AVZ 4.27

Printable View

Показывать 40 сообщений этой темы на одной странице

15.11.2007, 14:28
Зайцев Олег

[quote=aintrust;150624]Ну, разве это причина для того, чтобы не реализовывать удаление по маске?

Я бы вообще предложил немного другой синтаксис этой команды, к примеру:
[I]DeleteFileMask(папка, маска, удаление_в_подпапках, ...)[/I]

Тогда приведенная выше команда будет выглядеть так:
[I]DeleteFileMask('C:', '*.*', 'yes', ...)[/I]

Такой случай, когда в качестве "папки" используется только диск, можно специально оговорить или даже запретить, заменив его отдельной специальной командой.

Кстати, есть такая команда, [I]DeleteDirectory(папки)[/I]. Почему у тебя не было сомнений в ее реализации, ведь с ее помощью тоже можно прибить систему всего лишь одной "неловкой" командой?[/quote]

DeleteDirectory убивает только пустую папку - если в папке есть хоть один файл, то она останется на диске ... поэтому она не опасна. ОК, я сделаю DeleteFileMask с такими параметрами ...
15.11.2007, 14:38
Nick222

Может, просто запретить работу данной команды в директориях системных, программ, и прочих?
Иначе, чует моё сердце, будет вал претензий - "Почему Ваша тупая прога удалила мою систему?".
Ответ "У Вас самого кривые руки" - не катит, т.к. любая прога должна иметь защиту от дурака...
И потом - мало ли кто после 10 часов напряжённой работы может случайно дать неправильную команду?!?
15.11.2007, 15:46
aintrust

[QUOTE=Зайцев Олег;150691]DeleteDirectory убивает только пустую папку...[/QUOTE]
В доке, кстати, этого не написано... =)
15.11.2007, 16:55
Зайцев Олег

[quote=aintrust;150720]В доке, кстати, этого не написано... =)[/quote]
Я дописал доку и соорудил функцию. Убойная получилась штука, особенно для чистки темп папок и кешей IE
15.11.2007, 21:01
Muffler

Вопрос: что не правильно в этом скрипте?

[CODE]begin
RegKeyStrParamWrite('HKLM','SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon','DefaultUserName','User');
RegKeyStrParamWrite('HKLM','SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon','DefaultPassword','password');
RegKeyStrParamWrite('HKLM','SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon','AutoAdminLogon','1');
end.[/CODE]

У меня он не работает, тоесть значения в реестре не меняются...

[size="1"][color="#666686"][B][I]Добавлено через 15 минут[/I][/B][/color][/size]

LOL

Всё работает. Ошыбка на сайте Microsoft -> [url]http://support.microsoft.com/kb/315231[/url]

Должно быть так:

[CODE]begin
RegKeyStrParamWrite('HKLM','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','DefaultUserName','User');
RegKeyStrParamWrite('HKLM','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','DefaultPassword','password');
RegKeyStrParamWrite('HKLM','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','AutoAdminLogon','1');
end.[/CODE]
19.11.2007, 12:55
PavelA

В логах AVZ:
[QUOTE]Файл успешно помещен в карантин (C:\WINDOWS\system32\cd_load.exe)
C:\WINDOWS\system32\cd_load.exe >>>>> AdvWare.Cydoor успешно удален[/QUOTE]

На самом деле это ADwWare.Cydoor
19.11.2007, 12:59
Зайцев Олег

[quote=PavelA;151778]В логах AVZ:
На самом деле это ADwWare.Cydoor[/quote]
Какая разница - главное, что он удален :)
19.11.2007, 13:33
Rene-gad

[QUOTE=PavelA;151778]
На самом деле это ADwWare.Cydoor[/QUOTE]
ну а на самом деле это [B]Adware.Cydoor [/B] ;)
[QUOTE=Зайцев Олег]Какая разница - главное, что он удален [/QUOTE]
Эт' точно (с) ;)
19.11.2007, 13:51
PavelA

[QUOTE=Зайцев Олег;151781]Какая разница - главное, что он удален :)[/QUOTE]
Проблема в том, что ищещь в гугле и не находишь И-ции.
Если по правильному имени, то можно еще неск. файликов прихватить.

