Поиск:

Ответ в темуСоздание новой темы Создание опроса
> Выделение сигнатуры 
:(
    Опции темы
SaintSatan
Дата 17.5.2004, 12:42 (ссылка)    |    (голосов: 0) Загрузка ... Загрузка ... Быстрая цитата Цитата


Unregistered











Кто знает каким образом можно выделить сигнатуру вируса, и есть ли эта возможность в IDA помогите горю!!!
  Вверх
Akina
Дата 17.5.2004, 15:02 (ссылка) | (нет голосов) Загрузка ... Загрузка ... Быстрая цитата Цитата


Советчик
****


Профиль
Группа: Модератор
Сообщений: 20581
Регистрация: 8.4.2004
Где: Зеленоград

Репутация: нет
Всего: 454



Вопрос, извини, дурацкий. Сигнатура одного и того же вируса для разных антивирусов (как правило) различна - поскольку часть кода, выбираемого в качестве сигнатуры, зависит от заложенных в антивирус алгоритмов (в т.ч. и игнорируемые промежуточные биты).


--------------------
 О(б)суждение моих действий - в соответствующей теме, пожалуйста. Или в РМ. И высшая инстанция - Администрация форума.

PM MAIL WWW ICQ Jabber   Вверх
SaintSatan
Дата 18.5.2004, 13:40 (ссылка)    |    (голосов: 0) Загрузка ... Загрузка ... Быстрая цитата Цитата


Unregistered











Мне нужны общие принципы выделения сигнатуры
  Вверх
SaintSatan
Дата 18.5.2004, 13:53 (ссылка)    |    (голосов: 0) Загрузка ... Загрузка ... Быстрая цитата Цитата


Unregistered











Сигнатура мне нужна в мой собственный антивирус вакцину (курсовая у меня такая), который уже готов, осталось только ввести непосредственно саму сигнатуру похрен какого вируса в массив. Так, что извини но дурацкий ответ, а не вопрос, или же ты просто не понял сам вопрос!
  Вверх
Akina
Дата 18.5.2004, 13:58 (ссылка) | (нет голосов) Загрузка ... Загрузка ... Быстрая цитата Цитата


Советчик
****


Профиль
Группа: Модератор
Сообщений: 20581
Регистрация: 8.4.2004
Где: Зеленоград

Репутация: нет
Всего: 454



Общие принципы впрямую проистекают из определения что есть сигнатура, алгоритма работы вируса и алгоритма детект-модуля конкретного антивируса.
Т.е. поиск участка кода и/или данных, характерного для данного вируса с учетом возможных его (само)модификаций, формализация выбранного фрагмента (для самомодифицирующихся и шифрованных-сжатых - с учетом алгоритма изменения), обрезка фрагмента для уменьшения числа ложных срабатываний при устойчивом определении и т.п.


--------------------
 О(б)суждение моих действий - в соответствующей теме, пожалуйста. Или в РМ. И высшая инстанция - Администрация форума.

PM MAIL WWW ICQ Jabber   Вверх
Jin X
Дата 18.5.2004, 19:58 (ссылка) | (нет голосов) Загрузка ... Загрузка ... Быстрая цитата Цитата


Бывалый
*


Профиль
Группа: Участник
Сообщений: 157
Регистрация: 5.3.2004

Репутация: 1
Всего: 1



Я спрошу одного человека, который этим занимается. Если он захочет подсказать тебе (если это не "коммерческая тайна"), я отпишу.
А вообще, вроде как нужно заразить много (тысячу, например smile.gif) файлов и сравнивать их. Должны ли быть все эти файлы одинаковыми - трудный вопрос, но скорее всего нет, но при этом несколько возрастает трудность в сравнении. Обычно ещё делается привязка по смещению относительно чего-либо (начала файла, entry-point (скорее всего), начала кода и т.д, точно сказать не могу).
Мне кажется, можно найти инфу на эту тему в нете. Побегай по сайтам, в т.ч. вирусным, поищи Infected Voice (может, там чего есть), дургие журналы. Может, чего на сайтах вирусописателей найдёшь smile.gif
--------------------
Бойся своей мечты, ибо она осуществима!
PM MAIL   Вверх
p0s0l
Дата 20.5.2004, 22:51 (ссылка) | (нет голосов) Загрузка ... Загрузка ... Быстрая цитата Цитата


Г-н Посол
****


Профиль
Группа: Экс. модератор
Сообщений: 3668
Регистрация: 13.7.2003
Где: 58°38' с.ш. 4 9°41' в.д.

Репутация: 2
Всего: 112



Код
ввести непосредственно саму сигнатуру похрен какого вируса в массив.

Раз похрен, то отассемблируй или достань (или сам накатай) какой-нибудь простой неполиморфный вирус. Как сказал JinX, смотри код на точке входа, после сравнения нескольких файлов увидишь одинаковость...



--------------------
С уважением, г-н Посол.
PM   Вверх
  
Ответ в темуСоздание новой темы Создание опроса
Правила форума "Asm: Общие вопросы"
MAKCim
  • Проставьте несколько ключевых слов темы, чтобы её можно было легче найти.
  • Не забывайте пользоваться кнопкой КОД.
  • Телепатов на форуме нет! Задавайте чёткий, конкретный и полный вопрос. Указывайте полностью ошибки компилятора и компоновщика.
  • Новое сообщение должно иметь прямое отношение к разделу форума. Флуд, флейм, оффтопик запрещены.
  • Категорически запрещается обсуждение вареза, "кряков", взлома программ и т.д.

Если Вам понравилась атмосфера форума, заходите к нам чаще! С уважением, MAKCim.

 
 
0 Пользователей читают эту тему (0 Гостей и 0 Скрытых Пользователей)
0 Пользователей:
« Предыдущая тема | Asm: Общие вопросы | Следующая тема »


 




[ Время генерации скрипта: 0.0673 ]   [ Использовано запросов: 22 ]   [ GZIP включён ]


Реклама на сайте     Информационное спонсорство

 
По вопросам размещения рекламы пишите на vladimir(sobaka)vingrad.ru
Отказ от ответственности     Powered by Invision Power Board(R) 1.3 © 2003  IPS, Inc.