Un petit test antivirus en ce lundi de janvier

PS : regarde la boucle de décryptage rot13 de Mydoom. Un peu tordu le
gars...

Ça et 4A45E3? C'est là qu'il fait le décryptage rot13 de la clé de la
base de registre. Je n'ai pas tout à fait saisi comment il a réalisé ça,
mais alors je suis persuadé qu'on peut faire plus simple. ;-)

004A465E /$56 push esi
004A465F |.8B7424 0C mov esi,dword ptr ss:[esp+C]
004A4663 |.57 push edi
004A4664 |.8B7C24 0C mov edi,dword ptr ss:[esp+C]
004A4668 |>8A06 /mov al,byte ptr ds:[esi]
004A466A |.84C0 |test al,al
004A466C |.74 0D |je short NOVARG.004A467B
004A466E |.50 |push eax
004A466F |.E8 6FFFFFFF |call NOVARG.004A45E3
004A4674 |.8807 |mov byte ptr ds:[edi],al
004A4676 |.47 |inc edi
004A4677 |.59 |pop ecx
004A4678 |.46 |inc esi
004A4679 |.EB ED jmp short NOVARG.004A4668
004A467B |>8027 00 and byte ptr ds:[edi],0
004A467E |.5F pop edi
004A467F |.5E pop esi
004A4680 .C3 retn

Frederic Bonroy wrote:

Ça et 4A45E3? C'est là qu'il fait le décryptage rot13 de la clé de la
base de registre. Je n'ai pas tout à fait saisi comment il a réalisé
ça, mais alors je suis persuadé qu'on peut faire plus simple. ;-)

004A465E /$56 push esi
004A465F |.8B7424 0C mov esi,dword ptr ss:[esp+C]
004A4663 |.57 push edi
004A4664 |.8B7C24 0C mov edi,dword ptr ss:[esp+C]
004A4668 |>8A06 /mov al,byte ptr ds:[esi]
004A466A |.84C0 |test al,al
004A466C |.74 0D |je short NOVARG.004A467B
004A466E |.50 |push eax
004A466F |.E8 6FFFFFFF |call NOVARG.004A45E3
004A4674 |.8807 |mov byte ptr ds:[edi],al
004A4676 |.47 |inc edi
004A4677 |.59 |pop ecx
004A4678 |.46 |inc esi
004A4679 |.EB ED jmp short NOVARG.004A4668
004A467B |>8027 00 and byte ptr ds:[edi],0
004A467E |.5F pop edi
004A467F |.5E pop esi
004A4680 .C3 retn

Vi entre autres. J'ai jeté un oeil rapide mais Il semble qu'il passe
carrément par des chaînes de décalage, genre "ABCDEFGH..." et "abcdefgh...".
How weird! Sérieux c'est plus que bizarre comme technique, et pas
franchement rapide. Heu c'est quoi ton désassembleur ?

--
AMcD

http://arnold.mcdonald.free.fr/
http://amcd.diablo.free.fr/

AMcD wrote:

Ma sécurité n'est pas basé QUE sur des interdictions, arrête de tout
exagérer !

Ben vu que tu n'as pas d'AV, il te faut forcémment restreindre et
interdire...

Il n'a *jamais* été question d'interdire au point de ne plus
pouvoir rien faire, comme tu prétendais juste avant.

En effet, on ne doit pas parler la même. J'ai du rêver, comme des
milliers d'autres personnes, quand j'ai lu les problèmes
d'incompatibilité de la boite Java de Microsoft. Ce soft Microsoft
est irréprochable, compatible à 115%, tu as raison, voilà on aura la
paix ?

Mais techniquement, quand est-ce que tu me fourniras une preuve ? C'est
marrant ça, tout ce que tu me fournis, c'est du blabla. Je n'ai rien vu de
reproductible et de vérifiable dans tes propos, tes liens. Du vent, des
ragots, de l'anti-Kro primaire. J'en déduit donc que tu n'es donc pas calé
en Java non plus puisque tu n'es pas capable de me donner de réels arguments
techniques. Ce qui ne t'empêche pas de l'ouvrir à ce sujet quand même.

