آنتی تروجانی برای همه تروجانها بدون نیاز به آپدیت

[farshid_vb]

سلام من یک برنامه آنتی تروجان نوشتم که بدون استفاده از کد نمونه امضاء میتونه تمامی تروجانها را شناسائی و پاکسازی کنه
البته مهمتر از همه میتونه تمامی خرابی های تروجانهای دیگه را هم از بین ببره
من اگر اساتید اجازه بدن نمیخوام در حال حاظر سورس برنامه را قرار بدم
چون پروژه پایان ترم دانشگاهی من هستش
میخوام دوستان ببینن و نظراتشون را بفرمایند

ممنون میشم اگه روی تمام تروجانهایی که میشناسن و کار نکرد
برای من تروجان مورد نظر را ایمیل کنن تا برنامه خودم را درمقابلش قوی کنم
نکته مهم این آنتی اینه که نیازی به آپدیت نداره
خودتون ببینین و نظر بدین
درضمن بخاطر سوروس کدش که از ریجستری استفاده شده آنتی ویروسهای
nod32 و ...
ممکنه بصورت یک برنامه وی بی بشناسن
میتونین برنامه را در سایت
www.virustotal.com
چک کنید و مطمئن باشید یک برنامه مخرب نیستش
یا حتی میتونید در یک محیط مجازی مثل
virtual box
پر از هرنوع تروجانی کنید و برنامه را اجرا کنید
من که با بیش از 25 نوع تروجان آزمایش کردم و بدون تغییر کدش حتی یک خط هم اضافه نکردم و به راحتی شناسائی و پاکشون کرد البته
کارهاش را هم بگم :
1- پاک کردن autorun.inf
2- تمیز کردن پروسس
3- تمیز کردن ریجستری
4- اصلاح اشکالات ایجاد شده توسط تروجانها مثله :
folder option , hide file , lock right click , safe mode nashodan ,....
اگر تروجانی پیدا کردین که برنامه نتونست غیرفعالش کنه
برام ایمیلش کنید
ممنون
باز هم معذرت و شرمنده که نمیتونم سورسش را بزارم
از دوستان خواهش میکنم این تاپیک را حذف نکنن و اگر جای درستی قرار ندادم لطف کنن و جابجاش کنن
ممنون میشم

آدرس فایلش
fav.zip - 764 KB

http://xlpar.com/0kqkca9k8peb/fav.zip.html

http://s1.xlpar.com/files/5/xx9ix6cyk91qf2/fav.zip

[Mask]

شما نیاز نیست سورس کد بزارید.
روش کار برنامتون رو بگید تا بشه بیشتر تحلیلش کرد.
سوال : رجیستری و شل رو چطوری مانیتور میکنی؟

[farshid_vb]

بله من هم عرض کردم که آنتی ویروس نود و خیلی از آنتی های دیگه به عنوان یک تروجان میشناسن چون برنامه من هم درکدهاش به ریجستری دست پیدا میکنه و میدونید که هر برنامه که این کار را بکنه بصورت پیش فرض یک برنامه مخرب شناخته میشه . مخصوصا به run و ...
برنامه اول هرچی برنامه که در تسک هست را میبنده و بعد سیستم را بصورت safe بالا میاره و شروع به پاکسازی مجدد تسک میکنه
چون میدونید خیلی از برنامه های مخرب حتی میتونن در حالت سیف هم بالا بیان
بعد از خالی کردن تسک شروع به پاکسازی هرچی که در run هست میکنه
یعنی startup ها را غیر فعال میکنه و البته یکی از بدی های برنامه من هم همینه
و در ضمن خوبیش هم همینه
چون دیگه هیچ برنامه ای اول ویندوز اجرا نمیشن ولی بدیش اینه که حتی idm و آنتی ها هم دیگه اجرا نمیشن
البته با اجرای
یکبار این برنامه دیگه نیازی به آنتی تروجانی نخواهید داشت
چون میدونید که
مثلا نود 32 حتما باید نمونه امضائی از یک تروجان داشته باشه
من یه برنامه کوچیک میتونم بنویسم که هیچ آنتی نتونه
تاکید میکنم هیچ آنتی نتونه شناسائیش کنه و خودشو در ران میزاره و بالا میاد و ....
خوب راهشو بلدم
باور کنین من خیلی روی این آنتی زحمت کشیدم و تا حالا چند تا تروجان کوچولو هم نوشتم
یکیش همون برنامه
microsoft game
که شاید دیده باشین و بهش آلوده شده باشین
این تروجان یه بازی سرکاری هستش
وخیلی راحت میشه بدون نیاز به هیچ برنامه اضافی اونو غیر فعال کرد
کارش هم اینه که پوشه های ویندوز و درایو c , d ار sheard میکنه و ....

خوب برسیم به برنامه آنتی خودم
لطفا بفرمائید کسی تروجان جدید که خفن باشه داره ؟
نشه به راحتی غیر فعالش کرد
چون من خفن ترین چیزی که دیدم این بود که خودشو جای سرویسهای ویندوز قرار می داد و به این راحتی هم حذف نمی شد

لطفا پاسخ

[farshid_vb]

درمورد مانیتور کردن هم بگم برنامه درحال تکمیل شدنه و اگه بتونم با کمک چک کردن نمونه امضاء امنیتی فایلها بفهمم که برنامه ای که در استارت قرار داده شده امن شده هست یا نه
میشه از حذف کردن همه برنامه ها تسک و run جلوگیری کرد
حتی اگه 10 تا تروجان روی سیستم در حال ووول خوردن باشه هم به راحتی تمیزش میکنه
برنامه فقط آنتی تروجان هست و هنوز نتونستم راحتی به ذهنم برسه که جلوی اجرا شدنش را گرفت
راستی کسی برنامه ای بلد نیست بنویسه که بتونه پروسس را فریز کنه ؟
من با برنامه proccess hacker
کار کردم چیزه توپیه و میتونین یک یا چند پروسس را فریز کنید و اون برنامه کاملا قفل میشه و میتونین باهاش تروجانهایی که چند تایی هست را حذف کنین
اونهایی که اگه یکی را ببندین دومی اجرا میشن
اگه بشه سورسش را بدست آورد که چه جوری فریز میکنه و برنامه حتی اگه توش تایمر هم باشه قفل میشه
راحت میشه تمام تروجانهای دوتایی را هم حذف کرد
بدی برنامه من اینه که باید بعد از تنظیمات اولیه سیستم بصورت safe mode بالا بیاد
که البته این کارو برنامه انجام میده ولی
جدیدا به تروجانهایی برخوردم که safe mode
اون هم غیرفعال میکنن البته این مشکل هم حل شد

این هم برنامه
reg shot
برای بررسی تغییراتی که تروجان ها یا هر برنامه در ریجستری میده متوجه بشیم
http://s1.xlpar.com/files/7/wj9xvjyd...0v2.0.1.63.zip
البته پروسس هکر را هم میزارم

[farshid_vb]

http://s1.xlpar.com/files/1/skmdp3z7...cker%202.6.zip
این هم لینک برنامه
process hacker
که میتونین باهاش یه برنامه در تسک را فریز کنین
اگه سورسی سراغ دارینکه چنین کاری را بکنه ممنون میشم بفرمائید

[saeedvir]

آقا میشه این برنامه ها را یه جا دیگه آپلود کنید ... !

