Kaspersky antivirus 6: HTTP monitor bypassing - Страница 4 - Выбор домашних средств защиты - Форумы Anti-Malware.ru Перейти к содержанию
nobody@nowhere

Kaspersky antivirus 6: HTTP monitor bypassing

Recommended Posts

TiX

>Саня, писание троянов - Ваша прерогатива. все исходные данные есть - дерзайте.

Это не моя забота, во все тонкости "дырки" прониклись вы.. так что либо PoC либо обвинение вас в некомпитентности Ж)

Дерзайте...

Сразу предостеругу - Java-Script & Flash неможет работать напрямую с сокетами, а ява-апплет неможет создавать файлы из за ограниченый политики.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Dmitry Perets
методика показанная в скрипте осужествима пряма из Вашего любимого браузера - vbscript, java applet, flash - любой из них может проделать все тоже самое. в итоге - веб-монитор мы обошли

Так я ж уже сказал коллеге вашему! Продемонстрируйте эксплоит! Настоящий! Чтоб он eicar выкачал мне на комп. И запустил. Пусть это будет VBScript, JavaScript, Java-applet, flash, голый хтмл - не важно. Киньте мне линк, куда я зайду своим браузером и получу eicar в обход веб-антивируса. Так нет, вы вместо этого пишете троянокачалку и говорите, что его должен ловить http-монитор... Ну сколько можно одно и то же-то повторять? =)

в сообществе принято отсылать сообщение о уязвимости вендору и в секьюрити листы, не так ли? за деталями моего видения проблемы - в соседний тред на этом же форуме. проблема прочтения и адекватности восприятия вендора - это его личная проблема, не сообщества. они могут отмазываться тем что сообщения не получали, но листы - получали. а свою адекватность представители ЛК публично продемонстрировали, не в первый раз. отмазки... и все вместо того что бы исправить тривиальную ошибку и оградить пользователей от дыры диаметром с солнце :(

Принято сначала отсылать вендору, а уж потом в секьюрити листы. Дав вендору время на выпуск фикса. Вы это сделали? Сомневаюсь я однако. Впрочем, это не важно. Ибо фикс всё равно выйдет на следующей неделе. Проще выпустить фикс один раз, чем каждый раз заново доказывать народу, что никакой опасности нету... Вы вот лучше скажите, когда SpiderGate выйдет. Уж больно хочется посмотреть =)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Бубермот
отлично. тогда идем дальше. почему именно HTTP а не идиотское предложение писать свой протокол. неужели еще не понятно? ;) потому что дыряв Веб-антивирус... методика показанная в скрипте осужествима пряма из Вашего любимого браузера - vbscript, java applet, flash - любой из них может проделать все тоже самое. в итоге - веб-монитор мы обошли, FW обходить нет нужды, он мило и любезно пропустит браузер скачать все что угодно по http. думаю что он при этом скачает говорить не нужно, не так ли? любой эксплоит IE. любую ерунду роняющую венду. не так ли? то что в ЛК так этого и не поняли - очень печально. еще более печально что азбучные истины нужно расказывать специалистам по безопастности. :( а подсказок было море, но видимо не судьба - нужно разжевать и в рот положить.

Знаете, для специалиста по безопасности у вас какая-то однобокая логика. Любите левой ногой за правым ухом чесать? Ну вот внедрилось в IE нечто, антивирусом не ловящееся. На кой, объясните мне, более мощная зараза станет скачивать менее мощную? Чтоб попасться самой? И зачем эксплуатировать мегадыру, если, как уже объяснялось, можно скачать то же самое по любому протоколу? И файрвол пропустит: в половине случаев браузеру разрешены исодящие TCP соединения по нескольким стандартным для HTTP портам, в другой половине или все исходящие или вообще любая активность. Коннекться себе на 80й порт и тащи что хочешь, по какому хочешь протоколу. Про вариант скачивания архива с паролем или с народной шифровкой XOR c 256битным числом я уж и не заикаюсь, не до того сейчас. Думаете вирусописатель станет пользоваться заведомо рискованым методом, когда ему доступно то, что не ловится даже в теории?

это не важно :) ситуация - часть с отрицательным смещением, сколько народа на этом погорело.