Сорри, за обшибку. Даже стыдно, что сам такой же оказался.
19.11.2007, 14:35
Зайцев Олег

[quote=PavelA;151808]Проблема в том, что ищещь в гугле и не находишь И-ции.
Если по правильному имени, то можно еще неск. файликов прихватить.

Сорри, за обшибку. Даже стыдно, что сам такой же оказался.[/quote]

Это имена из моей классификации - надо бы их истребить, так как последние пару лет я стараюсь полностью придерживаться классфикации ЛК (в частности я это делал именно из за удобства поиска зловредов в viruslist или гугле) - даже если вводится недетектируемый ЛК на момент внесения зловред, то имя я даю по их классификации (что-то типа Trojan.Win32.Pinch.gen или по ближайшему похожему - имхо нет принципиальной разницы, если AVZ будет детектить Hoax.Win32.Renos.ab, а KAV - скажем Hoax.Win32.Renos.bc - тип зловреда и семейство ясны).

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

Теперь вопрос к хелперам - очередной раз в обсуждении вспомнился попрос о введении цифровых подписей к скрипту и привязке подписанного скрипта скажем к серийному номеру диска - дабы исключить возможность лобового запуска "чужих" скриптов для самолечения. Подписанный скрипт на ПК с "привильным" номером тома (или иной уникальной меткой) будет работать как и сейчас, без вопросов, а вот неподписанный или сделанный для другого ПК - выдавать куча алертов, предупреждая, чем чреват запуск "чужого" скрипта. Есть мнения или идеи по этому поводу ?
19.11.2007, 16:32
UFANych

С учётом факта подписывания достаточно при подписывании в AVZ автоматически добавлять в начало скрипта проверку на совпадение с исходным компьютером. И при запуске неподписанного, конечно, орать. А уж при запуске скрипта с кривой подписью орать ещё больше. Ещё вопрос, стоит ли ор отключать ключами комстроки...
Кстати, подпись будет на X.509 и отдельным файлом, isn't it? Или всё же свой бинарный формат?
19.11.2007, 16:56
zerocorporated

[QUOTE=Зайцев Олег;151841]
Теперь вопрос к хелперам - очередной раз в обсуждении вспомнился попрос о введении цифровых подписей к скрипту и привязке подписанного скрипта скажем к серийному номеру диска - дабы исключить возможность лобового запуска "чужих" скриптов для самолечения. Подписанный скрипт на ПК с "привильным" номером тома (или иной уникальной меткой) будет работать как и сейчас, без вопросов, а вот неподписанный или сделанный для другого ПК - выдавать куча алертов, предупреждая, чем чреват запуск "чужого" скрипта. Есть мнения или идеи по этому поводу ?
[/QUOTE]

Я "за", только как будет реализована подпись ?
19.11.2007, 17:20
Зайцев Олег

[quote=zerocorporated;151903]Я "за", только как будет реализована подпись ?[/quote]
При исследовании ПК будет вычислен некий бредокод, в основе например серийный номер системного тома. Далее этот код хелпер вводит куда-то (в отдельную тулзу, в существующий редактор скриптов ... и жмет "подписать"). В результате в скрипт вставляется комментарий с контрольной суммой скрипта и ID его системы. Лобовой запуск такого скрипта на дрегом ПК приведет к выдаче алерта о том, что применять "чужие скрипты" чревато и предложением одуматься и отменить выполнение скрипта. Аналогично с правкой и искажениями - если скрипт искажен, то будет выдан алерт о том, что нарушена CRC скрипта и лучше его не выполянять.
Понятное дело, что если убрать из скрипта этот комментарий или сделать свой скрипт по образу и подобию найденного в Инет, то алерт выдаваться не будет. Это имиенно мера защиты от ситуаций:
1. Один юзер обращается за помощью по нескольким ПК. Особенно актуально, если это скажем админ - он делает логи с 2-3 ПК и есть опасность, что он перепутает скрипты
2. Юзер находит в разделе "помогите" подходящие по его мнению скрипты и начинает их пускать все подряд - в этом случае алерт быть может заставит его лишний раз подумать
19.11.2007, 17:33
Bratez

