Цитата(Guest45 @ 15.6.2014, 15:56  ) |
| отловить присутствие троянов в непроверенных новых программах. |
Запуск новой программы в виртуалке и сниффер (или хотя бы регистрирующий файрвол) в базовой ОС.
| Версия для печати темы
Нажмите сюда для просмотра этой темы в оригинальном формате |
| Форум программистов > Программное обеспечение > помогите сформулировать поисковый запрос |
| Автор: Guest45 15.6.2014, 14:56 |
| Всем доброе время, что-то я совсем застрял, не могу разыскать программу, и даже не знаю уже - как именно спросить у Гугля? Ничего, если я расскажу по-детсадовски? Вот что нужно: Имеется комп с WinXP, отключенный от сети (т.е. от LAN, а не из розетки))))))) это значит в трее справа два мониторчика закрещены красным - "соединение отсутствует". Мне нужно, чтобы я запустил такую программу - и она установила это соединение - на себя, виртуальное разумеется. То есть, я запускаю теперь например браузер и пытаюсь выйти в Интернет - и программа-эмулятор, которая держит виртуальное соединение, выдает браузеру какие-нибудь страницы, заранее записанные у нее в файлах, в зависимости от запрошенного адреса, или не в зависимости - это уж как разработчики решили... Ну, короче, для любых программ на компе она должна создать видимость, как будто интернет подключен и функционирует. А сама должна протоколировать: на какие адреса стучались, что было туда отослано. Как вообще называется такая штука? Я пытался задать поиск "эмулятор Интернета" так лезла какая-то хрень... И вообще всё больше находились эмуляторы, моделирующие LAN для отладки прошивок всякого сетевого оборудования типа роутеров, это не тот вопрос. Я понимаю, что вам хочется знать "зачем тебе это надо?" Нет секрета: отловить присутствие троянов в непроверенных новых программах. Я конечно представляю, что для полноценной своей работы они будут ждать ответа от своего сервера, причем ответа валидно шифрованного; но начальный запрос-то отослать же как-то туда должны. Хочется это проверить в безопасных условиях, то есть не засвечивая в реале свой комп. Пожалуйста, просьба: ни в коем случае не будем здесь обсуждать использование Вирустотала, Касперского и иже с ними. Всё это на свете существует, применяется, вопросов нет. Я со всем заранее согласен. Просто хочу использовать альтернативный метод. Не думаю, что я один такой умный выискался, наверняка пользуют такое люди. Помогите разыскать, плиз. |
| Автор: Akina 15.6.2014, 22:22 | ||
Запуск новой программы в виртуалке и сниффер (или хотя бы регистрирующий файрвол) в базовой ОС. |
| Автор: Guest45 15.6.2014, 23:28 |
| А базовую ОС подсоединять куда? Без соединения с Интернетом его и в виртуалке не будет тоже. |
| Автор: Akina 16.6.2014, 18:01 |
| Ага... а тебе не слабо эмулировать неизвестные требования неизвестного софта? да он после первого же твоего абы из Инетовского пакета заявит, что подключился хз куда и вырубится. По уму - базовая ОС нормально подключена к Инету. На ней нормальный файрвол, изначально ненастроенный или настроенный на абсолютную блокировку (только учти, для базовой ОС все пакеты из виртуалки - транзитные) и работающий в режиме обучения. Далее по мере работы софта ты создаёшь строгие разрешающие правила - только определённый протокол, хост и порт назначения. Ну и соответственно анализируешь, куда софт колотится. Если вдруг он попытается лезть туда, куда ему по функционалу лезть незачем - троянчик попался. |
| Автор: Guest45 16.6.2014, 19:49 | ||||||
 я-то уже буду знать, куда он тыркнулся.
|
| Автор: Akina 16.6.2014, 21:11 | ||
Ты не понял... это скорее всего произойдёт при попытке дегитимного контакта, и задолго до контакта предосудительного... так что ты поймаешь функционал, а не закладку. |
| Автор: Guest45 16.6.2014, 21:53 |
| А закладке какая разница, состоялся ли легитимный контакт? Даже если прога сказала "фи", это трояна еще ни к чему не обязывает))))) Конечно зависит от хода мысли автора трояна, тут возможно много вариантов. Да и не они вызывают вопрос. Помогите погуглить-то наконец! Как правильно назвать такой эмулятор, чтобы Гуголь понял адекватно? |
| Автор: _zorn_ 17.6.2014, 08:23 |
| Виртуалка (чтобы не заражать основную машину) и какой нибудь логирующий прокси сервер. |
| Автор: Akina 17.6.2014, 08:57 | ||||
Давай мы не будем рассматривать трояны от клинических идиотов, неспособных даже настроить стандартный генератор - ибо таковые прекрасно ловятся штатной эвристикой любого приличного антивируса. Любой более-менее приличный троян сначала соберёт данные, и только потом их куда-то отольёт. За это время штатный функционал уже десять раз убедится, что ему не дают работать, и вырубит приложение... что, кстати, не помешает трояну сесть в системе. Как результат - хрен ты его поймал.
Если это будут строго HTTP-запросы - то это обычный локальный веб-сервер плюс перенаправитель запросов. Если же даже протокол обмена неизвестен - никакой запрос к гугелю тебе не даст вменяемого результата. |
| Автор: Guest45 17.6.2014, 21:38 | ||||
Одна из них выделена как раз специально для обкатки "сомнительных" приложений.
(Плиз фриварь, если можно) |