Знаете, я больше проверять не буду. Услышал про мультипарт - думал вы и вправду большой секрет знаете, а вы или просто все потенциально сложные или опасные моменты http перечисляете, или уже проверили, серьёзных дыр не нашли, показали глупый баг и сейчас просто туману нагоняете.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
nobody@nowhere
методика показанная в скрипте осужествима пряма из Вашего любимого браузера - vbscript, java applet, flash - любой из них может проделать все тоже самое. в итоге - веб-монитор мы обошли

Так я ж уже сказал коллеге вашему! Продемонстрируйте эксплоит! Настоящий! Чтоб он eicar выкачал мне на комп. И запустил. Пусть это будет VBScript, JavaScript, Java-applet, flash, голый хтмл - не важно. Киньте мне линк, куда я зайду своим браузером и получу eicar в обход веб-антивируса. Так нет, вы вместо этого пишете троянокачалку и говорите, что его должен ловить http-монитор... Ну сколько можно одно и то же-то повторять? =)

с этим - к Сане.

в сообществе принято отсылать сообщение о уязвимости вендору и в секьюрити листы, не так ли? за деталями моего видения проблемы - в соседний тред на этом же форуме. проблема прочтения и адекватности восприятия вендора - это его личная проблема, не сообщества. они могут отмазываться тем что сообщения не получали, но листы - получали. а свою адекватность представители ЛК публично продемонстрировали, не в первый раз. отмазки... и все вместо того что бы исправить тривиальную ошибку и оградить пользователей от дыры диаметром с солнце :(

Принято сначала отсылать вендору, а уж потом в секьюрити листы. Дав вендору время на выпуск фикса. Вы это сделали? Сомневаюсь я однако. Впрочем, это не важно.

нет важно. только что Вы обвинили меня во вранье - мне воспользоваться предложение Mr.Justice? ;) вендор это абсолютно невменяемый (в терминах ЛК) DVi, он не пожелал общаться.

вот я и думаю писать ли им как за пару минут обходится самозащита или ну нафиг - пусть дальше остается тайной пока еще кто не догадается и не напишет?

Знаете, я больше проверять не буду. Услышал про мультипарт - думал вы и вправду большой секрет знаете, а вы или просто все потенциально сложные или опасные моменты http перечисляете, или уже проверили, серьёзных дыр не нашли,

а оно нужно - делать бесплатный аудит?

показали глупый баг и сейчас просто туману нагоняете.

а ломают всегда через наиглупейшие баги. все еще живой и самый показательный пример - sendmail. :(

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Valery Ledovskoy

Здоровеньки булы! :)

Бубермот тут отличился - почему бы ему орден не дать за тестирование продуктов? :)

"PS: Зато при побайтовой передаче, после того как касперский поймает вируса в окне браузера показывают не стандартную "я только что тебе жизнь спас" страницу каспера, а начало тела вирусни. Т.е. хоть возможность себя похвалить у каспера обламывается. "

Вот это PS - ваще супер :)

Получается, можно теоретически в браузер передать любой код, в т.ч. вредоносный, и он выполнится? :)

Вот тебе бабушка, и юрьев день :)

А говорят - нельзя никак использовать дырку-то :)

Если дырка есть, то научиться её использовать - это дело времени и техники, к сожалению...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
Бубермот тут отличился - почему бы ему орден не дать за тестирование продуктов? Smile

Согласен, орден в студию! :beer:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Alex_R.

Прочитал:

Код:

syswrite STDOUT, 'document is <'.$doc.'> len='.length($doc)."n";

ужасно опасна (в переменной $doc хранится вирус, любой, по вашему вкусу)

я как понял в файле с расширением .doc будет любой вирус? вот интересно просто,как это запускать...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
mais

ответы разработчиков KAV:

Что должен перехватить файловый монитор, если файла нет?

Есть страница в памяти браузера и даже если она сохранится на диск, до этого выполнится её код.

Файловый антивирус работает _только_ с файлами на диске. На потоке работает Web-антивирус. Не ставить его - сознательное уменьшение уровня защищённости машины.

вобщем.. дали линк где страница заражена Trojan.Downloader.JS.Agent (ловит вэб антивирус у народа)

зашел туда Файрфоксом без веб антивируса - файлов. монитор не среагировал (хотя базы одни и теже вроде у них ???)

у меня связка NOD32 IMON (остальные службы его остановлены) + KAV 7

т.е. что нодовский интернет-монитор пропускает своими базами, каспер подхватывает....

вот и думаю есть ли смысл убрать нод интернет фильтр и прикрутить "родного" касперу ...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Николай Головко
ответы разработчиков KAV:

вобщем.. дали линк где страница заражена Trojan.Downloader.JS.Agent (ловит вэб антивирус у народа)

зашел туда Файрфоксом без веб антивируса - файлов. монитор не среагировал (хотя базы одни и теже вроде у них ???)

у меня связка NOD32 IMON (остальные службы его остановлены) + KAV 7

т.е. что нодовский интернет-монитор пропускает своими базами, каспер подхватывает....

вот и думаю есть ли смысл убрать нод интернет фильтр и прикрутить "родного" касперу ...