[quote]Аналогично с правкой и искажениями - если скрипт искажен, то будет выдан алерт о том, что нарушена CRC скрипта и лучше его не выполянять.[/quote]
Вот это IMHO лишнее. Бывает, хэлпер допускает неточность или опечатку, которую тут же и обнаруживает. Одно дело быстренько поправить "по месту", другое - прогонять через редактор и копировать скрипт заново...
19.11.2007, 22:13
V_Bond

полностью согласен с [b]Bratez[/b] ...
20.11.2007, 01:54
pig

Тогда подпись получится несколько ущербная.

Хотя инцидентов с самостоятельной правкой скриптов самими пользователи я не припомню. Да и нет, по большому счёту, защиты от активного дурака.
20.11.2007, 08:59
AStr

Imho пусть "бредокод" генерится при исследовании системы и пишется в hmml/xml (незаметно для юзера типа желтым по желтому)
При генерации скрипта по протоколу исследования автоматом сразу после begin его и вставить можно. код не совпадает - ругань, нет кода - предупреждение
20.11.2007, 11:19
XL

[QUOTE=AStr;152076]Imho пусть "бредокод" генерится при исследовании системы и пишется в hmml/xml (незаметно для юзера типа желтым по желтому)
При генерации скрипта по протоколу исследования автоматом сразу после begin его и вставить можно. код не совпадает - ругань, нет кода - предупреждение[/QUOTE]
и это очень правильное мнение. Лучше сделать эту процедуру выполняемой автоматически при исследовании системы, чем потом ручками что-то куда-то вставлять, получать пряник, который потом скармливать программе.
21.11.2007, 09:25
DoggoD

AVZ 4.27 30.08.2007
Какой-то походу баг..
Запускаю ревизор. Выбираю Documents and Settings. Настройки: Типы файлов - все файлы, режим создания базы - любой.
Нажимаю пуск. Начинается создание базы, через некоторое время вылетает окно "Антивирусная утилита AVZ" с текстом "Range check error."
Методом исключений начинаем искать где собака порылась и находим "C:\Documents and Settings\DoggoD\Рабочий стол".
На рабочем столе имеются папки. Если я в дереве Ревизора убиру галку с ЛЮБОЙ из вложенных папок, то база создается..
21.11.2007, 10:21
Jolly Rojer

[QUOTE=Nick222;150694]Может, просто запретить работу данной команды в директориях системных, программ, и прочих?
Иначе, чует моё сердце, будет вал претензий - "Почему Ваша тупая прога удалила мою систему?".
Ответ "У Вас самого кривые руки" - не катит, т.к. любая прога должна иметь защиту от дурака...
И потом - мало ли кто после 10 часов напряжённой работы может случайно дать неправильную команду?!?[/QUOTE]

Согласен если это домашний пользователь сделает ... то подобные высказывания возможны, если системный администратор то проблем как правило возникать не будет! Думаю, что перед тем как выполнить скрипт, AVZ проверит к какому классу пользователей относится учетная запись... если без прав администратора то команда не будет выполненна в системных директориях. Возможно Олег уже это предусмотрел!
21.11.2007, 19:43
Nick222

Вы что - издеваетесь?
У 99% домашних юзеров права админа на своём же компе...
21.11.2007, 22:09
XL

Вы еще скажите, что домашний юзер читает справку про непонятные слова типа "скрипт", а потом еще и начинает с этим скриптом экспериментировать по отношеню к логу исследования ситемы своего компьютера... Вставляет туда непонятные команды и проверяет - удалится папка Windows после их выполнения или нет... Меня всегда в душе веселит поведение юзеров (а домашних в моей работе - большинство), стоящих за спиной в те моменты, когда я работаю с AVZ и начинаю клепать скрипт по логу исследования системы. Каких только вопросов и мнений тут порой не услышишь... )
Тот, кому это, действительно, нужно непременно оценит и извлечет пользу от новой фичи, а все остальные все равно пойдут в "помогите"
23.11.2007, 12:11
XL

