| Форумы
ЧАТ |
Орешник |
|
| Форумы -» | Основная («Начинающим»)/ Базы / WinAPI / Компоненты / Сети / Media / Игры / Corba и COM / KOL / FreePascal / .Net / Прочее / RSDN.ORG |
|
| ||
|
|
Новости |
Поиск |
FAQ |
Статьи |
Книги |
Новости VCL
| | Форумы ЧАТ |
Орешник |
|
| |||
| |||
| |||
« предыдущая ветвь | форум | следующая ветвь »
CBT_HOOK ! [D6, WinXP]
psa247 © (2006-02-12 17:50:00)Здравствуйте ! Почему CBT_HOOK не действует на окно сервиса ?
kaZaNoVa (2006-02-16 16:05:00) [1]Игорь Шевченко © (16.02.06 15:43) [55]
> Ошибаешься.
ясно, признаю свою неправоту.
> Но речь, если ты помнишь, шла не об этом, а о том, что
> антивирус надо выбрасывать, по твоему утверждению
думаю всё-же не стоит :)
Игорь Шевченко (2006-02-16 15:43:00) [2]
> если я в чем-то ошибаюсь, заранее прошу извинить меня, сам
> никогда антивирусы не писал
Ошибаешься.
> например если на дискете есть зараженный вирусом EXE-файл-
> то при открытии такой дискеты из проводника (считывание
> иконок) антивирус находит зараженный файл и ругается ...
>
Разумно, это он и должен делать. Файл открывается проводником, читается.
Но речь, если ты помнишь, шла не об этом, а о том, что антивирус надо выбрасывать, по твоему утверждению.
> далее, если зараженный файл просто по XOR'ить то конечно
> уже не находить ничего
но в этом случае он перестает быть зараженным.
> в любом случае антивирус для своего анализа считывает часть
> файла, пусть и небольшую, но это затрата системных ресурсов,
>
Любой чтение файла есть затрата системных ресурсов. Абсолютно любое. В данном случае файл читается проводником, что тоже является затратой системных ресурсов, так как в процессе извлечения иконки системой выполняется масса увлекательных действий.
> и каждый сам в праве выбирать, риск и быстродействие, либо
> задержки и некоторый уровень защиты
Безусловно. Но на этом форуме выбор будет направлен в сторону увеличения уровня защиты, в отличие от других форумов.
kaZaNoVa (2006-02-16 14:59:00) [3]Игорь Шевченко © (16.02.06 14:23) [53]
У тебя, прости, откуда такие сведения ?
из наблюдений за его работой.
формат файла часто можно узнать, прочитав начало файла ... (PE-заголовок там или еще что-нить характерное)
> Кроме того, на свете очень много файлов, чей формат
> распознать не под силу ни одному антивирусу.
конечно, и соответсвенно он ин и не проверяет ...
наблюдения, которые мне дают отснования делать подобные выводы- например если на дискете есть зараженный вирусом EXE-файл- то при открытии такой дискеты из проводника (считывание иконок) антивирус находит зараженный файл и ругается ...
далее, если зараженный файл просто по XOR'ить то конечно уже не находить ничего, а если exe- файл просто переименовать - то находит ..
вывод - в любом случае антивирус для своего анализа считывает часть файла, пусть и небольшую, но это затрата системных ресурсов, и каждый сам в праве выбирать, риск и быстродействие, либо задержки и некоторый уровень защиты
..
если я в чем-то ошибаюсь, заранее прошу извинить меня, сам никогда антивирусы не писал
Игорь Шевченко (2006-02-16 14:23:00) [4]kaZaNoVa © (16.02.06 14:16) [52]
> возможно и ошибаюсь, но обычно антивирус обязательно считает
> часть файла, чтобы распознать формат
У тебя, прости, откуда такие сведения ?
Кроме того, на свете очень много файлов, чей формат распознать не под силу ни одному антивирусу.
> а в это время доступа к файлу то еще нет ..
Как ты понимаешь, системный сервис NtOpenFile, который и перехватывает собственно, антивирус, сам читает какие-то данные, относящиеся к файлу, и доступа в это время к файлу тоже "-то еще нет", однако никого подобная задержка не беспокоит.
kaZaNoVa (2006-02-16 14:16:00) [5]Игорь Шевченко © (16.02.06 13:09) [51]
> Зачем проверять любой файл
возможно и ошибаюсь, но обычно антивирус обязательно считает часть файла, чтобы распознать формат, а в это время доступа к файлу то еще нет .. и после того, как распознает формат, он либо проферяет файл дальше, либо считает его неопасным и не проверяет...
так как вначале он всё-же анализирует - то можно, имхо, считать, что любой антивирус с настройками "проферять файлы по формату" - проверяет все файлы.