On t'a dit n fois d'aller lire le dossier de Sun.
Je ne suis pas responsable si tu refuses de lire et si tu continues
à prétendre qu'il n'y a aucun argument technique.

http://www.yale.edu/pclt/mscase/microsoft_java.htm

Marrant ça ! Moi je dois taper mes propres codes ici, tu l'exiges,
tu dis que je n'ai pas le droit de donner un lien tiers à la place,
mais toi si ?

Je n'ai pas d'AV sur ma machine, et c'est la vérité.
Et c'est pas parce que marabout AMcD prétend le contraire que
ça va devenir vrai !

Que toi tu n'aies pas d'AV est une chose. Mais si tes applications ou
drivers ont été passés à l'AV ailleurs, dire que tu n'as pas besoin d'AV est
une hypocrisie digne d'un record du monde...

Ben non une fois que la machine est saine, je n'ai pas besoin
d'antivirus pour bosser avec des fichiers de données sans macro.

Au passage, je note que tu te
mets à la jouer sur la fibre "marabout", "t'es le plus fort, le plus
intelligent", etc. Tu en seras au bientôt au chapitre "ton rêve est de
passer à la TV" que tu servais à Guillermito.

Voici TON post :

http://www.google.fr/groups?selm?87f162%240%2410401%24626a54ce%40news.free.fr

[début citation]

Et j'en ai rien à faire de la
célébrité, je refuse même tous les passages télé qu'on me propose
depuis quelques années.

C'est un tort. Tu devrais y passer, on aurait enfin notre Mitnick
français
médiatique. N'oublies pas de mentionner Guillermito, Garcia et moi tout
de
même. Mince, me voir cité à Ardisson, faut pas que ma mère loupe ça
quand
même !
[fin citation]

Ne te fatigue pas, ce petit
jeu ne marchera pas avec moi. Je suis désolé pour toi si tu n'es pas
crédible aux yeux de personnes qui s'y connaissent. Un complexe ?

Encore et toujours les attaques personnelle du même genres,
mais d'argument technique point.
Et tu te souviens ce que tu as subi des experts internationnaux
pour tes écrits l'autre fois ? Alors évite ce genre d'arguments...

En utilisant des mots comme "parano", "con" etc tu pourris la
discussion,
il est compréhensible que le ton monte même chez la personne que tu
agresses, surtout quand tu racontes, en plus, des choses fausses ici
concernant ce qu'elle fait de mon PC.

En plus je mens ! Je ne t'agresses pas et j'aimerai bien savoir où j'ai
raconté des choses fausses... Mais encore une fois tu vas détourner,
dériver, etc. Ne te fatigue donc pas à répondre.

Tu as dit que mon système et ses drivers n'étaient pas passés à
l'antivirus, c'est un mensonge de ta part. T'es prêt à toutes
les calomnies pour nuire à la réputation de la personne en face.

Et quand en plein milieu d'un débat technique, tu qualifies ton
contradicteur de "con", "parano", "donneur de leçon" etc, c'est
une agression aussi.

Tu fais comme tu veux, mais c'est pas avec Windows que tu vas me
convaincre du respect des différentes couches.

Encore une fois, des arguments techniques please, pas du blabla.

Le débat "Windows 9x n'est pas un OS mais c'est un GUI" a déjà eu
lieux des dizaines de fois sur Usenet, j'ai déjà donné mes arguments
sur la question, ils sont dans Google. Tu es d'un avis contraire ?
C'est ton droit ! On peut très bien vivre chacun avec une idée
différente sans subir tes injures et dénigrements !

3) Je ne vois pas pourquoi le fait qu'on apprenne Unix à la fac
rendrait ces produits supérieurs aux autres !

J'ai écris ça où ?