[farshid_vb]

لطفا یه جایی برای آپلود معرفی کنید مثل اینکه 2shared 4shared rapidshare و ... را دوستان فیلتر کردن و نمیشه آپلود کرد درضمن اگه لطف کنین تروجان جدید دستتون رسید که خیلی خفن و قوی باشه را برام بفرستین ممنون میشم راستی سورس آماده برای تنظیم boot.ini به حالت safe mode دم دست دارین ممنون میشم بدین چون خودم یه تکه کد برای برنامه آنتیم نوشتم که میاد و فایل boot.ini را باز میکنه و انتهای خطهای مربوط کد مربوط به safe modo اضافه میکنه ولی تروجانی برخوردم که پدر boot.ini را در میاره و اونو بهم میریزه و فرمت استانداردش را تغییر میده اگه چیزی سراغ دارین ممنون میشم
http://persiandrive.com/748011
لینک بالا هم آپلود شده برنامه آنتی خودمه هستش
که دوست عزیزمون خواستن براشون آپلود کنم
راستی شکلی از صفحه اصلی برنامه هم میزارم شاید نظری درخصوص تغییر شکلش بدین
چون اصلا شبیه یه آنتی تروجان قوی نیست

[lord_viper]

راستی کسی برنامه ای بلد نیست بنویسه که بتونه پروسس را فریز کنه ؟
من با برنامه proccess hacker
کار کردم چیزه توپیه و میتونین یک یا چند پروسس را فریز کنید و اون برنامه کاملا قفل میشه و میتونین باهاش تروجانهایی که چند تایی هست را حذف کنین
اونهایی که اگه یکی را ببندین دومی اجرا میشن
اگه بشه سورسش را بدست آورد که چه جوری فریز میکنه و برنامه حتی اگه توش تایمر هم باشه قفل میشه

هر پروسه ای حداقل یک ترد داره که اطلاعات از طریق اون برای پردازش به cpu میره با استفاده از تابع SuspendThread میتونین ترد پروسه ها رو ببندین در این حالت اون برنامه یا پروسه به حالت Freez در میاد(توجه داشته باشین بعضی از برنامه ها بیشتر از 1 ترد دارن)

راحت میشه تمام تروجانهای دوتایی را هم حذف کرد

تروجانهای 2 تایی هم کافیه با استفاده از تابع SetThreadPriority اولویت پروسه خودتو بالا ببری و با TerminateProcess هر 2 رو ببندی
یا با استفاده از فرمان taskkill داس کافیه PID 2 تا پروسه رو بدین بهش به این صورت

taskkill /pid 256

taskkill /pid 1420



taskkill /pid 256

taskkill /pid 1420



taskkill /pid 256

taskkill /pid 1420



taskkill /pid 256

taskkill /pid 1420



taskkill /pid 256

taskkill /pid 1420

به صورت .bat ذخیره کنید بعد از اجرا میبینید که هر 2 پروسه به راحتی بسته میشن

[farshid_vb]

ممنون ولی من نمی خوام ببندمش فقط می خوام قفل و فریز بشه . کدی از وی بی سراغ دارین براش ؟
ممنون میشم
یا حداقل نحوه فراخوانی
SuspendThread
را میشه بفرمائید
و درمورد نحوه تنظیم سیستم به حالت safe mode
کسی نظری نداره ؟
توجه داشته باشین تنظیم safe mode را برای سیستمی که آلوده هست می خوام
مثلا دوستان نفرمایند با msconfig
چون مطمئن باشین تروجانها نمیزارن شما msconfig را باز کنین
درضمن من به تروجانهایی برخوردم که اینقدر سرعت کارشون زیاده که حتی با استفاده از taskkill
نتونستم ببندمشون
چون میدونین که تا در داس task اول اجرا بشه یک مقدار کمی طول میکشه
می خواین یه برنامه کوچولو بنویسم که نشه تویه داس تسک کیلش کرد ؟
با یه تایمر خیلی سریع که همش برنامه دوم و برنامه دوم برنامه اول را فراخوانی کنه
خوب پس به این نتیجه میرسیم تسک کیل همه جا جواب نمیده

[محسن واژدی]

راستی شکلی از صفحه اصلی برنامه هم میزارم شاید نظری درخصوص تغییر شکلش بدین
چون اصلا شبیه یه آنتی تروجان قوی نیست

سلام علیکم،برنامه تون رو تست کردم البته چون آنتی ویروس روی سیستم من کاسپر هست واکنشی نداد.

اما شکل ظاهری برنامه تون:
- البته اگه ناراحت نمیشین، باید بگم که کمی در تنظیم ظاهر برنامه تون کوتاهی کردین همانطور که متوجه هستین استیل ظاهری برنامه در جذب کاربر تاثیر به سزایی دارد؛
از طرفی چون زحماتی را در افزودن قابلیت های مختلف به برنامه متحمل میشین ممکنه شکل ظاهر برنامه تون آنگونه که باید و شاید نتونه قابلیت هایش رو آنطور که باید و شاید به کاربری که استفادش میکنه نشون بده و باعث جلب نظرش بشه

همینطور یکمی فضای رم رو زیاد میگرفت

انشاء الله موفق باشید
یاعلی

[farshid_vb]

سلام
mohsenvj
جان
ممنون که لطف کردین و تستس کردین
راستش اگه لطف کنین و بتونین رویه یه سیستم مجازی هم تسش کنین یا روی یه سیستمی که آلوده شده و نتیجه را هم بفرمائین ممنون میشم
راستش من نخواستم از اکتیوایکس هایی پوسته استفاده کنم
چون میخواستم برنامه من راحت روی هر سیستمی اجرا بشه . و حتی نیاز به setup هم نداشته باشه
البته اگه بدونم برنامه خوب کار میکنه میشه با یه گرافیک کار کامپیوتری صحبت کنم که قشنگش کنه

[محسن واژدی]

راستش من نخواستم از اکتیوایکس هایی پوسته استفاده کنم
چون میخواستم برنامه من راحت روی هر سیستمی اجرا بشه . و حتی نیاز به setup هم نداشته باشه
البته اگه بدونم برنامه خوب کار میکنه میشه با یه گرافیک کار کامپیوتری صحبت کنم که قشنگش کنه

البته برای پوسته برنامه تون مشکلی نیست از اکتیو ایکس هم استفاده نکنین فقط کافیه تناسب اندازه در میان برخی از بخش ها درست تر بشه به عنوان مثال اون سه دکمه ای که در سمت راست فرم برنامه تون بود رو هم اندازه کنین، خصوصیات فونتی شون رو یکی کنین
یا مثلا تصاویر بخش About یکمی زیادی مستطیلی شده بودند همچنین افت کیفیت داشتن (البته شاید خودتون برای کاهش حجم برنامه کیفیت تصاویر رو کم کرده باشین)
نمیدونم شاید هم من خیلی رو نظم ظاهری برنامه حساسم

- یه چیز دیگه اینطور که مشاهده کردم برنامه بصورت خودکار عنوان و homepage اینترنت اکسپلورر رو تغییر میداد که این میتونه برای کاربر ناخوشایند باشه و از ادامه برنامتون منصرف بشه همچنین ممکنه آنتی ویروس ها هم به عنوان malware به برنامه تون گیر بدن مخصوصا آنتی ویروس Kaspersky که خیلی به این چیزا حساسه

موفق باشید

[farshid_vb]

دوست عزیز ممنون از لطفتون
خیلی نکات ظریف و زیبایی را فرمودید
باز هم ممنون

[lord_viper]

ممنون ولی من نمی خوام ببندمش فقط می خوام قفل و فریز بشه .
کدی از وی بی سراغ دارین براش ؟
ممنون میشم
یا حداقل نحوه فراخوانی
SuspendThread
را میشه بفرمائید

این یک تابع استاندارد هست کافیه TID یا همون Thread ID رو بهش پاس بدی
نمونه مثال هم همینو تو گوگل سرچ کن

و درمورد نحوه تنظیم سیستم به حالت safe mode
کسی نظری نداره ؟
توجه داشته باشین تنظیم safe mode را برای سیستمی که آلوده هست می خوام
مثلا دوستان نفرمایند با msconfig
چون مطمئن باشین تروجانها نمیزارن شما msconfig را باز کنین

