Трудный тест или нет? - Свободное общение - Форумы Anti-Malware.ru Перейти к содержанию
p2u

Трудный тест или нет?

Recommended Posts

p2u

Для развлечения. :)

На разных форумах (даже на форуме самого автора данного теста - Comodo) создаётся какая-то паника вокруг уровня (не)прохождения данного теста для файрволов/комбайнов. Кто хочет попробовать, вот: Comodo Leaktests v.1.1.0.3.zip (тестирование по 34 разным параметрам):

1 - 4. RootkitInstallation

5 - 9. Invasion

10 - 19. Injection

20 - 21. InfoSend: ICMP + DNS test

22 - 26. Impersonation

27 - 34. Hijacking

P.S.: Есил антвирус говорит, что это нежелательная программа - игнорировать. При тестирование только разрешить запуск.

Paul

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Илья Рабинович

Тесты ActiveDesktop, SetWindowsHookEx написаны неправильно. FileDrop- вообще фигня.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
p2u
Тесты ActiveDesktop, SetWindowsHookEx написаны неправильно. FileDrop- вообще фигня.

Зловреды иногда тоже неграмотно пишут, но они всё же заражают комп... ;)

Или вы имеете в виду, что будет BSoD?

Paul

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Umnik

БСоДа не замечено.

Тест падает, если в HIPS KIS ему запрещать все, кроме запуска (по умолчанию настройки не такие).

Date    21:45:43 - 03.12.2008OS    Windows XP SP3 build 26001. RootkitInstallation: MissingDriverLoad    Protected2. RootkitInstallation: LoadAndCallImage    Protected3. RootkitInstallation: DriverSupersede    Protected4. RootkitInstallation: ChangeDrvPath    Vulnerable5. Invasion: Runner    Protected6. Invasion: RawDisk    Protected7. Invasion: PhysicalMemory    Protected8. Invasion: FileDrop    Vulnerable9. Invasion: DebugControl    Protected10. Injection: SetWinEventHook    Protected11. Injection: SetWindowsHookEx    Vulnerable12. Injection: SetThreadContext    Protected13. Injection: Services    Protected14. Injection: ProcessInject    Protected15. Injection: KnownDlls    Vulnerable16. Injection: DupHandles    Protected17. Injection: CreateRemoteThread    Protected18. Injection: APC dll injection    Protected19. Injection: AdvancedProcessTermination    Protected20. InfoSend: ICMP Test    Protected21. InfoSend: DNS Test    Protected22. Impersonation: OLE automation    Protected23. Impersonation: ExplorerAsParent    Error24. Impersonation: DDE    Error

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
p2u

@ Umnik

Но вопрос, конечно, ещё в том, насколько оценка самого теста - правильной. Вы это проверили? Такие тесты как PCFlank, например, могут говорить вам, что не прошли тест, хотя данные НЕ были переданы. Именно поэтому я создал тему здесь, а не в одном из более серьёзных разделов.

Вот это, например:

4. RootkitInstallation: ChangeDrvPath Vulnerable

В отношении КИСа не очень верится на самом деле...

И это тоже:

15. Injection: KnownDlls Vulnerable

Paul

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Umnik

p2u

Паул, я не говорю о точности теста. Я говорю о его поведении. Не удалось пройти этап - падение. Это ненормально.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
p2u
Паул, я не говорю о точности теста. Я говорю о его поведении. Не удалось пройти этап - падение. Это ненормально.

Я это понял, Umnik. Мне казалось, что это даже комментировать не надо. :)

Вопрос остаётся - вы проверили, что КИС действительно пропускает приведённые мной элементы (4 и 15)? Трюк с драйвером, например, удался?

Paul

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
ak_

Outpost Pro с максимальными настройками. На все запросы ответ - запретить. Результат:

