| Версия для печати темы
Нажмите сюда для просмотра этой темы в оригинальном формате |
| Форум программистов > Технологии защиты программного обеспечения > Хочу изучать вирусы |
| Автор: try_to_get 1.8.2007, 13:49 |
| Хочу изучать вирусы! как мне их изучать, что бы не заразить мой комп. Для начала JS/Dldr.Small.B |
| Автор: spin2 1.8.2007, 15:31 |
| Поставить вторую ось или виртуальную машину. |
| Автор: try_to_get 1.8.2007, 16:26 | ||
Можно подробнее. |
| Автор: mr.Anderson 1.8.2007, 16:43 |
| try_to_get, идем в гугл и набираем "виртуальная машина". И читаем. |
| Автор: try_to_get 1.8.2007, 16:55 |
| |
| Автор: ne0n 2.8.2007, 12:04 |
try_to_get, ну значит не меня одного затянуло в это болото  Что тебе надо: Виртуальная машина(я привык к VMware) - позволяет так сказать эмулировать еще несколь компьютеров во время своей работы, что позволяеот запускать несколько операционных систем в окошках(хоть линукс хоть винда...) ну я с этим думаю понятно, что основная задача не повредить твою основную ось...потом...тебе необходимы мониторы FileMon(отслеживает обращения к файловой системк) и RegMon(...к реестру), Еще нужен дизассамблер(Wdasm, для более сложных задач разумееться IDA), Отладчик в юзермоде внеконкуренции OllyDbg (что касаеться ядра щас тут сложная ситуация у меня на двух ядерном СофтАйс не хочет работать..говорят Syser не плох)... щас не одну зверушку не найдешь без навешанного на нее криптора/протектора... поэтому потребуеться целая куча автораспоковщиков(ну эт конечно для экономии времени можно(и лучше) и ручками распоковывать) ну и наконец самое главное эт знание asm , без него ни куда... в твоем случаи это вроде на ява скрипте написан....если я прав...(могу и ошибаться)..че его изуть открыл блокнотом и смотри ну бывают тела еще по-всякому шифруют...надо опьже какойнибудь расшифровщик найти. |
| Автор: try_to_get 2.8.2007, 13:45 |
| ne0n Первый вопрос. Все программы которые вы перечислили они бесплатные или нужно пойти купить? |
| Автор: ne0n 2.8.2007, 22:11 |
try_to_get, гы вопрос относительный VMware - разумееться платный(помоему соурскфорже был бесплатный аналог не помню как называеться толи BOSH толи BOCH  )IDA - это тоже платный...но это единственный дизассемблер такого уровня и аналогов ему в мире нет...все остальное абсолбтно бесплатное  мона пользоваться P.S. да чуть не забыл, еще понадобяться разные анализаторы файлов, такие как PEiD и DiE(тоже бесплатные), необходимы для того что бы узнать на каком языке написана вирус или чем защищена - вообще им не стоит доверять так как они часто ошибаються(не по своей воле ). Вообще это все надо делать вручную, но это приходит с опотом, поэтому без них начать будет трудно! |
| Автор: spin2 3.8.2007, 16:50 |
| try_to_get, vmware - можно бесплатно использовать, просто нужно каждый месяц новый ключ на сайте заказывать. Или скачать wmplayer (он бесплатный) и созданные виртуалки под ним использовать. |
| Автор: try_to_get 3.8.2007, 17:14 |
Ещё какие программы нужны? |
| Автор: Solomon 3.8.2007, 17:31 | ||
все что платно то крякнуто... так что можно найти и бесплатно если захотеть.. |
| Автор: W4FhLF 3.8.2007, 17:59 |
| Тебе нужны, прежде всего, знания. Что толку от софта, если нет навыков? Отладчик и дизассемлер - 98% всего исследования производится в пределах этих двух программ(цифра по-сути взята с неба, просто делаю субъективный вывод). В твоём случае, для JS скрипта (я так думаю там просто сплойт висит на узвимость позволяющую выполнить шеллкод и, как следствие, download and execute) вообще кроме блокнота и браузера ничего не надо, из подручных средств. Вирусов, как таковых, сейчас уже нет. Произошла подмена понятий, сейчас немного другая классификация, но весь деструктивный код почему-то стали называть вирусом. |
| Автор: try_to_get 3.8.2007, 18:45 | ||||
ссылочки есть?
А как запретить? |
| Автор: W4FhLF 3.8.2007, 19:35 | ||||
vx.netlux.org в общем 29a.net в частности
1. Запретить выполнение JS в браузере. 2. Скачать заплатку. |
| Автор: try_to_get 3.8.2007, 19:36 |
| А вы читали "Kasperski - Zapiski issledovatelya kompvirusov"? |
| Автор: try_to_get 3.8.2007, 19:59 |
странно у всех программ в конце такая запись Я не пойму зачем столько лишнего в программе. Ладно 5-7 строчек такого кода  а если больше 100 таких строчек то и может поместится вредоностный код... |
| Автор: try_to_get 3.8.2007, 20:32 |
| Извините, такая запись: 000000000000000000000 BYTE 10 DUP(0) |
| Автор: W4FhLF 3.8.2007, 21:16 | ||
try_to_get, я читаю и слежу за публикациями Криса, эту книгу конечно стоит прочитать, но Крис обычно любит паустить туману и поэтому в его книгах много воды. Это ИМХО, конечно.
Это выравнивание секций, скорее всего. Раз такой вопрос, значит след. совет: изучи формат PE файла, без этого никуда. |
| Автор: ne0n 4.8.2007, 09:34 | ||||
Может еще Земский Фершал?!
Читали, как и W4FhLF скажу что много воды, ну плюсь практической ценности мало... |
| Автор: try_to_get 4.8.2007, 09:51 |
| я слышал что у Криса есть дизасемблер своими руками так чтоли называется |
| Автор: W4FhLF 4.8.2007, 10:44 |
| try_to_get, одна компетентная личность высказывалась насчёт этого труда, прямо скажем не слишком лестно. Очень много ошибок и неточностей. Если ты решил написать дизассемблер, то я бы не советовал брать за основу этот док. |
| Автор: try_to_get 5.8.2007, 17:19 |
| А как насчет этой книги? Крупник А. Б. "Изучаем Ассемблер" |
| Автор: W4FhLF 5.8.2007, 19:13 |
| Ты ассемблер хочешь выучить или что? |
| Автор: try_to_get 5.8.2007, 19:27 |
Нет.  Просто хотел понять как работают исполняемые файлы. |
| Автор: W4FhLF 5.8.2007, 19:38 |
| Ну тут Зубков, Юров, братья Филатовы вне конкуренции на мой взгляд. Но лучше всего ты поймёшь, если увидешь, посему я тебе советую читать цикл статей Рикардо Нарвахи: http://wasm.ru/publist.php?list=23 Переведено пока немного, но основы там подчерпнёшь, заодно и отладчиком пользоваться научишься. |
| Автор: try_to_get 5.8.2007, 20:28 |
| W4FhLF Спасибо! |
| Автор: ne0n 6.8.2007, 10:07 |
| try_to_get, хороший журнал по твоей тематике(долго уже не выпускался но все же он актуальный) http://www.nf-team.org/drmad/zf/ можно еще почитать ветку форума Wasm.ru, посвященную вирусологии: http://www.wasm.ru/forum/viewforum.php?id=6 |