بیشتر توضیح بده

درضمن من به تروجانهایی برخوردم که اینقدر سرعت کارشون زیاده که حتی با استفاده از taskkill
نتونستم ببندمشون
چون میدونین که تا در داس task اول اجرا بشه یک مقدار کمی طول میکشه

من هر ویروسی به این شکل دیدم با همین دستور بستمشون
چون تو داس فقط دستور اجرا میشه ولی شما باید تو برنامه چک کنین ایا اون پروسه وجود داره یا نه اگه نبود اونو اجرا کنهشاید تو بار 1 یا 2 پروسه ها بتونن همدیگه رو بسازن ولی تو دفعه 5 یا 10 دیگه نمیتونن
چون معمولا برای ویروس این مسئله برنامه ریزی شده که وقتی ویروس اجرا میشه این کارو بکنه اون کارو بکنه و تا بخواهد به مرحله چک کردن برسه زمان میبره

در ضمن این روش رو تازه کارها استفاده میکنند اونهایی که حرفه ای تر هستن یه dll به Explorer تزریق میکنن

می خواین یه برنامه کوچولو بنویسم که نشه تویه داس تسک کیلش کرد ؟

میخواهی من یه برنامه کوچولو بنویسم که اگه جرات داری پروسشو ببند

با یه تایمر خیلی سریع که همش برنامه دوم و برنامه دوم برنامه اول را فراخوانی کنه
خوب پس به این نتیجه میرسیم تسک کیل همه جا جواب نمیده

درسته که بعضی وقتها کارساز نیست ولی عموما کار راه اندازه

[محسن واژدی]

با یه تایمر خیلی سریع که همش برنامه دوم و برنامه دوم برنامه اول را فراخوانی کنه
خوب پس به این نتیجه میرسیم تسک کیل همه جا جواب نمیده

البته ابن کار هم قابل توقف شدن است یعنی نقطه ضعف این روش میتونه داخل نام فایلشون باشه، کافیه نام فایلشون تغییر کنه تا ارتباط اجرایی این دوفایل با هم از کاربیافته

در این حال به آسانی میتونین فایل اولی و دومی رو ببندین بدون اینکه یکی بتونه از دیگری حمایت کنه

[farshid_vb]

البته ابن کار هم قابل توقف شدن است یعنی نقطه ضعف این روش میتونه داخل نام فایلشون باشه، کافیه نام فایلشون تغییر کنه تا ارتباط اجرایی این دوفایل با هم از کاربیافته

در این حال به آسانی میتونین فایل اولی و دومی رو ببندین بدون اینکه یکی بتونه از دیگری حمایت کنه

خوب دوست عزیز برنامه تروجان کافیه هر بار نام پروسه اول یا دوم را چک کنه اگه وجود نداشت سریع از خودش یه کپی به اون نام بزاره و اجراش کنه

و اگه لطف کنین تروجانی معرفی کنین که بصورت dll کار میکنه ممنون میشم تا روش کار کنم
یا اگه ممکنه بنویسین
البته خواهشا سوء تفاهم نشه چون واسه تست برنامه آنتی می خوام

برای safe mode هم منظورم اینه که میخوام یه برنامه کوچیک باشه بتونه سیستم را بعد از ریست به حالت safe mode ویندوز روشن کنه
بدون کمک از
msconfig > boot.ini > /safeboot
چون ممکنه تروجانها به هر طریقی اونو غیر فعال کرده باشن یا ممکنه تعداد ویندوزها زیاد باشه یا ....
نمی خوام با msconfig باشه

باز هم ممنون
این پروژه پایان ترم منه . دیروز بردم دانشگاه . ماشاء الله پر از تروجانهای خوشکل مشکل بود
برنامه آنتی روی 2 تا سیستم تووووپس کار کرد
ولی روی یه سیستم بعد از پاکسازی تروجانها و ریست آخر که بالا اومد حتی به مرحله login هم نرسید و فقط یه صفحه خالی باز شد و همونجا موند
هرچند ماوس کار میکرد ولی صفحه کلید عمل نمی کرد
چراغهای numlock و ... روشن و خاموش می شد یعنی هنگ نکرده بود ....

[محسن واژدی]

خوب دوست عزیز برنامه تروجان کافیه هر بار نام پروسه اول یا دوم را چک کنه اگه وجود نداشت سریع از خودش یه کپی به اون نام بزاره و اجراش کنه

درسته میتونه، اما اگه کاربر خیلی سمج باشه میتونه، به عنوان مثلا یک کد کوچیک بنویسه که هم زمان با تغییرنام فایل ها رو هم kill کنه، کدی نظیر کدزیر سریع میتونه این دو فایل رو kill کنه:

Private Sub Command1_Click()

    Name "c:\1.exe" As "c:\1_ren.exe"

    Open "c:\1.exe" For Output As #1



    Name "c:\2.exe" As "c:\2_ren.exe"

    Open "c:\2.exe" For Output As #2



    Shell "cmd /c taskkill /f /im 1.exe"

    Shell "cmd /c taskkill /f /im 2.exe"



End Sub

دستور open رو هم واسه این نوشتم که بعد از تغییر نام هرفایل یه فایل به عنوان قفل با همان نام ایجاد کنه که پشتیبانی شون نتونه مجددا فایلی با این نام بزاره

البته جواب بنده نه بخاطر اینه که بخوام تاپیک رو به چالش بکشونم بلکه می خوام ایده ای باشه برای بستن تروجان و کرم هایی که با این روش ها در سیستم قربانی فعالیت دارند، اما فکر کنم برای این نوع فایل ها هم ایده ای در برنامتون بکار برده باشین و اگر این چنین نیست، میتونین اضافه کنین

موفق باشید

[lord_viper]

خوب دوست عزیز برنامه تروجان کافیه هر بار نام پروسه اول یا دوم را چک کنه اگه وجود نداشت سریع از خودش یه کپی به اون نام بزاره و اجراش کنه

و اگه لطف کنین تروجانی معرفی کنین که بصورت dll کار میکنه ممنون میشم تا روش کار کنم
یا اگه ممکنه بنویسین
البته خواهشا سوء تفاهم نشه چون واسه تست برنامه آنتی می خوام

اگه درست یادم مونده باشه یه ویروسی بود
svchest.exe, sgqhp.dll
که تزریق dll داشت بگردین پیدا میشه

برای safe mode هم منظورم اینه که میخوام یه برنامه کوچیک باشه بتونه سیستم را بعد از ریست به حالت safe mode ویندوز روشن کنه
بدون کمک از
msconfig > boot.ini > /safeboot
چون ممکنه تروجانها به هر طریقی اونو غیر فعال کرده باشن یا ممکنه تعداد ویندوزها زیاد باشه یا ....
نمی خوام با msconfig باشه

بعضی ویروسها Safe Mode رو از کار میندازن

Good Luck

[محسن واژدی]

بعضی ویروسها Safe Mode رو از کار میندازن

Good Luck

میشه دوباره تعمیرش کرد
فکر کنم اقای farshid_vb در پست های قبل گفته بودن که برنامه شون SafeMode رو تعمیر میکنه

[farshid_vb]

بله برنامه من میتونه safe mode را تعمیر کنه من مشکل اصلیم تویه بردن ویندوز در حالت safe mode
ولی اگه تروجان تویه حافظه باشه و سرعتش بالا باشه
باز هم سریع safe mode را در قسمت ریجستری حذف می کند
راستی چه جوری میشه سرعت اجرای برنامه ها را زیاد تر کرد ؟

[محسن واژدی]

