Re: [軟體] Wow! USB Protector 0.70 隨身碟防毒

看板AntiVirus (防毒)作者spotline (葉子有幾片)時間17年前 (2008/06/15 13:35)推噓0(0推 0噓 0→)

留言0則, 0人參與討論串3/6 (看更多)

※ 引述《Skeror (抱歉~~妳太幼稚了)》之銘言： : ※ 引述《blman (我愛亦潔我愛亦潔)》之銘言： : : Wow! USB Protector : : http://rt.openfoundry.org/Foundry/Project/Download/?Queue=905 : 它會把隨身碟程式管理"PStart"認成是病毒 ( http://www.pegtop.de/start/ ) : 還會想把我寫的autorun.inf刪掉說@@ : 請問這樣是正常的嗎? 要是防毒程式能夠事先在隨身碟的裡面建立一個內容具有特徵的autorun.inf的話像是在autorun.inf的第一行或最後一行加上 ;hello hello XD 其中 ; 之後的東西會被視為註解，好像和c一樣吧所以對於自己寫的內容不會有影響然後防毒程式假如能夠對內容做特徵比對的話就可以避免S大的問題只是假如特徵的內容是自訂的話可能隨身碟插到別台電腦上就會被辨識成有問題但是特徵的內容是固定的話也可能會被病毒規避假如用我上一篇autoplay的方法的話然後純粹檢查autoplay的第一項是不是自訂的內容是什麼就可以不用管了而且一般病毒都不會很招搖地直接在autoplay上面講說哈囉，我來了 (￣▽￣＃)﹏﹏☠ 只是我不知道有沒有辦法做到這點因為其實沒什麼學過寫程式或許可以使用圖像辨識吧XDXD 因為autoplay的選單好像都是出現在畫面上同一個位置然後假如把自訂選項加上一個特定的icon 或許就可以做辨識有點像2D條碼一樣只是好像有點異想天開XDXD 而且真的要的話，病毒還是能夠規避orz 只要對icon的設定和項目的名稱部份不去動它就好了還有一個方法因為病毒是直接使用open或是shellexecute這個指令 open只能開啟exe檔 shellexecute可以開啟很多其他的東西，例如:特定網頁、音樂播放清單假如open或shellexecute有設定了特定的目標的話那隨身碟就點不開了然後會直接執行特定的程式(病毒) 這就是病毒的autorun裡面常見的情況所以一般自己寫autorun的話並不會這樣寫吧可是假如把open的=後面直接放空白的話 autoplay就沒辦法正常使用了所以我會在後面加上一行 shell=nagle 有寫過autorun就知道這是設定"預設事件"的"名稱" =後面隨便寫都可以也就是不管你open後面接了什麼東西除了在autoplay的選單上直接點選以外直接用"我的電腦"點進隨身碟的話會直接執行"預設事件"所指定的東西而不是open後面接的東西然後呢我並沒有去設定nagle這個事件要做啥XDXD 因為這樣才會直接開啟隨身碟而不是去執行我只想讓autoplay執行的程式所以nagle這個事件只是"空殼子" 所以說病毒絕對不會在autorun裡面這樣寫呀因為這樣就沒辦法騙我們執行病毒了呀XDXDXD 所以假如防毒程式把這一行"shell=nagle"當成"特徵"來檢查而且要注意後面不可以出現 shell\nagle\Command= 這樣一行東西因為這樣這個事件就會被指定為執行特定程式這種規則應該是不會被病毒規避因為病毒敢這樣寫的話就等於自殺邏輯上應該是沒有錯只要自己寫inf的人能夠把"點兩下隨身碟來執行特定程式"的功能犧牲掉的話另外假如能夠更進一步在確定隨身碟被感染之後利用病毒的autorun裡面所寫的東西像是我保留的這個病毒的autorun [AutoRun] open=xwatmaf.exe shell\open=湖羲(&X) shell\open\Command=xwatmaf.exe shell\open\Default=0 shell\explore=訧埭奪燴け(&O) shell\explore\Command=xwatmaf.exe 在open和每個事件的command後面全都是接著同一個病毒的執行檔的名字要是防毒程式能夠直接讀取出後面的檔名的話就可以直接在隨身碟裡面找出確定的病毒直接刪掉不會有誤刪的問題而且就算是沒聽過的也可以刪掉應該是可以的方法吧只是我不會寫這種程式所以只能停留在想法的階段有人願意幫忙試試看的嗎(￣▽￣＃)﹏﹏ -- ※ 發信站: 批踢踢實業坊(ptt.cc) ◆ From: 140.113.242.59