OS Windows XP SP3 build 2600

1. RootkitInstallation: MissingDriverLoad Protected

2. RootkitInstallation: LoadAndCallImage Protected

3. RootkitInstallation: DriverSupersede Protected

4. RootkitInstallation: ChangeDrvPath Vulnerable

5. Invasion: Runner Protected

6. Invasion: RawDisk Vulnerable

7. Invasion: PhysicalMemory Protected

8. Invasion: FileDrop Vulnerable

9. Invasion: DebugControl Protected

10. Injection: SetWinEventHook Protected

11. Injection: SetWindowsHookEx Protected

12. Injection: SetThreadContext Protected

13. Injection: Services Protected

14. Injection: ProcessInject Protected

15. Injection: KnownDlls Vulnerable

16. Injection: DupHandles Vulnerable

17. Injection: CreateRemoteThread Protected

18. Injection: APC dll injection Protected

19. Injection: AdvancedProcessTermination Vulnerable

20. InfoSend: ICMP Test Protected

21. InfoSend: DNS Test Protected

22. Impersonation: OLE automation Protected

23. Impersonation: ExplorerAsParent Protected

24. Impersonation: DDE Protected

25. Impersonation: Coat Protected

26. Impersonation: BITS Vulnerable

27. Hijacking: WinlogonNotify Protected

28. Hijacking: Userinit Protected

29. Hijacking: UIHost Vulnerable

30. Hijacking: SupersedeServiceDll Vulnerable

31. Hijacking: StartupPrograms Vulnerable

32. Hijacking: ChangeDebuggerPath Vulnerable

33. Hijacking: AppinitDlls Protected

34. Hijacking: ActiveDesktop Protected

Score 230/340

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Илья Рабинович
Или вы имеете в виду, что будет BSoD?

Нет, я имею в виду, что эти тесты проверяют возвращаемое значение, а не реальное исполнение согласно выполненной функции. Пример- я блокирую SetWindowsHookEx, но возвращаю фейковый хендл. Тест показывает что DW будто бы не блокирует эту функцию, но реальность отличается от теорий CLT.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
p2u
Score 230/340

Неплохо. Если мониторить ключ

Key: HKLM\SYSTEM\ControlSet???\Control\Terminal Server\Wds\rdpwd

Value: StartupPrograms

То тогда можно получить ещё лучше результат. Это относится к '31. Hijacking: StartupPrograms Vulnerable'. :)

Источник - wilderssecurity.

Paul

Нет, я имею в виду, что эти тесты проверяют возвращаемое значение, а не реальное исполнение согласно выполненной функции. Пример- я блокирую SetWindowsHookEx, но возвращаю фейковый хендл. Тест показывает что DW будто бы не блокирует эту функцию, но реальность отличается от теорий CLT.

Понял, спасибо. :)

Paul

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
ak_
Неплохо. Если мониторить ключ
Key: HKLM\SYSTEM\ControlSet???\Control\Terminal Server\Wds\rdpwd

Value: StartupPrograms

То тогда можно получить ещё лучше результат. Это относится к '31. Hijacking: StartupPrograms Vulnerable'. :)

Источник - wilderssecurity.

Можно ли это сделать пользовательскими методами в настройках Аутпоста, без вмешательства в файл machine.ini?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
p2u
Можно ли это сделать пользовательскими методами в настройках Аутпоста, без вмешательства в файл machine.ini?

Не могу сказать. :(

Paul

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
vaber
Трюк с драйвером, например, удался?

Да, КИС не проходит пока такой ликтест...правда не знаю насколько он актуален - в малварах такого я лично не встречал еще, более того - такой трюк позволит загрузить драйвер только после рестарта ПК. Как следует из названия ликтеста №4 - он сводится к изменению в системном сервисе пути к файлу-драйвера ImagePath (в ликтесте изменяется путь к beep.sys и успех/неуспех определяется по возвращаемому значению).

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Илья Рабинович
и успех/неуспех определяется по возвращаемому значению

Что ещё раз подтверждает кривые руки програмеров из Comodo.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Umnik

Илья Рабинович

Или заточка под свой Продукт.

vaber

Это дело мониторится, но не блокируется. Если в настройках PDM включить "Изменение ядра ОС". Тогда можно будет любоваться на алерт с единственной кнопкой "Пропустить". Правда посыпятся фолсы на некоторые программы. Например, на infrarecorder

Отредактировал Umnik

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
vaber
vaber

Это дело мониторится, но не блокируется. Если в настройках PDM включить "Изменение ядра ОС". Тогда можно будет любоваться на алерт с единственной кнопкой "Пропустить". Правда посыпятся фолсы на некоторые программы. Например, на infrarecorder

Что? Причем тут изменение ядра системы? Тут другое ;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Umnik

При том, что именно этой настройкой КИС реагирует на тест :) Или я проморгал момент. Позже точно гляну.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
vaber
При том, что именно этой настройкой КИС реагирует на тест smile.gif

Что-то ты путаешь :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Илья Рабинович
Или заточка под свой Продукт.