راستی چه جوری میشه سرعت اجرای برنامه ها را زیاد تر کرد ؟

فکر کنم هرچه برنامه حجیم تر باشه زمان بارگذاریش داخل رم افزایش و در نتیجه با افزایش حجم برنامه زمان بیشتری را نیز برای اجرای برنامه صرف میکنه یه پیشنهادی که در اینجا دارم، سعی کنین تا جایی که ممکنه بخشهایی از برنامه که ممکنه را در فایل هایی dll کنار برنامه ذخیره کنین تا فقط در زمانی که بهشون احتیاج دارین بارگذاریشون کنین، که در این صورت برنامه تون فقط لازم باشه اون حجم اطلاعات که در لحظه اجرا لازم داره رو بارگذاری کنه
همچنین سعی کنین داده ها و دستوراتی که بعدا از آنها استفاده میکنین رو در همون لحظه شروع برنامه بارگذاری نکنین، در این صورت زمان بارگذاری داده ها تقسیم میشه یعنی هر بخش داده تنها زمانی بارگذاری میشن که کاربر به قسمت مربوط به اون کلیک کرده باشه که در این حالت کاربر عملا" متوجه کاهش سرعت برنامه نخواهد شد، بزارین یه مثال واستون بزنم هممون با برنامه های offic کار کرده ایم، خب چرا با اینکه حجم خیلی زیادی دارند با اجرا شدنشون سریع بالا میان، اگه توجه کرده باشین قسمت عمده ای از دستوراتشون رو در کتابخانه های dll در کنارشون نگه داری میکنن و فقط زمانی اونا رو بارگذاری میکنند که بهشون احتیاج داشته باشن البته با اشتراک گذاری دستورات از تکرارشون هم جلوگیری میشه، و مثالی که هم در مورد بارگذاری هر بخش فقط در زمانی که کاربر به اونجا مراجعه کرده بازم رو برنامه office میشه زد، مثلا در word2007 وقتی که میخوایم قالبی رو برای اشکال گرافیکی مون انتخاب کنیم، وقتی که بر روی لیست قالب ها کلیک میکنیم اون لحظه است که بارگذاری مربوط به بخش قالب ها شروع میشه، در صورتیکه بارگذاری قالبها در همون لحظه شروع برنامه انجام میگرفت هم کاری بیهوده بود در اون لحظه و هم سرعت بالا اومدن برنامه رو کاهش میداد

یه راه دیگه هم برای کاهش حجم رم و جلوگیری از افزایش درصد cpu: پیشنهاد میکنم در کارهایی که نیازمند تکرار است تا اونجایی که ممکنه از تایمر بجای حلقه ها استفاده کنین مثلا برای چک کردن درایوها از تایمر استفاده کنین
البته اگه یه تابع رو به اشتراک بزارین و نام همه درایوها رو پشت سرهم بهش بهش ارسال کنین هم سرعت انجام عملیات بیشتر از تایمر هست و هم میتونین interval تایمر رو زیاد کنین تا مثلا هر 1000 میلی ثانیه یکبار تایمر اجرا و در همون یکبار سریعا عملیات رو روی همه درایوها انجام میدهد، میتونم بگم این روش تقریبا تاثیری در افزایش سرعت cpu نداره (روشی که خودم تستش کرده ام و جواب داد) روشی مشابه نمونه زیر:
Public sub Scan(DrvNam$)
'commands
End Sub

داخل تایمر هم نام همه درایو ها رو تا z بنویسین و نام هر درایوی که به تابع ارسال میشه چک بشه موجود است یا خیر، سپس عملیات روش صورت بگیره:
Private Sub Timer1_Timer()
Call Scan("C:\")
Call Scan("D:\")
Call Scan("E:\")
Call Scan("F:\")
'
'
'
Call Scan("Z:\")
End Sub



البته این نظرات بنده بود و امیدوارم مفید باشه، اگه کم وکاستی هم بود ببخشید

موفق باشید

[محسن واژدی]

یه چیزی رو یادم رفت:
یکی دیگر از کارهایی که باعث افزایش زمان بارگذاری برنامه میشه حجم ریسورس برنامه تون هست زیر برنامه به هنگام اجرا محتویات ریسورس را نیز بارگذاری میکنه که بسته به حجم محتویات موجود در ریسورس زمان بالا آمدن برنامه نیز تغییر میکنه و هر چقدر حجم محتویات ریسورس زیادتر باشه زمان تلف شده در بالا آمدن برنامه هم بیشتر میشه، سعی کنین تا آنجایی که میتونین تصاویری که اجباری به قرارگیری آنها در ریسورس نیست را در خارج از برنامه تون بزارین

موفق باشید

[farshid_vb]

ممنون
من هم برای چک کردن درایوها از یک آبجکت drive استفاده کرده و همه درایوهای موجو را چک میکنم
درضمن میخواستم بدونم روشی برای قفل کردن یک فایل وجو داره
فایلی که پاک نشه
من یه برنامه به اسمه panda vacine نصب کردم که باهاش یه فایل autorun.inf میسازه که کاملا قفل و البته نیاز نیست بعد از ساخت فایل برنامه پاندا همیشه در تسک باشه
چون میدونم که یه برنامه میشه نوشت و باهاش همیشه یک فایل را دراختیار خودمون بگیریم ولی این کار نیاز به اون داره که برنامه همیشه فعال و اجرا باشه
ولی یه راه دیگه هم هست
که تویه یه پوشه به اسم autorun.inf یه فایل پوشه aux یا com1,lpt1 و ... بسازیم تا دیگه تروجانها نتونن پاکش کنن
ولی متوجه شدم که خیلی راحت میشه این پوشه را rename کرد ولی حذف نمیشه
یا باید تورجان به همون روشی که من پوشه های را میسازم
یکی یکی حذف کنه و در آخر پوشه autorun.inf را حذف کنه
راه دیگه هم اینه که فقط تویه ساختار ntfs کار میکنه که میشه فایلی را قفل کرد
ولی بدی اون اینه که ممکنه fat32 باشه

راستی با دستورات داس میشه به یه پوشه دسترسی everyone را denied کرد ؟
البته این کار هم فقط واسه ntfs جواب میده
و در fat32 ...
خوب میخواستم بدونم راه حلی به نظرتون میرسه ؟
چون اگه بتونم autorun.inf راه هم قفل کنم دیگه درایوهای فلش کاربر آلوده نمیشن
هرچند برای new folder.exe باید یه راه دیگه هم درنظر گرفت

برای new folder.exe من یه برنامه کوچیک نوشتم ولی هنوز تویه برنامه خودم قرار ندادم
که از روش فایل duplicate میفهمه که فایل هایی در هارد پخش شده که همشون یه اندازه و یه تاریخ دارن و بعد از کاربر میپرسه که پاک کنم یا نه ؟
البته تعداد تکرارهای بیش از 5 تا را
که این برنامه پوشه ویندوز و program file و چند تا دیگه را بیخیال میشه
واسه اینکه کاربر خیلی کمتر تویه اونها میره و اول هم درایوهای دیگه غیر از c را چک میکنه
برای اینکه کاربر خیلی کم اتفاق میتفه بره تویه document setting یا .... و احتمالش کمه که دوباره روی کرمی که تویه اون پوشه هست کلیک کنه

نظرتون چیه ؟
و نظر بدین که چه تعداد تکراری بهتره برای حداقل تکرارها درنظر گرفته بشه ؟
مثلا فایلهایی که 10 تا در کل هارد تکرار شده اند حذف بشن ؟ یا 15 تا به بالا ؟
البته این قسمت با کمک کاربر صورت میگیره و اگر کاربری یکم ناشی باشه !!!

