Presentation لكيفية عمل الفيروس وطريقة عمل الأنتي في

انا لم انتهي من قرائتها بس فعلا شرح مميز ياايمن ماشاء الله

جزاك الله خيرا على طرحها

لي عوده للمناقشه بعد الانتهاء منها

ربنا يباركلك . انا موجود ان شاء الله لأي سؤال .

شكرا لك اخي aymoon1987

اريد ان اضف معلومة تخص طريقة ال Sig Based لل AV Scanner بإستعمال ال Regular Expressions .

في ال Presentation :

	 
 8BEF 33C0 BF?? ???? ??03 FDB9 ??03 FDB9 ??0A 0000 8A85 ???? ???? 3007 47E2 FBEB

		يمكن إستعمال ال WildCard  كالاتي :

 8BEF 33C0 BF?? * ??03 FDB9 ??03 FDB9 ??0A 0000 8A85 * 3007 47E2 FBEB

ومعناها :

إبحث على كل ماهو بين النيبل BF?? و ??03 وكذلك إبحث كل ماهو بين النيبل 8A85 و 3007 الى ان تصل الى النيبل FBEB .

والسلام عليكم

علامة الأسترسك * تحل محل اي عدد من الأكواد ولكن علامة ال? تحل محل حرف واحد فقط.

الكود الأول صحيح حيث أنه يجب أن يكون هناك في هذا الكود مثلا BF?? ???? ??03 عدد أي 8 حروف hexa ويجب أن يكون العدد 8 وان كان 9 أو أي عدد آخر فلا يتحقق شرط الفيروس.

لقد استخدمت بصمة الفيروس في عمل أنتي فايروس بسيط للفايروس TIMID ويجب أن يكون هناك العدد المعروف ولا يجب أن أستخدم علامة الأسترسك .

اقتباس

الكود الأول صحيح

اخي aymoon1987 ومن قال ان الكود الاول خاطئ .

اقتباس

ويجب أن يكون العدد 8 وان كان 9 أو أي عدد آخر فلا يتحقق شرط الفيروس.

ياخي aymoon1987 إذا كان الفارق 8 فإن * سوف تبحث عن 8 مادم هناك نقطة بداية ونقطة نهاية مثلا :

BF?? ???? ??03

ونضع ال * :

BF?? * ??03

فالبحث سوف يبدى من Last Bit للنبل حتى First Bit للنبل الاخير يعني إذا كان الفارق ثابت فالناتج سوف لن يكون اكثر من هذا الفارق

اقتباس

ويجب أن يكون هناك العدد المعروف ولا يجب أن أستخدم علامة الأسترسك

إذا انت ياخي aymoon1987 لم تفهم الفارق جيدا بين إستعمال * و ؟

انظر هنا وسوف تدري عن ماذا اتحدث

مع تحياتي

شكرا لك أخي mohfa

ان الكود الثاني صحيح يمكنك أن تستخدمه للإمساك بالفيروس ولكن هناك سببين لعدم استخدامه

1 - من الممكن أن يخطيء ويمسك فايل آخر سليم على أنه فيروس اذا كان الفايرس الثاني يحتوي على أي عدد من الحروف أي انك اذا استخدمت الأسترسك هنا BF?? * ??03 من الممكن أن تكون BF?? 33C0 ??03 ومن الممكن أن تكون BF?? 33C0 FDB9 0000 ??03 كل ما نريده لمعرفة الفايروس أن يكون هناك فقط أربع حروف مكان الـ????.

2 - وهذه أهم أن ذلك سيبطيء جدا من الأنتي فايروس الخاص بك حيث انه سيأخذ وقت كبير في البحث داخل ملف واحد فما بالك بهارد كامل ؟ حيث انه سيبحث عن أي string يبدا ب BF?? وينتهي بـ ??03 .

لذا فمن الأأمن أن نضع عدد الحروف .

اذا استوعبت المثال فإنك سوف ترى انه يستخدم البايت الرابع والخامس عند وضع علامة الفيروس لذا فإنه من المعلوم عندنا عن بصمة هذا الفيروس ان في البايت 4 والبايت 5 حرفين VI لذا فيجب عندنا استخدام :-

???? ???? ???? (V) (I)

اما اذا استخدمنا

* (V) (I)

فإنه سوف يبحث في كل الملفات من بدايتها الى أن يصل الى ملف به هذين الحرفين حتى وان لم يكن هذا الملف مصاب بالفيروس

أرجو ان أكون أوضحت فكرتي وان تصححني ان كنت خاطئا .

اما عن الفرق بين العلامتين فأشكرك انا اعلم الفرق بينهم .

هل رايت الرابط

نعم رأيت الرابط واعتقد اني وضعت هذا الكود مفصل في نهاية ال presentation .

مع وجود اختلافات بسيطة . ولكن لا يوجد به اي شيء للإستفادة عن الفرق بين العلامتين غير السطر *.* والذي يعني انه يبحث عن اي ملف بأي امتداد .

ماذا ترى في هذا الرابط كي توضحه ؟ انا لا ارى غير ذلك .

ياخي aymoon1987 باي نظرة رائت الرابط الذي اعطيته لك

كان قصدي طبق إستعمال ال * مع الفيروس الموجود في الرابط وسوف ترى النتيجة

إبداء القراءة من

// Function to determine whether the file specified in FNAME is useable.

كل ما فهمته منك أولا انك تريد تطبيق علامة ال * بدلا من علامة ال? في الأنتي فيروس ولقد وضحت وجهة نظري في سببين لعدم استخدام علامة الأسترسك (*).

لم اتطرق الى الفيروس نفسه في ذلك .

اما عن الكود الذي يستخدمه الفيروس في البحث عن الملفات والكشف اذا كان من الممكن استخدامها ليصيبها هذا شيء آخر .

ياخي و عزيزي aymoon1987

اقتباس

كل ما فهمته منك أولا انك تريد تطبيق علامة ال * بدلا من علامة ال? في الأنتي فيروس

من قال لك اني اريد فعل ذلك انا قلت يمكن إستعمالها

الكسبرسكي و النود وحتى ال ClamAV يستعملون هذه التقنية .

كنت يمكن ان اتطرق معك في بعض الامور الاكثر دقة في هذا ولكن عذرا لايمكنني لإنك لم تفهم حتى ماكنت اقصده .

السلام عليكم ورحمة الله وبركاته .

آسف لعدم فهمي قصدك وأرجو من القراء الاستفادة من اخطائي ومن اي معلومة طرحت .

وعليكم السلام ورحمة الله وبركاته .