Трудный тест или нет?

[p2u 824]

Для развлечения.

На разных форумах (даже на форуме самого автора данного теста - Comodo) создаётся какая-то паника вокруг уровня (не)прохождения данного теста для файрволов/комбайнов. Кто хочет попробовать, вот: Comodo Leaktests v.1.1.0.3.zip (тестирование по 34 разным параметрам):

1 - 4. RootkitInstallation

5 - 9. Invasion

10 - 19. Injection

20 - 21. InfoSend: ICMP + DNS test

22 - 26. Impersonation

27 - 34. Hijacking

P.S.: Есил антвирус говорит, что это нежелательная программа - игнорировать. При тестирование только разрешить запуск.

Paul

[Илья Рабинович 521]

Тесты ActiveDesktop, SetWindowsHookEx написаны неправильно. FileDrop- вообще фигня.

[p2u 824]

Тесты ActiveDesktop, SetWindowsHookEx написаны неправильно. FileDrop- вообще фигня.

Зловреды иногда тоже неграмотно пишут, но они всё же заражают комп...

Или вы имеете в виду, что будет BSoD?

Paul

[Umnik 997]

БСоДа не замечено.

Тест падает, если в HIPS KIS ему запрещать все, кроме запуска (по умолчанию настройки не такие).

Date    21:45:43 - 03.12.2008OS    Windows XP SP3 build 26001. RootkitInstallation: MissingDriverLoad    Protected2. RootkitInstallation: LoadAndCallImage    Protected3. RootkitInstallation: DriverSupersede    Protected4. RootkitInstallation: ChangeDrvPath    Vulnerable5. Invasion: Runner    Protected6. Invasion: RawDisk    Protected7. Invasion: PhysicalMemory    Protected8. Invasion: FileDrop    Vulnerable9. Invasion: DebugControl    Protected10. Injection: SetWinEventHook    Protected11. Injection: SetWindowsHookEx    Vulnerable12. Injection: SetThreadContext    Protected13. Injection: Services    Protected14. Injection: ProcessInject    Protected15. Injection: KnownDlls    Vulnerable16. Injection: DupHandles    Protected17. Injection: CreateRemoteThread    Protected18. Injection: APC dll injection    Protected19. Injection: AdvancedProcessTermination    Protected20. InfoSend: ICMP Test    Protected21. InfoSend: DNS Test    Protected22. Impersonation: OLE automation    Protected23. Impersonation: ExplorerAsParent    Error24. Impersonation: DDE    Error

[p2u 824]

@ Umnik

Но вопрос, конечно, ещё в том, насколько оценка самого теста - правильной. Вы это проверили? Такие тесты как PCFlank, например, могут говорить вам, что не прошли тест, хотя данные НЕ были переданы. Именно поэтому я создал тему здесь, а не в одном из более серьёзных разделов.

Вот это, например:

4. RootkitInstallation: ChangeDrvPath Vulnerable

В отношении КИСа не очень верится на самом деле...

И это тоже:

15. Injection: KnownDlls Vulnerable

Paul

[Umnik 997]

p2u

Паул, я не говорю о точности теста. Я говорю о его поведении. Не удалось пройти этап - падение. Это ненормально.

[p2u 824]

Паул, я не говорю о точности теста. Я говорю о его поведении. Не удалось пройти этап - падение. Это ненормально.

Я это понял, Umnik. Мне казалось, что это даже комментировать не надо.

Вопрос остаётся - вы проверили, что КИС действительно пропускает приведённые мной элементы (4 и 15)? Трюк с драйвером, например, удался?

Paul

[ak_ 395]

Outpost Pro с максимальными настройками. На все запросы ответ - запретить. Результат:

OS Windows XP SP3 build 2600

1. RootkitInstallation: MissingDriverLoad Protected

2. RootkitInstallation: LoadAndCallImage Protected

3. RootkitInstallation: DriverSupersede Protected

4. RootkitInstallation: ChangeDrvPath Vulnerable

5. Invasion: Runner Protected

6. Invasion: RawDisk Vulnerable

7. Invasion: PhysicalMemory Protected

8. Invasion: FileDrop Vulnerable

9. Invasion: DebugControl Protected

10. Injection: SetWinEventHook Protected

11. Injection: SetWindowsHookEx Protected

12. Injection: SetThreadContext Protected

13. Injection: Services Protected

14. Injection: ProcessInject Protected

15. Injection: KnownDlls Vulnerable

16. Injection: DupHandles Vulnerable

17. Injection: CreateRemoteThread Protected

18. Injection: APC dll injection Protected

19. Injection: AdvancedProcessTermination Vulnerable

20. InfoSend: ICMP Test Protected

21. InfoSend: DNS Test Protected

22. Impersonation: OLE automation Protected

23. Impersonation: ExplorerAsParent Protected

24. Impersonation: DDE Protected

25. Impersonation: Coat Protected

26. Impersonation: BITS Vulnerable

27. Hijacking: WinlogonNotify Protected

28. Hijacking: Userinit Protected

29. Hijacking: UIHost Vulnerable

30. Hijacking: SupersedeServiceDll Vulnerable

31. Hijacking: StartupPrograms Vulnerable

32. Hijacking: ChangeDebuggerPath Vulnerable

33. Hijacking: AppinitDlls Protected

34. Hijacking: ActiveDesktop Protected

Score 230/340

[Илья Рабинович 521]

Или вы имеете в виду, что будет BSoD?

Нет, я имею в виду, что эти тесты проверяют возвращаемое значение, а не реальное исполнение согласно выполненной функции. Пример- я блокирую SetWindowsHookEx, но возвращаю фейковый хендл. Тест показывает что DW будто бы не блокирует эту функцию, но реальность отличается от теорий CLT.

[p2u 824]

Score 230/340

Неплохо. Если мониторить ключ

Key: HKLM\SYSTEM\ControlSet???\Control\Terminal Server\Wds\rdpwd

Value: StartupPrograms

То тогда можно получить ещё лучше результат. Это относится к '31. Hijacking: StartupPrograms Vulnerable'.

Источник - wilderssecurity.

Paul

Нет, я имею в виду, что эти тесты проверяют возвращаемое значение, а не реальное исполнение согласно выполненной функции. Пример- я блокирую SetWindowsHookEx, но возвращаю фейковый хендл. Тест показывает что DW будто бы не блокирует эту функцию, но реальность отличается от теорий CLT.

Понял, спасибо.

Paul

[ak_ 395]

Неплохо. Если мониторить ключ

Key: HKLM\SYSTEM\ControlSet???\Control\Terminal Server\Wds\rdpwd

Value: StartupPrograms

То тогда можно получить ещё лучше результат. Это относится к '31. Hijacking: StartupPrograms Vulnerable'.

Источник - wilderssecurity.

Можно ли это сделать пользовательскими методами в настройках Аутпоста, без вмешательства в файл machine.ini?

[p2u 824]

Можно ли это сделать пользовательскими методами в настройках Аутпоста, без вмешательства в файл machine.ini?

Не могу сказать.

Paul

[vaber 350]

Трюк с драйвером, например, удался?

Да, КИС не проходит пока такой ликтест...правда не знаю насколько он актуален - в малварах такого я лично не встречал еще, более того - такой трюк позволит загрузить драйвер только после рестарта ПК. Как следует из названия ликтеста №4 - он сводится к изменению в системном сервисе пути к файлу-драйвера ImagePath (в ликтесте изменяется путь к beep.sys и успех/неуспех определяется по возвращаемому значению).

[Илья Рабинович 521]

и успех/неуспех определяется по возвращаемому значению

Что ещё раз подтверждает кривые руки програмеров из Comodo.

[Umnik 997]

Илья Рабинович

Или заточка под свой Продукт.

vaber

Это дело мониторится, но не блокируется. Если в настройках PDM включить "Изменение ядра ОС". Тогда можно будет любоваться на алерт с единственной кнопкой "Пропустить". Правда посыпятся фолсы на некоторые программы. Например, на infrarecorder

Отредактировал Декабрь 4, 2008 Umnik

[vaber 350]

vaber

Это дело мониторится, но не блокируется. Если в настройках PDM включить "Изменение ядра ОС". Тогда можно будет любоваться на алерт с единственной кнопкой "Пропустить". Правда посыпятся фолсы на некоторые программы. Например, на infrarecorder

Что? Причем тут изменение ядра системы? Тут другое

[Umnik 997]

При том, что именно этой настройкой КИС реагирует на тест Или я проморгал момент. Позже точно гляну.