ممنون ؟

[farshid_vb]

معذرت برنامه بعداز زدن دکمه استارت اول خودشو با فایلهایی که لازم داره در پوشه ویندوز کپی میکنه
بعد که ویندوز با safe mode بالا اومد فایل fav.exe داخل پوشه ویندوز اجرا میشه
می خواستم بدونم بنظر شما بهتر نیست تویه درایو c یه پوشه جدا درست کنم و برنامه را اونجا کپی کنم و از همونجا اجرا بشه
چون اگه برنامه از همونجا که اجرا شده در استارت ریجستری قرار بگیره ممکنه اونجای اجرا فلش مموری باشه
چون بعد از بالا اومدن ویندوز درحالت safe mode ممکنه فایلی اجرا در دسترس نباشه
البته مشکل من اینه که بعضی جاها پوشه ویندوزشون را قفل میکنن
مثله کافی نت ها و برنامه نمیتونه خودشو اونجا کپی کنه
یا حتی کل درایو c را قفل میکنن
بهتر نیست برنامه خودشو در پوشه favorit یا مثلا پوشه temp یا recycler یا ؟؟
کپی بشه و بعد تنظیم آدرس استارت آپ را همونجایی که کپی شده بدم ؟

[محسن واژدی]

ولی یه راه دیگه هم هست
که تویه یه پوشه به اسم autorun.inf یه فایل پوشه aux یا com1,lpt1 و ... بسازیم تا دیگه تروجانها نتونن پاکش کنن
ولی متوجه شدم که خیلی راحت میشه این پوشه را rename کرد ولی حذف نمیشه

درسته یه ویروس بود که قبل از ایجاد فایل autorun.inf چک میکرد که آیا فولدری هست یا خیر و اگه بود اونو براحتی rename میکرد حتی اگه داخلش فایل های غیرقابل حذف بود

راه دیگه هم اینه که فقط تویه ساختار ntfs کار میکنه که میشه فایلی را قفل کرد

اگه ممکنه کمی بیشتر راجه به این راهکار توضیح بدین، البته اگه میتونین کدی که این کار رو انجام میده رو هم بزارین میتونه مفید باشه

چه تعداد تکراری بهتره برای حداقل تکرارها درنظر گرفته بشه ؟
مثلا فایلهایی که 10 تا در کل هارد تکرار شده اند حذف بشن ؟ یا 15 تا به بالا ؟
البته این قسمت با کمک کاربر صورت میگیره و اگر کاربری یکم ناشی باشه !!!

البته این که برنامه تون به فایل هایی با بیش از 5 نسخه duplicate گیر میده میتونه بد باشه چون ممکنه یه ویروس باشه که مثلا فقط یک یا دو نسخه از خودشو در جایی مثل فلش ایجاد کرده باشه که در اینصورت برنامه تون بدلیل کمتر بودن تعداد buplicateهای این ویروسه از 5 تا بهش گیر نمیده و شناسایش نمیکنه

[محسن واژدی]

معذرت برنامه بعداز زدن دکمه استارت اول خودشو با فایلهایی که لازم داره در پوشه ویندوز کپی میکنه
بعد که ویندوز با safe mode بالا اومد فایل fav.exe داخل پوشه ویندوز اجرا میشه
می خواستم بدونم بنظر شما بهتر نیست تویه درایو c یه پوشه جدا درست کنم و برنامه را اونجا کپی کنم و از همونجا اجرا بشه
چون اگه برنامه از همونجا که اجرا شده در استارت ریجستری قرار بگیره ممکنه اونجای اجرا فلش مموری باشه
چون بعد از بالا اومدن ویندوز درحالت safe mode ممکنه فایلی اجرا در دسترس نباشه
البته مشکل من اینه که بعضی جاها پوشه ویندوزشون را قفل میکنن
مثله کافی نت ها و برنامه نمیتونه خودشو اونجا کپی کنه
یا حتی کل درایو c را قفل میکنن
بهتر نیست برنامه خودشو در پوشه favorit یا مثلا پوشه temp یا recycler یا ؟؟
کپی بشه و بعد تنظیم آدرس استارت آپ را همونجایی که کپی شده بدم ؟

البته بهتر نیست که اجازه بدین کاربر مکان کپی فایل ها رو مشخص کنه به عبارتی یه دیالوگ کوچک تنظیم کنین که کاربر باهاش یه فولدر رو خودش انتخاب کنه و بعد برنامه در همون مسیر کپی بشه (البته ممکنه مایل نباشین کاربر از فایل های همراه برنامه آگاه بشه)، از نظر بنده این کار دو مزیت داره:
1- با این کار هم سرعت اجرای برنامه زیاد میشه، یعنی وقتی که بر روی برنامه کلیک میشه کمی کپی شدن فایل ها طول میکشه و تا برنامه بالا بیاد یه زمان اندکی میبره، که در این حال ممکنه کاربر فکر میکنه سرعت اجرای برنامه تون کمه و یکمی دلسرد بشه
2- چون رو سیستم من آنتی ویروس کاسپر نصبه، (و طبیعتا رو سیستم های دیگه هم میتونه باشه)؛ چون برنامه تون بصورت خودکار در فولدر ویندوز یا temp یا... کپی میشه آنتی ویروس به حرکت های برنامه تون مشکوک و اونو متوقف کنه؛ البته انتی ویروس های دیگه رو ندیدم،

برای همین اگه برنامه تون به کاربر اجازه بده که میخواد تا بالا اومدنش چکاری بکنه حتی اگه انتی ویروس هم بهش گیر بده کاربر باخبر است و میتونه نادیدش بگیره

موفق باشید

[lord_viper]

بله برنامه من میتونه safe mode را تعمیر کنه من مشکل اصلیم تویه بردن ویندوز در حالت safe mode

شما یک بکاپ از Boot.ini سیستمت بگیر بعد MSCONFIG رو باز کن برو تب BOOT یا BOOT.ini بعد تیک Safemode و minimal رو بزن و ok کن حالا یک کپی از BOOT.ini جدیدت بگیر و این 2 فایل رو مقایسه کن تا ببنی برای بالا اومدن تو حالت Safe mode چه تغییراتی باید تو boot.ini بدی

ولی اگه تروجان تویه حافظه باشه و سرعتش بالا باشه
باز هم سریع safe mode را در قسمت ریجستری حذف می کند

قانون اول همیشه ویروس رو خلع صلاح کنین
چطوری؟ با بستن پروسش
وقتی میبینین 1 ویروس رو بدون اینکه 2 تا پروسه چک کننده داشته باشه هر چی میبندین با ز اجرا میشه قطعا یه dll تو پروسه ای مثل Explorer تزریق کرده اگه Explorer رو 1 دور ببندی بعد پروسه رو ببندی دیگه اجرا نمیشه

راستی چه جوری میشه سرعت اجرای برنامه ها را زیاد تر کرد ؟

سرعت اجرا دیگه به کدنویسی شما بستگی داره و اینکه تو این دوره انقدر سیستمها قدرتمند شدن که شما تفاوت سرعت برنامه های مشابه رو احساس نمیکنید
(منظورم این نیست که بیاید یک برنامه با مسیج باکس رو با انتی کسپر مقایسه کنین تو لود)

Call Scan("C:\")
Call Scan("D:\")
Call Scan("E:\")
Call Scan("F:\")
'
'
'
Call Scan("Z:\")
End Sub

در مورد روش فوق به هیچ عنوان درست و استاندارد نیست بهتره از تابع api مربوط به اون استفاده کنید یعنی GetDriveType

درضمن میخواستم بدونم روشی برای قفل کردن یک فایل وجو داره

فایلی که پاک نشه 

فایل مورد نظرت رو با تابع Openfile باز کن دیگه نمیشه پاک کرد

فایلهای خاصی که انتیها میسازن و غیر قابل پاک کردن هست با استفاده از تکنیکهای خاصی ازش محافظت میکنند

[محسن واژدی]