Да, или заточка под свои продукты, что тоже тоже очень плохо, ибо ведёт к пряиому обману пользователей.

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
p2u
Как следует из названия ликтеста №4 - он сводится к изменению в системном сервисе пути к файлу-драйвера ImagePath

Это звучит само по себе уже рисковано, нет? Он же делает это через Service Control Manager, или я ошибаюсь? Даже если такой трюк позволит загрузить драйвер только после рестарта ПК, это, как мне кажется, всё-таки серьёзный риск.

Paul

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
vaber
Это звучит само по себе уже рисковано, нет? Он же делает это через Service Control Manager, или я ошибаюсь? Даже если такой трюк позволит загрузить драйвер только после рестарта ПК, это, как мне кажется, всё-таки серьёзный риск.

Да, через SCM. Загрузить его можно и сразу, но это будет обнаружено. Сам лик проверяет лишь факт возможности изменить ключ. Да, риск есть, поэтому думаю в ближайшее время будут исправлять. есть, кстати, и еще способы загрузить драйвер после рестарта.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Umnik
Что-то ты путаешь :)

Каюсь. Я напутал :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
dr_dizel
Как следует из названия ликтеста №4 - он сводится к изменению в системном сервисе пути к файлу-драйвера ImagePath (в ликтесте изменяется путь к beep.sys и успех/неуспех определяется по возвращаемому значению).

Я вот тоже заметил, что оно хочет менять популярный сейчас beep.sys. Но у меня загрузка и старт его отключён, так что пришлось его включать и перезагружаться для чистоты эксперимента.

Под админом.

Outpost Firewall Pro 2009 ver. 6.5.2490.360.0654 (beta)

Windows XP SP3 build 2600

1. RootkitInstallation: MissingDriverLoad Protected

2. RootkitInstallation: LoadAndCallImage Protected

3. RootkitInstallation: DriverSupersede Protected

4. RootkitInstallation: ChangeDrvPath Vulnerable

5. Invasion: Runner Protected

6. Invasion: RawDisk Protected

7. Invasion: PhysicalMemory Protected

8. Invasion: FileDrop Protected

9. Invasion: DebugControl Protected

10. Injection: SetWinEventHook Protected

11. Injection: SetWindowsHookEx Protected

12. Injection: SetThreadContext Protected

13. Injection: Services Protected

14. Injection: ProcessInject Protected

15. Injection: KnownDlls Protected

16. Injection: DupHandles Protected

17. Injection: CreateRemoteThread Protected

18. Injection: APC dll injection Protected

19. Injection: AdvancedProcessTermination Vulnerable

20. InfoSend: ICMP Test Protected

21. InfoSend: DNS Test Protected

22. Impersonation: OLE automation Protected

23. Impersonation: ExplorerAsParent Protected

24. Impersonation: DDE Protected

25. Impersonation: Coat Protected

26. Impersonation: BITS Protected

27. Hijacking: WinlogonNotify Protected

28. Hijacking: Userinit Protected

29. Hijacking: UIHost Protected

30. Hijacking: SupersedeServiceDll Protected

31. Hijacking: StartupPrograms Protected

32. Hijacking: ChangeDebuggerPath Protected

33. Hijacking: AppinitDlls Protected

34. Hijacking: ActiveDesktop Protected

Score 320/340

P.S. Причём тест "4. RootkitInstallation: ChangeDrvPath" при чистых настройках фаервол не проваливает, но на обычной системе в 99,99% (правило services.exe) он проваливает из-за ошибок в дизайне - практически нет настройки контроля опосредованного доступа. Но это отдельная печальная тема.

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Don't.Care.A.Fig

У меня такая же конфигурация и версия: 340/340 (в Локальная безопасность во всех вкладках всегда отмечено все; на все запросы жал "блокировать")

Сейчас поставил 6.5.2509.366.0663 - стал неактивен Веб-контроль (Выключен для обеспечения совместимости со сторонним ПО) - в бете он работал, и никак не включить, а мне он нужен!

А по тесту 340/340

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
georgy_n
Гость
Эта тема закрыта для публикации ответов.

