Легенда:
 новое сообщение
 закрытая нитка
 новое сообщение
 в закрытой нитке
 старое сообщение
|
- Напоминаю, что масса вопросов по функционированию форума снимается после прочтения его описания.
- Новичкам также крайне полезно ознакомиться с данным документом.
|
Пробовали несколькими? Попробовать отключить... 11.06.08 10:05 Число просмотров: 2736
Автор: DPP <Dmitry P. Pimenov> Статус: The Elderman
Отредактировано 11.06.08 10:11 Количество правок: 3
|
> Имеется дамп базы данныйх форума mysql размером около 500 мб.
> Нужно его проверить антивирусом, желательно несколлькими,
> проблема в том что судя по скорости проверки (около 1 сек
> для такого файла явно мало)
Пробовали несколькими? Попробовать отключить "интеллектуальную проверку" в настройках антивирусов, может помочь.
> антивирусы проверяют не весь файл а только его хидеры
Хедер чего, базы? Вряд ли. Антивирус определяет тип файла по его содержимому, а не по расширению, ищет "точки входа"/"точки начала выполнения кода". Далее анализирует бинарный или макро код. Поскольку при заражении вирус не сможет правильно скорректировать код неизвестной екзешки так, чтоб тело вируса выполнялось в середине или в конце программы, он ее модифицирует так, чтобы он выполнился в начале...
> как сделать так чтобы антивирус перелопатил весь 500 мб
> файл с максимальным уровнем проверки. ?
... искать вирус тупым сравнением фрагмента дампа базы с шаблоном из базы вирусов не имеет смысла, поскольку давно уже появились полиморфные вирусы, которых не найти тупым сравнением.
Итого: 1) Тупой поиск бессмысленен или займет много времени (годы для файла в полгига). 2) Вирус, хранящийся в базе абсолютно безопасен, так как выполнить его невозможно простым нажатием на [Enter], а так же самая СУБД никогда не будет выполнять содержимое записей БД. 3) Одной секунды достаточно, чтобы проверить хранимые процедуры, если антивирус это делать умеет. 4) Вирусный монитор все равно выловит вирус при попытке заражения.
Если у вас в базе есть поля, в которых хранятся выполняемые программы, то выдернете их в файлы при активном "мониторе".
|
|
<software>
|
Проверить антивирусом дамп mysql базы 11.06.08 09:22
Автор: Indepth Статус: Незарегистрированный пользователь
|
Имеется дамп базы данныйх форума mysql
размером около 500 мб.
Нужно его проверить антивирусом, желательно несколлькими, проблема в том что судя по скорости проверки (около 1 сек для такого файла явно мало)
антивирусы проверяют не весь файл а только его хидеры
как сделать так чтобы антивирус перелопатил весь 500 мб файл с максимальным уровнем проверки. ?
|
|
На сайт, использующий твою БД, можно попробовать натравить... 11.06.08 17:36
Автор: Den <Denis> Статус: The Elderman
|
|
На сайт, использующий твою БД, можно попробовать натравить офлайновый интернет браузер. Естественно, что в системе с таким браузером должен использоваться хороший антивирь с параметром проверки всех файлов.
|
|
Странно, но гугль молчит на эту тему :) 11.06.08 10:55
Автор: Garick <Yuriy> Статус: Elderman
|
Необходим реалтайм или ондеманд скан?
для второго - наброски...
Писать скрипт, который извлекает перебором (есть же какое нить индексное поле) из БД контен, который потенциально может быть заражен в папку*. В эту папку натравливатся антивир. По логу АВ или отсуствию файлов (если АВ удалил или утащил в каратнин) чистятся записи.
Хотя можно и проще. Вылить все записи в файлы*, проверить АВ, залить выжившие (прошедшие проверку) :)
* У реалтайм сканера (если есть таковой) поставить или исключение на папку или выгрузить, что бы дал выгрузить и не заклинил выгрузку.
|
|
Пробовали несколькими? Попробовать отключить... 11.06.08 10:05
Автор: DPP <Dmitry P. Pimenov> Статус: The Elderman
Отредактировано 11.06.08 10:11 Количество правок: 3
|
> Имеется дамп базы данныйх форума mysql размером около 500 мб.
> Нужно его проверить антивирусом, желательно несколлькими,
> проблема в том что судя по скорости проверки (около 1 сек
> для такого файла явно мало)
Пробовали несколькими? Попробовать отключить "интеллектуальную проверку" в настройках антивирусов, может помочь.
> антивирусы проверяют не весь файл а только его хидеры
Хедер чего, базы? Вряд ли. Антивирус определяет тип файла по его содержимому, а не по расширению, ищет "точки входа"/"точки начала выполнения кода". Далее анализирует бинарный или макро код. Поскольку при заражении вирус не сможет правильно скорректировать код неизвестной екзешки так, чтоб тело вируса выполнялось в середине или в конце программы, он ее модифицирует так, чтобы он выполнился в начале...
> как сделать так чтобы антивирус перелопатил весь 500 мб
> файл с максимальным уровнем проверки. ?
... искать вирус тупым сравнением фрагмента дампа базы с шаблоном из базы вирусов не имеет смысла, поскольку давно уже появились полиморфные вирусы, которых не найти тупым сравнением.
Итого: 1) Тупой поиск бессмысленен или займет много времени (годы для файла в полгига). 2) Вирус, хранящийся в базе абсолютно безопасен, так как выполнить его невозможно простым нажатием на [Enter], а так же самая СУБД никогда не будет выполнять содержимое записей БД. 3) Одной секунды достаточно, чтобы проверить хранимые процедуры, если антивирус это делать умеет. 4) Вирусный монитор все равно выловит вирус при попытке заражения.
Если у вас в базе есть поля, в которых хранятся выполняемые программы, то выдернете их в файлы при активном "мониторе".
|
|
|
подробно о проекте
Анализ криптографических сетевых...