در مورد روش فوق به هیچ عنوان درست و استاندارد نیست

سوال ایشون در مورد نحوه ی افزایش سرعت برنامه شون بود نه اینکه کدام کدنویسی استاندارد است و کدام غیر استاندارد و این پیشنهاد هم روشی بود برای افزایش سرعت عملکرد برنامه جهت جلوگیری از افزایش درصد استفاده از cpu؛ خودم هم اطلاع دارم که این طریق روشی معمول نیست اما همانگونه که قبلا هم عرض کردم خودم تستش کرده ام و در جلوگیری از افزایش cpu تاثیر بسزایی نسبت به دو روش قبل یعنی استفاده از حلقه ها یا تایمر دارد

بهتره از تابع api مربوط به اون استفاده کنید یعنی GetDriveType

دوست عزیز میشه بفرمائید این api چه ارتباطی به توضیح بنده داشت، همانطور که در بالا هم توضیح دادم این دستورات راهکاری بود برای جلوگیری از استفاده از حلقه ها و افزایش درصد cpu و این تابع هم نام درایو رو ارجاع میداد به تابع Scan (که توضیحش رو در پست 22 نوشتم)؛ در اونجا هم آقای farshid_vb خودشون هر دستوری که لازم دارن میتونن بنویسن مثلا همین GetDriveType که گفتین و اگر درایوی هم با نام ارسال شده موجود نبود روال بسته بشه

فایل مورد نظرت رو با تابع Openfile باز کن دیگه نمیشه پاک کرد

ایشون میخواستن در هیچ حالی پاک نشه، اما در اینجا کافیه برنامه شون بسته یشه تا فایل با یک حذف ساده حذف بشه

موفق باشید

[lord_viper]

سوال ایشون در مورد نحوه ی افزایش سرعت برنامه شون بود نه اینکه کدام کدنویسی استاندارد است و کدام غیر استاندارد و این هم پیشنهاد هم روشی است برای افزایش سرعت عملکرد برنامه جهت جلوگیری از افزایش درصد استفاده از cpu؛ خودم هم اطلاع دارم که این طریق روشی معمول نیست اما همانگونه که قبلا هم عرض کردم خودم تستش کرده ام و در جلوگیری از افزایش cpu تاثیر بسزایی نسبت به دو روش قبل یعنی استفاده از حلقه ها یا تایمر دارد

شما اومدی تو یه تایمر به طور غیر مستقیم کار حلقه رو انجام میدی اینجا بحث حلقه نیست و اینکه شما داری از درایو Cتا Z رو چک میکین در صورتی که ممکنه طرف 2 تا درایو داشته باشه پس زمانی که برای چک کردن بقیه تلف میشه زمان بیهوده ای هست که اشغال میشه

دوست عزیز میشه بفرمائید این api چه ارتباطی به توضیح بنده داره، همانطور که در بالا هم توضیح دادم این دستورات راهکاری بود برای جلوگیری از استفاده از حلقه ها و افزایش درصد cpu و این تابع هم نام درایو رو ارجاع میداد به تابع Scan (که توضیحش رو در پست 22 نوشتم)؛ در اونجا هم آقای farshid_vb خودشون هر دستوری که لازم دارن میتونن بنویسن مثلا همین GetDriveType که گفتین و اگر درایوی هم با نام ارسال شده موجود نبود روال بسته بشه

شما چک کردن درایو رو در هر صورت دارید درایوهایی که شخص ممکنه نداشته باشه منظورم از استاندارد نبودن همین هست و همین عمل باعث اتلاف زمان cpu میشه

چه از حلقه استفاده کنین یا اینکه تابع بنویسین برنامه ها خط به خط اجرا میشن و تفاوتی ندارن تنها اینکه قیمتی رو که وقت گیر هست تو یه Thread جداگانه اجرا کنین

ایشون میخواستن در هیچ حالی پاک نشه، اما در اینجا کافیه برنامه شون بسته بشه تا فایل با یک حذف ساده بسته بشه

چنین چیزی وجود نداره
همون مثالشون در مورد Panda این نوع نرم افزارها میان با استفاده از HookApi از فایلهای خودشون محافظت میکنن و وقتی هوکشون پاک بشه فایلها بی دفاع میشن

روش دیگه دستکاری پرمیشن فایل رو NTFS هست که دسترسی EveryOne رو dinay کنین

و اون روش پوشه Autoru.inf که از یک تکنیک داس بهره میگیره که به همون روش هم میشه پاکش کرد


Beast Regards

[محسن واژدی]

سلام،

شما اومدی تو یه تایمر به طور غیر مستقیم کار حلقه رو انجام میدی اینجا بحث حلقه نیست و اینکه شما داری از درایو Cتا Z رو چک میکین در صورتی که ممکنه طرف 2 تا درایو داشته باشه پس زمانی که برای چک کردن بقیه تلف میشه زمان بیهوده ای هست که اشغال میشه

میدونم، اما فقط کافیه یبار تست کنین سرعت بسیار بالایی داره و همونطور که خودتون هم گفتین "دستورات خط به خط اجرا میشن" خیلی سرعت بالایی هست و من هم از همین ویژگی دستورات میخوام استفاده کنم، حلقه خیلی cpu میگرفت اما این روش نه

شما چک کردن درایو رو در هر صورت دارید درایوهایی که شخص ممکنه نداشته باشه منظورم از استاندارد نبودن همین هست و همین عمل باعث اتلاف زمان cpu میشه

منظور بنده از اینکه درایو چک بشه، نه با apiی GetDriveType بود بلکه با apiی PathFileExist بود و فکر نکنم هیچ زمانی رو صرف کنه


بهرحال دیگه این بحث رو ادامه ندیم چون تاپیک داره از حالت یک گفتگوی عادی خارج میشه
و اگه هم جوابا رو کمی تند دادم معذرت میخوام

موفق باشید

[farshid_vb]

ممنون
برنامه پاندا usb vaccine اگه تست بفرمائید خوشحال میشم
تنها راه برای پاک کردن فایل ساخته شده توسط unlocker هستش . البته هنوز راهی برای دیدن محتویاتش پیدا نکردم
راستی دوستمون فرمودند با Openfile
باید عرض کنم زمانی که برنامه ای که فایل را Open کردن بسته بشه کنترل قفل شدن فایل از بین میره و به راحتی فایل پاک میشه
تست بفرمائید
درضمن ممنون درباره boot.ini ولی عرض کردن از طریق msconfig نه
کافیه آخر خطهایی که
multi(0)disk(0)rdisk(0)partition(2)\WINDOWS
نوشته دستور
safeboot/
تونستم خودم با برنامه نویسی و تجزیه تحلیل فایل boot.ini به انتهای همه خطهایی که
multi(0)disk(0)rdisk(0)partition(2)\WINDOWS
داره دستورش را اضافه کنم و بعد از اینکه سیستم با آنتی اجرا و تمیز شد کدهای اضافه شده توسط برنامه من دوباره برداشته میشه تا سیستم به حالت اولیه بالا بیاد
http://s1.xlpar.com/files/1/po71o3c2...da-USBVaccine-[vatandownload.com].rar
دارم درمورد injection تحقیق میکنم چون مسخره نکنینا
تاحالا نشنیده بودم
ممنون

[farshid_vb]

http://www.actc.ir/FA/Default.aspx?PageID=991
این هم مبحث اینحکتشن که واسه من جالب بود
این اینجکشن چه جوری هربار بعد از اجرای ویندوز اجرا میشه؟
خودشو جای خاصی از ریجستری میزاره یا به فایل مثلا explorer.exe میچسبونه ؟ یا جای dll های اصلی اکسپلورر میزاره ؟
ممنون میشم یه مثال بزنید
و اگه تروجانی با این کار دم دست دارین برام آپلود کنین ببینم برنامه من میتونه حذفش کنه یا نه؟

کد پایین هم برای غیرقابل حذف شدن یه فایل تویه ntfs
echo test> test.:test
ولی یادم رفته چه جوری توضیحات افزوده شده به فایل را میشد دید
ولی پاک نمیشه

[محسن واژدی]

کد پایین هم برای غیرقابل حذف شدن یه فایل تویه ntfs
echo test> test.:test

بشکل زیر هم میتونین:
echo test> \\?\\c:\test.

