Dimitr1s
Advanced Member | Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
XenoZ
Цитата:| и речь идет не о попытке, а именно о уже свершившемся событии. Т.е. в случае Indirect Access Джетика не перехватывает попытки, а лишь информирует о том, что уже произошло. |
Давай определим, что ты считаешь свершившимся событием, что "считает" Джетика и что на самом деле происходит. Возьмём выше упомянутый PCFlank Leaktest, загружаем в память, выполняем код до момента введения в строку символов и нажатия "Далее>" (можно заранее посчитать хэш, и открыть IE, чтоб не было лишних запросов), происходит Событие: Leaktest пытается передать набранное в строке, через IE, вызывая системные функции, о чём Джетика уведомляет:
(запуск дочерних процессов я пропустил, рассмотрим это событие) Можно взять любой анализатор трафика, если есть сомнения. Если бы ты был прав что: "срабатывает она "по факту", когда уже поздно "пить боржом" и "речь идет не о попытке, а именно о уже свершившемся событии.", должна была бы состояться отправка пакетов на www.pcflank.com:80 через iexplore.exe, т.к. этим событие должно завершится. Однако ни чего подобного не происходит, запрос можно держать сколько угодно долго, ни одного пакета не уйдёт. Отсюда вывод: Событие не свершилось, попытка перехвачена Джетикой.
Если под Событием ты имел ввиду, отправку функции или процедуры к исполняемым файлам или в "чужие" сегменты, то значения не имеет на каком этапе сделать перехват, главное что бы цепочка не продолжилась.
Цитата:| Применительно к первому событию, например, Джетика сообщает, что приложение А уже внедрило библиотечку в адресное пространство приложения Б. И блокируется здесь, по сути, не само внедрение, поскольку оно уже свершилось, а работа цепочки при обнаружении данного внедрения. |
Тут замечал, когда загружает, а когда стопит до загрузки (правда на старых версиях, как сейчас надо посмотреть как-нибудь), но опять же при запрещении, происходит останов всех вовлечённых, есть время разобраться без последствий и в сеть точно ни чего не сольётся.
Всё это ИМХО конечно.
regboard
Цитата:| Если процессу разрешить косвенный доступ, что делает эксплоид дальше Джетику не волнует. |
Без комментариев.
Цитата:| Ведь многие программы без него не работают. |
Да большинство вредоносного софта, слить информацию не смогут. Нормальным программам запрещать косвенный доступ не к чему.
Цитата:| Это к тому, что проактивка Джетики должна видеть (если она есть). |
Чего она должна здесь увидеть:
Цитата: OLE(Object Linking and Embedding)
InternetExplorer.Application.1
{0002DF01-0000-0000-C000-000000000046}
xxtp://www.pcflank.com/pcflankleaktest/leak1test.php?ID=
d:\test\release\PCFlankLeaktest.pdb
PCFlank Leaktest - Launching IE
PCFlank Leaktest - Entering custom "test" data
PCFlank Leaktest - Viewing test results |
если можно подробно? |
Всего записей: 1924 | Зарегистр. 02-07-2006 | Отправлено: 06:25 28-02-2009 | Исправлено: Dimitr1s, 06:39 28-02-2009 |
|
). 
), да и перезапустить Джетику занимает несколько секунд. 