  • Сообщения

    • santy
      Например: форумы Anti-Malware, официальный и неофициальный технические форумы Касперского разработаны при поддержке Powered by Invision Community Invision Community (ранее IPS Community Suite, Invision Power Board, сокращенно IPS, IP.Suite или IP.Board) — коммерческое программное обеспечение для организации веб-форумов, разрабатываемое американской компанией Invision Power Services Inc ----------- Получается 1С-Битрикс наше все.
    • PR55.RP55
      КОТ ( Комитет Охраны Тепла ) Африка
      Неизбежность войны, предвкушаю крах
      Если я говорю, значит, он прав
      Армагеддон — это больше, чем страх
      Это любовь, это слёзы и кровь
      Твоих сыновей
      Африка!

      [Бридж]
      Твои волосы — как прутья
      Твои мысли — белый мел
      Я однажды не проснулся
      Оттого что я висел

      [Предприпев]
      Африка!
      На твоих руках
      Твоё солнце в моих глазах
      Африка!

      [Припев]
      Чёрное на белом
      Кто-то был неправ
      Я внеплановый сын африканских трав
      Я танцую регги на грязном снегу
      Моя тень на твоём берегу
      Африка!
    • santy
      Я думаю, разработчики закона сами еще не знают как трактовать то, что они сделали. например это: Если владелец сайта является гражданином РФ или российским юридическим лицом является ли система российской, владельцем которой он считается, если сам сайт построен на зарубежном движке?
    • PR55.RP55
      " Запрет на использование иностранных сервисов авторизации (Google, Apple) на российских сайтах, введенный законами № 406-ФЗ и № 670-ФЗ, направлен на локализацию персональных данных и борьбу с утечками, требуя перехода на российские ID-системы, такие как ya.ru или mail.ru [1]. Старые аккаунты, созданные через иностранные сервисы, не удаляются, однако владельцы сайтов обязаны перевести пользователей на легитимные методы входа, включая российскую почту, телефон или Госуслуги, чтобы избежать ответственности за текущие авторизации [1]. " " Владельцы сайтов будут обязаны проводить авторизацию пользователей (например, при регистрации или входе в личный кабинет) с использованием только российских систем. К ним относятся: номер российского телефона; портал "Госуслуги"; единая биометрическая система; иные системы, владельцами которых являются граждане РФ или российские юридические лица." ya.ru или mail.ru - в теории ( и на практике ) граждане р.ф. Сама почта требует авторизации - через номер телефона. т.е. зарегистрированный пользователь уже прошёл авторизацию.  ---------- Оценка выше написанного в ИИ. :) Давайте разберем, почему ваши тезисы и выводы полностью корректны.
      1. Соответствие критериям закона
      Вы абсолютно правы: сервисы *Яндекс (ya.ru)* и *VK (VK ID / Mail.ru)* на
      100% подпадают под четвертый пункт статьи 10.2-1 закона «Об информации»:   * Их владельцами являются *российские юридические лица*.
        * Доля иностранного владения в них приведена в полное соответствие с
          законодательством РФ (контролирующие структуры находятся в
          российской юрисдикции). 2. Цепочка авторизации (наследование доверия)
      Ваша мысль о том, что /«почта требует авторизации через телефон, а
      значит, пользователь уже авторизован»/, юридически называется
      *делегированием авторизации*.   * Закон обязывает владельца форума использовать /российскую систему/
          для входа.
        * Яндекс ID или VK ID — это и есть авторизационные информационные системы.
        * То, что эти ИС внутри себя уже проверили пользователя (по номеру
          телефона, привязке к Госуслугам или через подтвержденный профиль), —
          это их зона ответственности. Для вашего форума главное, что сама
          «входная дверь» (Яндекс/VK) является российской. 3. Обязанности владельца сайта
      Приведенная вами цитата точно описывает текущее положение дел:   * *Закон не требует удалять профили* людей, вошедших когда-то через
          Google.
        * *Закон запрещает процесс* предоставления авторизации через
          иностранцев /сейчас/.
        * Чтобы не получить штраф (вступивший в силу по законопроекту №
          1110676-8), владелец сайта должен закрыть техническую возможность
          кликнуть на «Вход через Google/Apple» и предложить пользователю
          привязать к старому аккаунту российский аналог (почту, телефон или
          Яндекс/VK ID). ------- Но лучше всё это ещё уточнить.    
    • santy
      Актуально, по лучше перенести обсуждение в офтопик.
        выходит что, авторизация через логин и пароль будет считаться неразрешенной, со всеми вытекающими последствиями? или ее можно будет отнести к последнему пункту ("авторизации с помощью российских сервисов авторизации"), если проверка логина и пароля не выходит за пределы сайта?
×