Игорь Шевченко (2006-02-16 13:09:00) [6]kaZaNoVa © (16.02.06 13:00) [50]
> любой "нормальный" антивирус, имхо, проверяет файл, если
> его открыли для записи
Ты ошибаешься. Зачем проверять любой файл ?
kaZaNoVa (2006-02-16 13:00:00) [7]любой "нормальный" антивирус, имхо, проверяет файл, если его открыли для записи .. это и есть зло .. некоторые вообще всегда проверяют все файлы, даже если с него просто иконку взять надо .. (проводник Windows)
Игорь Шевченко (2006-02-16 12:10:00) [8]Rouse_ © (16.02.06 11:51) [48]
Видишь ли, я с антивирусами не первый день знаком, но с такой особенностью их поведения сталкиваюсь впервые. И что-то мне подсказывает, что если до сих пор не сталкивался, то это явление атипичное. В связи с этим, предлагается рассматривать поведение конкретного антивируса, как глючное, отчего совет "отрубать антивирусы во всех случаях", к которого весь оффтопик начался, является безусловно вредным.
Rouse_ (2006-02-16 11:51:00) [9]
> С какой стати антивирус его сканирует при каждом открытии ?
Все вопросы к разработчикам антивируса... :)
Если производиться перехват доступа к файлу но список проверенных файлов не храниться (с просчетом КС к примеру), то такой подход вполне уместен :)
ЗЫ: ИМХО мы свалились в глобальный оффтоп :)
Deka (2006-02-16 11:48:00) [10]Обычно антивирусам можно "объяснить" какие файлы надо игнорировать и не проверять их. Например поставить в список исключения сканирования *.dbf - вот и нет тормозов с файлами баз данных. Кстати может быть и у веба есть такой списочек?
Игорь Шевченко (2006-02-16 11:21:00) [11]Rouse_ © (16.02.06 11:13) [45]
Я все-таки не понимаю. Вот есть у меня файл, куда данные пишутся и читаются. Файл большой, что туда пишется - известно моей программе и Аллаху. С какой стати антивирус его сканирует при каждом открытии ?
Rouse_ (2006-02-16 11:13:00) [12]В документации написано что можно переключить в настройках с проверки всех файлов на проверку по формату... Естественно нашего расширения там нет... именно это мы и пишем в нашей инструкции, либо отключить мониторинг либо переключить на сканирование по формату, но представь когда пользователь Старая Бабулька - Сметчица (не секрет что во многи конторах о сисадминах слышали - что есть такой зверек, но не более ;) )... И как ей обьяснить последовательность действий? У нас тут в службе тех поддержки телефоны разрываются, очень часто девченки проводят банальный курс первичных навыков владения компом пользователю по телефону. Предложишь отказаться от таких пользователей? :)))
Игорь Шевченко (2006-02-16 10:48:00) [13]Rouse_ © (16.02.06 09:18) [43]
> Проверять не на чем, но по логике вещей да
Выкинь такой антивирус в корзину. Моя искренняя рекомендация. Или все-таки, может в документации что-то написано на эту тему ? :)
Rouse_ (2006-02-16 09:18:00) [14]Проверять не на чем, но по логике вещей да... Но IMHO только в том случае если они могут нести в себе исполняемый или интерпретируемый код, как это видно из Compaund File...
Игорь Шевченко (2006-02-15 15:58:00) [15]Так как быть с файлами немеряного размера ? Оно их тоже будет сканировать каждый раз при открытии ?
Rouse_ (2006-02-15 15:28:00) [16]да нет - говорю как есть :)
Игорь Шевченко (2006-02-15 12:14:00) [17]Rouse_ © (15.02.06 12:09) [39]
Это же какие тормоза, пардон. А если у меня файл базы данных на пару десятков гигабайт ? Может, у него из сканирования можно исключать файлы ?
Сдается мне, что-то ты не договариваешь...
Rouse_ (2006-02-15 12:09:00) [18]
> Первый вопрос - а что, антивирус всегда полностью сканирует
> файл при любом открытии ?
Веб сканирует...
> А зачем....?
хз :) У касперского AFAIK это решено контрольной суммой в дополнительном NTFS потоке...
Игорь Шевченко (2006-02-15 11:24:00) [19]Rouse_ © (15.02.06 10:45) [37]
> Т.е. "Уважаемые пользователи - для использования нашго продука
> настоятельно рекомендуем вам сменить антивирус". Так чтоли?
>
Нет, почему же, можно продукт сменить. Альтернатива.
> А нет никакого таймаута - он просто пытается открыть, чуть
> задумывается и вываливается с запрещением доступа...
Первый вопрос - а что, антивирус всегда полностью сканирует файл при любом открытии ?
Второй вопрос - А зачем....?
Rouse_ (2006-02-15 10:45:00) [20]
> Смени антивирус.
От те здрасте, это как?
Т.е. "Уважаемые пользователи - для использования нашго продука настоятельно рекомендуем вам сменить антивирус". Так чтоли?
Уж проще выйти на самого веба и с ними попробовать решить проблему, что собственно мы сейчас и будем делать...
> А можно ссылку на документацию, где указан таймаут ?
А нет никакого таймаута - он просто пытается открыть, чуть задумывается и вываливается с запрещением доступа...
| |
Страницы: 