возможно, где-то эти вопросы уже поднимались, но я не нашел. Поэтому спрошу. Если подобное обсуждалось, то дайте ссылку и не пинайте ногами.

При чтении справки про АВЗгуард увидел следующее:

(это запрещяется недоверенным приложениям)

Возникает ряд вопросов:
1). Почему заданы конкретные расширения (ведь практически любое расширение может "прятать" за собой исполняемый файл? Почему так их немного и нету, например, расширений *.com, *.inf
2). А как насчет записи в файл или модификация других файлов? (например модификация pe-файлов, *.ini-файлов и т.д - не суть важно каких именно)[/quote]
1. Список минимизирован - так как если закрыть на запись/создание что-то лишнее, то недолго и систему угробить. Текущий список блокировки несколько отличается от описанного в справке:
*.exe, *.scr, *.dll, *.sys, *.ocx, *.pif, *.cmd, *.cpl, *.bat, *.nls, *.drv, *.lnk, autorun.*
2. Файлы из списка 1 невозможно открыть - следовательно, невозможно и модифицировать