Ha, ha, ha.

Tu te défiles une fois de plus ?

Tu n'arrêtes pas de biaiser, de détourner les propos, c'est lamentable et
pitoyable ! Tu n'arrête pas de désinformer et de mentir. Je t'ai simplement
dis que j'aimerai bien savoir comment un AV peut garantir un driver. Et
j'attends toujours les arguments techniques.

Un virus indétectable pour toujours ? Goodluck le retour ?

Le safe hex, bosser avec des fichiers sans macro, etc. c'est connu
depuis des lustres. Tu as du rater des cours de sécurité à la
maternelle...

C'est bien ce que je dis. Ta sécurité est basée sur les interdictions. Moi
j'utilise les macros (encore heureux !), je peux booter depuis une
disquette, etc.

Je n'ai pas besoin de macro, je n'ai pas besoin en général de booter
sur une disquette (ou sinon je change momentanément le Bios), et
j'arrive à faire mon job ! Comprends que tu n'es pas LE modèle que
tout le monde doit suivre et que chacun fait comme il veut/a besoin.

Toi tu ne pratiques pas la sécurité, tu interdis, tu restreint.
Quand au sujet sur la maternelle, t'as oublié ton passage favori,
que je te montre mes diplômes faisant de moi un expert en sécurité. Eh bien,
des problèmes de mémoire ?

Je trouve normal que certaines sécurités soient basées sur les
interdictions, par exemple qu'on ne laisse pas rentrer
n'importe qui dans une centrale nucléaire. En informatique,
c'est pareil. Oui, je te demande : c'est quoi ton expérience
et ta qualification en sécurité pour prétendre qu'interdire
des gens (ou des programmes), ce n'est pas de la sécurité ?

je faisais suivre ensuite la
discussion dans le forum adapté !

Parce que tu n'était simplement pas capable d'y répondre toi-même. mais
c'est bon, je t'ai filé un bon lien maintenant.

Il faut répondre soit même ou donner des liens, faudrait savoir !

Je n'ai aucune raison de te recopier ici la doc de Sun,
va directement chez eux comme on t'a dit.

N'importe quoi ! Une discussion sur la compatibilité de MS Java
doit se passer dans fclj, il n'y a aucune autre raison que de
pourrir fcsv avec ça. Et les arguments techniques t'ont été
signalés, tu refuses juste de les lire.

Menteur ! Tes liens n'importe qui n'a qu'à y cliquer dessus, c'est du vent !
Il n'y a rien de technique dedans. Lis le mien plutôt.

http://www.sun.com/lawsuit/

Entre ça et toi, j'ai choisi mon camp.

Tu dois en avoir beaucoup de temps libre pour passer autant
de temps à raconter des conneries sur les gens (style je "fut
journaliste" sous entendu que je ne le suis plus).

Trop gros mon ami, tu n'y arriveras as. On te vois vraiment venir de loin
mon pauvre...

?!

C'est toi qui m'agresse sur ma profession, au milieu de tes injures,
alors qu'on devrait avoir un débat purement technique - moi à aucun
moment dans ce thread je ne parlais de ton job !

Et moi j'ai corrigé ta remarque. Mais tu n'as jamais tort, donc tu
n'as pas apprécié.

Tu n'as RIEN corrigé du tout, tu parles d'autres choses.

Heu, une question là, comme ça : tu es sûr de bien maîtriser le français ?
Non, parce que...

Et après tu va prétendre n'utiliser que des arguments...
Non, nouvelle attaque personnelle de ta part complètement déplacée :-(
je pense savoir mieux que toi de quoi je parlais au début (uniquement
ce qui se passe au boot).

Pour le lecteur grand public de ce magazine allemand, je maintiens
qu'il vaut mieux le faire. C'est mon avis, tu peux en avoir un autre
différent, restons entre gentlemen, tu n'es pas obligé de nous pourrir
encore avec des injures et de la vulgarité.