[lord_viper]

ممنون
برنامه پاندا usb vaccine اگه تست بفرمائید خوشحال میشم
تنها راه برای پاک کردن فایل ساخته شده توسط unlocker هستش . البته هنوز راهی برای دیدن محتویاتش پیدا نکردم

Unlocker میاد چک میکنه هر برنامه از چه هندلهایی داره استفاده میکنه با استفاده از تابع NTquerySystemInformation و پارامتر 11 اون که مربوط به هندلها میشه بعد وقتی میبینه هندل فایل مورد نظر شما تحت اختیار فلان برنامه هست اون هندل رو داپلیکیت میکنه و بعد ازادش میکنه از تو اون برنامه اگه Unlocker نصب باشه با برنامه ای مثل Process Explorer توی پروسه ها رو ببینی Dll مربوط به Unlock Assistance رو میبینین که تو هر پروسه ای هست

راستی دوستمون فرمودند با Openfile
باید عرض کنم زمانی که برنامه ای که فایل را Open کردن بسته بشه کنترل قفل شدن فایل از بین میره و به راحتی فایل پاک میشه
تست بفرمائید

درسته به شرطی که پروسه رو ببنده ولی وقتی شما مثل پاندا از پروسه محافظت کنین دیگه مشکلی پیش نمیاد
راه دیگه ای جر اینها وجود نداره

این اینجکشن چه جوری هربار بعد از اجرای ویندوز اجرا میشه؟
خودشو جای خاصی از ریجستری میزاره یا به فایل مثلا explorer.exe میچسبونه ؟ یا جای dll های اصلی اکسپلورر میزاره ؟
ممنون میشم یه مثال بزنید

بستگی داره معمولا خود ویروس میاد اونو به پروسه مورد نظرش تزریق میکنه
برای حذفش کافیه Hmodule اون Dll که تزریق شده رو بدست بیارین و بعد با FreeLibrary ازاد کنین اونو

[sepehr-arbab]

salam man fonte farsi nadaram
in barname ro dirooz test kardam kheyli khoob bood
mishe sorce ro ham be soorate pish farz gharar bedin
man kheyli alaghe be anti virus daram vali yekam dar chek stamp moshkel daram


ye virus didam ke ye bache 13 sale neveshte va ye timer dare dar start up copy mishe
va har bar ke system bala miad oono restart mikone koli az in ke in viruso down load kardam ehsase pashimooni kardam

codeshho darkhast kardam ke gharare be emaile man befreste

thanks in advance

[farshid_vb]

salam man fonte farsi nadaram
in barname ro dirooz test kardam kheyli khoob bood
mishe sorce ro ham be soorate pish farz gharar bedin
man kheyli alaghe be anti virus daram vali yekam dar chek stamp moshkel daram

سلام دوست عزیز
برنامه آنتی من را روی سیستمت تست کن ببین پاکش میکنه
آدرس زیر هم چند تا سورس ویروس توش هست
http://www.lessonofhacking.blogfa.com/
درضمن برنامه من فقط واسه تروجانها هستش
دارم کاملش میکنم و پروژه پایان ترم رشته کارشناسی من هستش
شرمنده که هنوز نمیتونم سورسی براش بزارم دلیلش هم که از نظر خودم موجه هستش ولی باز ازتون برای قرار ندادن سورسش معذرت می خوام
راستی دارم روش کار می کنم تا بدون بردن سیستم به حالت safe mode هم بتونه تسک رو خالی کنه
و در حالا براش یه تغییراتی دادم

که حالت پیش فرض بدون بردن سیستم به safe mode هستش ولی اگه با این حالت تروجانی حذف نشد میشه روی تیک روبروش کلیک کرد و با حالت قوی تر پاکش کرد
هرچند تستی که کردم همشون رو در همین حالت اولیه غیر فعال میکنه درضمن

یک خواهش
درخصوص تروجانهایی که یا injection کار میکنن . می خوام بدونم خودشون رو در استارت آپ میزارن ؟
و روشهایی که تروجانها برای لود شدن مجدد میتونن استفاده کنن را هم بفرمائید (منظور لود استارت اول ویندوز یا حتی بعد از استارت )
مثلا برنامه را برای تعمیر ctfmon هم تکمیل کردم
چون شندیدم که بعضی تروجانها خوشون را با غیر فعال کردن سرویس crypht جای ctfmon میزارن
البته ممکنه بجای اکسپلورر هم بشه گذاشت ؟؟
اگه اینجوری باشه که وا وی لا درضمن من همه جاهای استارت ریجستری را پیدا کردم
حتی بعضی ها خودشون را جای سرویسهای ویندوز میزارن که البته برنامه با کمک msconfig اونا رو غیر فعال میکنه
مثلا میتونه تروجانی خودشو در autoexec.bat برای ویندوز xp هم بزاره ؟؟ تا موقع بوت اجرا بشه ؟
ویه سوال دیگه اصلا میشه بدون بوت شدن و مثلا با بوت شدن توسط یه ویندوز لایو به ریجستری ویندوز دیگری که مثلا در درایو c هستش دسترسی
و عملیات پاکسازی را در همون ویندوز لایو انجام داد ؟
چون با این کار دیگه تروجانی در تسک نیست و به راحتی میشه کلیدهای ریجستری ویندوز اصلی را پاکسازی و بررسی کرد .
و یا فایلهای مشکوک را به راحتی پاک کرد
مثلا برنامه خودشو در استارت ویندوز لایو بدون نیاز به نصب قرار بده و وقتی با اون سی دی بوت شدید شروع به پاکسازی ریجستری ویندوز اصلی تون کنه و پاک سازی بشه
معذرت این هم لینک عکس جدید برنامه
http://s1.xlpar.com/files/8/xm0p0btk.../fav%20pic.JPG
و لینک خود برنامه . مقاوم شده برای برای پاکسازی ctfmon و قرار داد ctfmon تمیز
البته با غیر فعال کردن سرویس cryptographi و کپی ctfmon و فعال کردن مجدد اون سرویس
http://s1.xlpar.com/files/0/39osd50m...2089-11-23.zip
با تشکر فراوان

[farshid_vb]

plz help

[lord_viper]

درخصوص تروجانهایی که یا injection کار میکنن . می خوام بدونم خودشون رو در استارت آپ میزارن ؟

مثل تروجانهای دیگه تفاوتی با اونها نداره

و روشهایی که تروجانها برای لود شدن مجدد میتونن استفاده کنن را هم بفرمائید (منظور لود استارت اول ویندوز یا حتی بعد از استارت )

روش زیاده بستگی به تبحر نویندش داره مثلا میتونین از Secheduler task ویندوز یا Infection برنامه هایی مثل Explorer -ctfmon و ...