Олег, в последнее время часто на машинах попадается зверь, располагающийся в NTFS потоке svchost.exe. Так вот, в диспетчере служб и драйверов вражеская служба FCI с телом \svchost.exe:exe.exe всегда выделена зеленым. Это баг или фича?
Да, в протоколе исследования AVZ кричит на этого зловреда, но если не делать протокол, то...
27.11.2007, 08:10
SuperBrat

Есть подозрение, что newvirus:at:z-oleg.com не принимает образцы, если они были отосланы с mail.ru. Другие дополнительные адресаты их получают. Олег, проверь, пожалуйста.
27.11.2007, 18:45
Jef239

[quote=aintrust;150624]Ну, разве это причина для того, чтобы не реализовывать удаление по маске? [/quote]
А если зловред будет использовать AVZ как средство для внесения гадостей в cистему?
27.11.2007, 18:51
Зайцев Олег

[quote=SuperBrat;154259]Есть подозрение, что newvirus:at:z-oleg.com не принимает образцы, если они были отосланы с mail.ru. Другие дополнительные адресаты их получают. Олег, проверь, пожалуйста.[/quote]
Да, имеют место дурки - это связано с параноидально защитой у хостера, отключить они это не могут ...

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

[quote=Jef239;154424]А если зловред будет использовать AVZ как средство для внесения гадостей в cистему?[/quote]
Дюже громоздко и экстремально ... Если уже на то дело пошло, то на бортовом языке AVZ можно даже вирусы писать (сетевых и почтовых червей в частности). Но не пишут же - ввиду громоздкости и экзотичности. Тем более что в Инет тучи скриптов на VB для бортового интерпретатора Windows из раздела Trojan.*.KillFiles - такой скрипт самодостаточен и имеет размер порядка 300-500 байт
27.11.2007, 21:36
tar

AVZ + outpost меня почти избавило от бесполезных анивирусов.
Олег, мини AVZ - это уже реальность?
27.11.2007, 23:50
Jef239

[quote=tar;154482]Олег, мини AVZ - это уже реальность?[/quote]
А что это такое и зачем он нужен? Это AVZ для блондинок миниюбках?
28.11.2007, 10:16
SuperBrat

tar, AVZ не антивирус в чистом виде. У него нет монитора и нет ловли классических вирусов. От антивируса отказываться еще рано.
28.11.2007, 18:57
Arhad

Вопрос к Олегу Зайеву: есть ли возможность в списке серверов обновления поставить свой сервер обновления? (Имеется локальная сеть, когда абонент вирусован, ему блокируется интернет, хотелось бы сделать внутрисетевой сервер обновления)
28.11.2007, 19:08
Зайцев Олег

[quote=Arhad;154895]Вопрос к Олегу Зайеву: есть ли возможность в списке серверов обновления поставить свой сервер обновления? (Имеется локальная сеть, когда абонент вирусован, ему блокируется интернет, хотелось бы сделать внутрисетевой сервер обновления)[/quote]
Можно обновляться со своего сервера при помощи скриптов - примеры обсуждались пару месяцев назад ... - они есть где-то в этой ветке
28.11.2007, 19:25
Arhad

Спасибо, уже нашел=)
28.11.2007, 19:46
tar

[quote=Jef239;154516]А что это такое и зачем он нужен? Это AVZ для блондинок миниюбках?[/quote]

Если в вашем понимании, коммуникаторы созданы для "блондинок миниюбках", то значит для них.
29.11.2007, 00:57
kras07