[vaber 350]

При том, что именно этой настройкой КИС реагирует на тест smile.gif

Что-то ты путаешь

[Илья Рабинович 521]

Или заточка под свой Продукт.

Да, или заточка под свои продукты, что тоже тоже очень плохо, ибо ведёт к пряиому обману пользователей.

[p2u 824]

Как следует из названия ликтеста №4 - он сводится к изменению в системном сервисе пути к файлу-драйвера ImagePath

Это звучит само по себе уже рисковано, нет? Он же делает это через Service Control Manager, или я ошибаюсь? Даже если такой трюк позволит загрузить драйвер только после рестарта ПК, это, как мне кажется, всё-таки серьёзный риск.

Paul

[vaber 350]

Это звучит само по себе уже рисковано, нет? Он же делает это через Service Control Manager, или я ошибаюсь? Даже если такой трюк позволит загрузить драйвер только после рестарта ПК, это, как мне кажется, всё-таки серьёзный риск.

Да, через SCM. Загрузить его можно и сразу, но это будет обнаружено. Сам лик проверяет лишь факт возможности изменить ключ. Да, риск есть, поэтому думаю в ближайшее время будут исправлять. есть, кстати, и еще способы загрузить драйвер после рестарта.

[Umnik 997]

Что-то ты путаешь

Каюсь. Я напутал

[dr_dizel 385]

Как следует из названия ликтеста №4 - он сводится к изменению в системном сервисе пути к файлу-драйвера ImagePath (в ликтесте изменяется путь к beep.sys и успех/неуспех определяется по возвращаемому значению).

Я вот тоже заметил, что оно хочет менять популярный сейчас beep.sys. Но у меня загрузка и старт его отключён, так что пришлось его включать и перезагружаться для чистоты эксперимента.

Под админом.

Outpost Firewall Pro 2009 ver. 6.5.2490.360.0654 (beta)

Windows XP SP3 build 2600

1. RootkitInstallation: MissingDriverLoad Protected

2. RootkitInstallation: LoadAndCallImage Protected

3. RootkitInstallation: DriverSupersede Protected

4. RootkitInstallation: ChangeDrvPath Vulnerable

5. Invasion: Runner Protected

6. Invasion: RawDisk Protected

7. Invasion: PhysicalMemory Protected

8. Invasion: FileDrop Protected

9. Invasion: DebugControl Protected

10. Injection: SetWinEventHook Protected

11. Injection: SetWindowsHookEx Protected

12. Injection: SetThreadContext Protected

13. Injection: Services Protected

14. Injection: ProcessInject Protected

15. Injection: KnownDlls Protected

16. Injection: DupHandles Protected

17. Injection: CreateRemoteThread Protected

18. Injection: APC dll injection Protected

19. Injection: AdvancedProcessTermination Vulnerable

20. InfoSend: ICMP Test Protected

21. InfoSend: DNS Test Protected

22. Impersonation: OLE automation Protected

23. Impersonation: ExplorerAsParent Protected

24. Impersonation: DDE Protected

25. Impersonation: Coat Protected

26. Impersonation: BITS Protected

27. Hijacking: WinlogonNotify Protected

28. Hijacking: Userinit Protected

29. Hijacking: UIHost Protected

30. Hijacking: SupersedeServiceDll Protected

31. Hijacking: StartupPrograms Protected

32. Hijacking: ChangeDebuggerPath Protected

33. Hijacking: AppinitDlls Protected

34. Hijacking: ActiveDesktop Protected

Score 320/340

P.S. Причём тест "4. RootkitInstallation: ChangeDrvPath" при чистых настройках фаервол не проваливает, но на обычной системе в 99,99% (правило services.exe) он проваливает из-за ошибок в дизайне - практически нет настройки контроля опосредованного доступа. Но это отдельная печальная тема.

[Don't.Care.A.Fig 15]

У меня такая же конфигурация и версия: 340/340 (в Локальная безопасность во всех вкладках всегда отмечено все; на все запросы жал "блокировать")

Сейчас поставил 6.5.2509.366.0663 - стал неактивен Веб-контроль (Выключен для обеспечения совместимости со сторонним ПО) - в бете он работал, и никак не включить, а мне он нужен!

А по тесту 340/340

[georgy_n 80]

Так отредактируйте machine.ini:

Как я могу включить модули Outpost, автоматически отключенные программой для совместимости с другими продуктами безопасности?