مثلا برنامه را برای تعمیر ctfmon هم تکمیل کردم
چون شندیدم که بعضی تروجانها خوشون را با غیر فعال کردن سرویس crypht جای ctfmon میزارن
البته ممکنه بجای اکسپلورر هم بشه گذاشت ؟؟
اگه اینجوری باشه که وا وی لا درضمن من همه جاهای استارت ریجستری را پیدا کردم

در کلید رجیستری مربوط به Explorerبعضی ویروسها خودشونو اضافه میکنن که به همراه اون اجرا بشن و یه نسخه هم دیدم خودشو جای اکسپلورر میزاشت و بعد از اجرا با ShellExecute اونو اجرا میکرد

حتی بعضی ها خودشون را جای سرویسهای ویندوز میزارن که البته برنامه با کمک msconfig اونا رو غیر فعال میکنه
مثلا میتونه تروجانی خودشو در autoexec.bat برای ویندوز xp هم بزاره ؟؟ تا موقع بوت اجرا بشه ؟

تو رجیستری حدود 10-15 کلید هست که میشه ازش استفاده کرد
فایل Autoexecbat رو ذکر میکنن ولی من تا حالا ندیدم

ویه سوال دیگه اصلا میشه بدون بوت شدن و مثلا با بوت شدن توسط یه ویندوز لایو به ریجستری ویندوز دیگری که مثلا در درایو c هستش دسترسی
و عملیات پاکسازی را در همون ویندوز لایو انجام داد ؟

خیر
[QUOTE]
چون با این کار دیگه تروجانی در تسک نیست و به راحتی میشه کلیدهای ریجستری ویندوز اصلی را پاکسازی و بررسی کرد .
و یا فایلهای مشکوک را به راحتی پاک کرد
[QUOTE]
شما برای پاک کردن تسک ویروس از چه دستوری استفاده میکنین؟
چون 95% ویروسها با تابع TerminateProcessبسته میشن
برای پاک کردن اون 5% باقی مونده هم میتونین از مقاله خارجی 12 روش برای بستن پروسسها هست استفاده کنین

[farshid_vb]

واقعا ممنون
ای کاش میشد ...100 تا تشکر زد
من قبلا با برنامه backdoor که اسمش best بوده کار کردم
یعنی تویه زمان خودش از sub7 سر تر بوده
یاد اومد برای اجرای خودش از injection هم استفاده میکرد یعنی تویه گزینه هاش داره
دارم روش کار میکنم ببینم کجای ریجستری میزاره خودشو
یه سوال دیگه من تروجان جالبی دیدم که بعد از اجرا به اسم Libsys32.exe در تسک ووول میخوره و بعد از چند ثانیه از تسکهای یوزر به تسکهای سیستم وارد میشه و بگم به راحتی از تسک خارج نمیشه
بالای 15 بار بستمش ولی باز هم میاد

با TerminateProcess هم میزنم ولی نمیدونم چرا اینقدر سر سختی
راستی یک پروسس هم بیشتر در تسک نیست میگم اگر 2 تا بود پس دیگه بسته نمیشد
چون این تروجان برای من خیلی جالب بود میزارمش
danger!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!! this file is trojan

http://s1.xlpar.com/files/5/xgow6in6d79z1q/libsys32.exe

danger!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!

دوستان اشتباهی اجراش نکنن . البته برنامه من با کمی مشکل از بین میبردش .مشکلش هم اینه که باید بالای 30 بار تابع TerminateProcess فراخوانی بشه و این یکم زمان بر میشه
راستی خیلی از این برنامه های بستن پروسس که تویه سایتها گذاشتن نمیتونه پروسس های sysytem را ببنده . ایرادش هم اینکه یه تروجانی مثل همین libsys32 خودشو سیستمی میکنه و بسته نمیشه

درضمن حتی خیلی از این برنامه ها که من تست کردم نتونستن مثلا تروجانی که اسمش smss.exe یا csrss.exe هستش را هم ببنده اگه دوستان سورس خوبی سراغ دارین که مثلا ممیتونه تشخیص بده که چند تا پروسس وجود داره و البته این پروسسها در کجا قرار دارن مثلا در system32 یا یک درایو دیگر و بتونه اونو ببندن . خیلی ممنون میشم
چون اگه بتونم سریع تمام تسکها را ببندم دیگه مشکلی باقی نمی ماند.
جز پاک کردن جاهایی از ریجستری که تروجانها خودشونو میزارن
که فکر کنم به اندازه تعداد پنجره های ویندوز راه برای ورود به ویندوز وجود داره
دیگه هم نیازی به در نیست تا تروجانی از در پشتی بیاد
یه راهنمایی هم میخواستم برای جستجو و پیدا کردن و غیر فعال کردن سرویسهای غیر اصلی ویندوز
میدونیم که با msconfig و تب services و زدن روی گزینه hide all میشه سرویسهای غیر ویندوز را دید
خوب با ریجستری کجای ویندوز را بگردیم ؟
البته زیاد مهم نیست . چون برنامه من از msco کمک میگیره ولی این روش اصلا آماتور هم نیست و خیلی کار خنده داری هستش و این روش به ذهن خودم رسید که دیگه کد ننویسم و از msconfig استفاده کنم
میدونم در برنامه نویسی این کار واقعا وحشتناک زشت و ... هستش ولی از دوستان بخاطر این کارم معذرت می خوام که چنین کاری را کردم
باز هم ممنون از شما
البته اگه بتونین جاهایی که میشه برای ران شدن را قرار بدین ممنون میشم
چون مثلا من یه جایی پیدا کردم که میشه مثلا شما در run ویندوز بنویسین
cmd.exe ولی msconfig.exe اجرا بشه
و یه جای دیگه هم هستش که میشه هر فایل exe یا com یا bat یا ... را اجرایی باشه و اجرا کردین
اول جناب تروجان اجرا بشن بعد اگر مرحمت فرمودند برنامه شما هم اجرا بشه
البته با تشکر از مایکروسافت عزیز که چنین جایی را هم قرار دادن
باور کنین نمیدونم چه نیازی بود این همه جای برای اجرا شدن اولیه در ویندوز قرار بدن ؟
run , runonce , startup , ....

[محسن واژدی]

سلام
این دوتا سورس رو از سایت PSC.COM پیدا کردم خیلی، سرویس های ثبت شده در ویندوز رو مدیریت میکنن:
http://www.planet-source-code.com/vb...p%2FS708675111
http://www.planet-source-code.com/vb...p%2FS688640062
اینم صفحه مطالب سورس اولی (محیط جالبی داره):
http://www.planet-source-code.com/vb...70867&lngWId=1

یه سوال دیگه من تروجان جالبی دیدم که بعد از اجرا به اسم Libsys32.exe در تسک ووول میخوره و بعد از چند ثانیه از تسکهای یوزر به تسکهای سیستم وارد میشه و بگم به راحتی از تسک خارج نمیشه

اینی که گفتین واره تسک های سیستمی میشه، به این دلیله که خودشو به عنوان یک سرویس ثبت میکنه، بنده یه سورس پیدا کرده بودم که به آسانی برنامه ممون رو به عنوان یک تسک سیستمی ثبت میکرد جالب اینجاست که سورسش رو هم با وی بی 6 نوشته بودن و این در حالی بود که خیلی از دوستان میگفتن برای ایجاد یک سرویس باید با نسخه های دات نت وی بی این کار رو انجام داد و بعضی هم میگفتن که با وی بی 6 امکانش نیست
ولی حیف که الآن سورسش پیشم نیست (یعنی دارمش ولی الآن تو دسترسم نیست)

درضمن حتی خیلی از این برنامه ها که من تست کردم نتونستن مثلا تروجانی که اسمش smss.exe یا csrss.exe هستش را هم ببنده

وقتی که برنامتون رو به عنوان یک سرویس ثبت کنین میتونه همه نوع برنامه دیگه رو که حتی اگه سیستمی باشه رو ببنده از smss.exe گرفته تا winlogon.exe و lsass.exe اینا رو گفتم که بگم چون برنامه تون به عنوان سیستمی ثبت میشه دسترسیش از admin هم بیشتر میشه چون همون طور که خودتو هم میدونین حتی کاربر admin هم قادر به بستن برنامه هایی نظیر smss.exe نیست و همینطور برنامه ها یا همون تروجانی که گفتین بصورت سیستمی ثبت میشن

راستی اون تروجانه رو هم گرفتم سرموقع تستش میکنم ببینم چه فضولی میکنه
موفق باشید