Здравствуйте,Олег!Решил воспользоваться вашей утилитой для проверки
системы.Проверка показала,что один файл подозревается в том,что он троян,а
другой признан опасным AdvWare.Win32.CashOn.Первый файл принадлежит часам
ClockS (фриварная прога),а второй проигрывателю JetAudio (крякнутая
прога).Проверка файла из часов на сайтах:[url]http://www.virustotal.com/ru/[/url] ,
[url]http://virusscan.jotti.org/[/url] , [url]http://scanner.virus.org/[/url] показала,что он чист
(это не троян).Проверил файл из проигрывателя на этих же сайтах.На каждом
сайте по 2-4 антивиря признали файл подозрительным.Но эти антивири какие-то
неизвестные,другие признали его чистым.Я послал заархивированный файл на
проверку в Dr.Web,от них пришел ответ,что это не вирус (файл чистый).Посылаю
вам лог AVZ и архив с подозрительным файлом.Прошу разобраться и очень жду от
вас ответа!!!
P.S: Винда XP Pro SP2.В системе установлены такие проги по безопасности:
Dr.Web , Comodo Firewall , Spyware Terminator , AnVir Task Manager.
29.11.2007, 08:06
SuperBrat

kras07, по этой ссылке [url]http://virusinfo.info/showpost.php?p=55790&postcount=1[/url] можно прислать все чистые файлы для добавления в базу чистых AVZ. Как это сделать, там есть инструкция.
29.11.2007, 21:49
Jef239

[quote=tar;154918]Если в вашем понимании, коммуникаторы созданы для "блондинок миниюбках", то значит для них.[/quote]
Для меня мини-комп - это 2-3 шкафа. Персоналка - Микро. Ну а всякие коммуникаторы - Пико. Я же с больших машины начинал (это там где двумя десятками шкафов не ограничивается). Так что в эту сторону даже не смотрел, ибо на миниэвм сейчас вирусов нет. Да и самих мини-машин - мало. Ну может где-то ещё стоят VaX (которые не MicroVaX)... Ну IBM 390 вроде к мини относиться...
AVZ для не PC-системы это отдельный проект. То есть WIndows CE - она лишь по названию Windows. Процессор там другой. Ну не на Delphi под Net для неё писать? А других вариантов как скомпилить Delphi под WIndows CE я не знаю. Ну а AVZ написан на Delphi с некоторой примесью дельфийского ассемблера.
29.11.2007, 23:36
tar

Jef239, вы видно активный создатель AVZ
Ну чтож нет дак нет. А шкафы мне, как и другим, по-барабану.
30.11.2007, 00:42
Jef239

[quote=tar;155277]Jef239, вы видно активный создатель AVZ[/quote]
Упаси боже. Просто программист. А тебе что, сложно понять, что на каком языке написано?
30.11.2007, 01:06
tar

[quote=Jef239;155284]Упаси боже. Просто программист. А тебе что, сложно понять, что на каком языке написано?[/quote]

Причем здесь язык. Прогресс не обращает внимание на языки и ваши узкие рамки мышления. Сегодня на одном, завтра на другом.
30.11.2007, 02:35
Jef239

До чего дошёл прогресс - стало врмени в обрез

[quote=tar;155286]Причем здесь язык. Прогресс не обращает внимание на языки и ваши узкие рамки мышления. Сегодня на одном, завтра на другом.[/quote]

А какое мне дело до твоего личного прогресса? Завтра ты себе заведёшь Nokia с Symbian и будешь требовать, чтобы авторы весь софт тебе туда портировал?

Твори свой прогресс САМ. А не важнее, чтобы Олег работал над версией для IBM PC. Ибо тут у AVZ очень сильные успехи. А кто там на базе чего будет делать антивирус для твоеего коммуникатора - ищи сам. Иоли мирофост попроси.

Гм, а на Windows CE реальные вирусы ходят? То есть их на своём коммуникаторе хоть раз видел? Или тебе просто галочку в табличке хочется поставить?

Для Symbian антивирусы есть. Бела в том, что вирусов нет. А что, на Windows CE иначе? :)

Показывать 40 сообщений этой темы на одной странице

Текущее время: 10:23. Часовой пояс GMT +3.

Page generated in 0.00677 seconds with 10 queries