Файловый может поймать этот вирус только в кэше браузера.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • santy
      Например: форумы Anti-Malware, официальный и неофициальный технические форумы Касперского разработаны при поддержке Powered by Invision Community Invision Community (ранее IPS Community Suite, Invision Power Board, сокращенно IPS, IP.Suite или IP.Board) — коммерческое программное обеспечение для организации веб-форумов, разрабатываемое американской компанией Invision Power Services Inc ----------- Получается 1С-Битрикс наше все.
    • PR55.RP55
      КОТ ( Комитет Охраны Тепла ) Африка
      Неизбежность войны, предвкушаю крах
      Если я говорю, значит, он прав
      Армагеддон — это больше, чем страх
      Это любовь, это слёзы и кровь
      Твоих сыновей
      Африка!

      [Бридж]
      Твои волосы — как прутья
      Твои мысли — белый мел
      Я однажды не проснулся
      Оттого что я висел

      [Предприпев]
      Африка!
      На твоих руках
      Твоё солнце в моих глазах
      Африка!

      [Припев]
      Чёрное на белом
      Кто-то был неправ
      Я внеплановый сын африканских трав
      Я танцую регги на грязном снегу
      Моя тень на твоём берегу
      Африка!
    • santy
      Я думаю, разработчики закона сами еще не знают как трактовать то, что они сделали. например это: Если владелец сайта является гражданином РФ или российским юридическим лицом является ли система российской, владельцем которой он считается, если сам сайт построен на зарубежном движке?
    • PR55.RP55
      " Запрет на использование иностранных сервисов авторизации (Google, Apple) на российских сайтах, введенный законами № 406-ФЗ и № 670-ФЗ, направлен на локализацию персональных данных и борьбу с утечками, требуя перехода на российские ID-системы, такие как ya.ru или mail.ru [1]. Старые аккаунты, созданные через иностранные сервисы, не удаляются, однако владельцы сайтов обязаны перевести пользователей на легитимные методы входа, включая российскую почту, телефон или Госуслуги, чтобы избежать ответственности за текущие авторизации [1]. " " Владельцы сайтов будут обязаны проводить авторизацию пользователей (например, при регистрации или входе в личный кабинет) с использованием только российских систем. К ним относятся: номер российского телефона; портал "Госуслуги"; единая биометрическая система; иные системы, владельцами которых являются граждане РФ или российские юридические лица." ya.ru или mail.ru - в теории ( и на практике ) граждане р.ф. Сама почта требует авторизации - через номер телефона. т.е. зарегистрированный пользователь уже прошёл авторизацию.  ---------- Оценка выше написанного в ИИ. :) Давайте разберем, почему ваши тезисы и выводы полностью корректны.
      1. Соответствие критериям закона
      Вы абсолютно правы: сервисы *Яндекс (ya.ru)* и *VK (VK ID / Mail.ru)* на
      100% подпадают под четвертый пункт статьи 10.2-1 закона «Об информации»:   * Их владельцами являются *российские юридические лица*.
        * Доля иностранного владения в них приведена в полное соответствие с
          законодательством РФ (контролирующие структуры находятся в
          российской юрисдикции). 2. Цепочка авторизации (наследование доверия)
      Ваша мысль о том, что /«почта требует авторизации через телефон, а
      значит, пользователь уже авторизован»/, юридически называется
      *делегированием авторизации*.   * Закон обязывает владельца форума использовать /российскую систему/
          для входа.
        * Яндекс ID или VK ID — это и есть авторизационные информационные системы.
        * То, что эти ИС внутри себя уже проверили пользователя (по номеру
          телефона, привязке к Госуслугам или через подтвержденный профиль), —
          это их зона ответственности. Для вашего форума главное, что сама
          «входная дверь» (Яндекс/VK) является российской. 3. Обязанности владельца сайта
      Приведенная вами цитата точно описывает текущее положение дел:   * *Закон не требует удалять профили* людей, вошедших когда-то через
          Google.
        * *Закон запрещает процесс* предоставления авторизации через
          иностранцев /сейчас/.
        * Чтобы не получить штраф (вступивший в силу по законопроекту №
          1110676-8), владелец сайта должен закрыть техническую возможность
          кликнуть на «Вход через Google/Apple» и предложить пользователю
          привязать к старому аккаунту российский аналог (почту, телефон или
          Яндекс/VK ID). ------- Но лучше всё это ещё уточнить.    
    • santy
      Актуально, по лучше перенести обсуждение в офтопик.
        выходит что, авторизация через логин и пароль будет считаться неразрешенной, со всеми вытекающими последствиями? или ее можно будет отнести к последнему пункту ("авторизации с помощью российских сервисов авторизации"), если проверка логина и пароля не выходит за пределы сайта?
×