Entre gentlemen ? Hola, tu te prends pour qui toi !? Je me conduis avec toi
comme ton comportement l'exige. J'écris dans un message "arrête de jouer au
con", expression tout à fait passée dans le langage courant et Monsieur
vient me taxer de vulgaire et d'insulteur.

Les experts, ceux de Virus Buletin, de l'université de Hambourg, etc etc
n'utilisent pas ce langage dans leurs conférences et études.

Mais toi, qui insultes réellement
en m'accusant de malhonnêté, tu te sens pas concerné hein ?

Ben arrête de mentir à mon sujet en disant que mes applications ne
sont pas contrôlés à l'antivirus et ça ira beaucoup mieux.

Ne me cherches
pas et tu n'auras pas à lire mes réponses. Et quand tu te targues d'aider ou
de donner des conseils, eh bien sois précis et rigoureux. Et si d'aventure
quand on te demande des détails tu bottes en touche ou es incapable
d'argumenter techniquement, eh bien attends toi à voir débouler des
remarques comme les miennes !

Bis : je faisais une simple remarque d'une courte phrase sur le boot
comme ca en passant ici quelques secondes, si tu as la prétention
d'expliquer toute la sécurité antivirale en une phrase aussi longue,
va z y, on te regarde, o sensei !

L'utilisateur lambda qui reçoit un EXE passé à l'antivirus, ne peut
pas savoir si c'est parce que le fichier est vraiment sain ou s'il
contient un virus inconnu de son AV. Donc dans certains cas, il faut
interdire et trouver une juste milieu.

Interdire n'est pas un juste milieu.

Il n'a jamais été question de tout interdire, mais de voir
ce qui doit être interdit ou pas. Trouver le juste milieu.
Je sais qu'il ne faut pas laisser une disquette dans le
lecteur au boot, mais une fausse manip est toujours arrivée,
et c'est pour cela qu'en général je bloque l'option dans le boot
sur mes propres machines. Et cela ne m'a jamais empêché de
travailler. Et tu ne m'as pas convaincu du contraire.

Il faut éduquer.

Déjà répondu à ça : tu peux dire à des personnes de ne pas cliquer
sur les EXE reçus par mail, il y aura peut être une personne têtue
ou étourdie pour le faire quand même un jour.

--
Olivier Aichelbaum

Vi entre autres. J'ai jeté un oeil rapide mais Il semble qu'il passe
carrément par des chaînes de décalage, genre "ABCDEFGH..." et "abcdefgh...".

Oui... peut-être qu'au lieu de calculer il utilise un tableau. Remarque,
le machin a (peut-être) été produit par un compilateur, donc ça
ajoute de la complexité.

How weird! Sérieux c'est plus que bizarre comme technique, et pas
franchement rapide. Heu c'est quoi ton désassembleur ?

http://home.t-online.de/home/OllyDbg (version 1.09d)

Oui bon, tes délires ça va un peu hein ! Au bout d'un moment tu fatigues...

Tu n'y entends rien et tu veux faire le malin. Mais voilà, avec des gens qui
s'y connaissent un peu, ta démagogie ne prend pas. C'est tout.

Et arrête de mentir toutes les deux lignes ! Tu n'as jamais rien expliqué
techniquement et je ne t'ai jamais insulté ! "Jouer au con" n'est pas une
insulte, surtout si je te le répète mille fois ! Quel aveuglement !

Au fait, les "experts" internationaux qui m'ont soit-disant fait subir je ne
sais quoi... Sans doute parles-tu de Boncev qui s'est permis d'être très
grossier ? Il est vrai qu'il avait tort sur le coup et, comme toi, il
n'avait rien à argumenter, donc... insultes, désinformation, ragots !
D'ailleurs, il n'y a qu'à lire les divers intervenants... Tu devrais peut
être te renseigner sur l'image de ce monsieur dans le milieu avant de
l'ouvrir.

Pour le reste, je ne pense pas que tu sois au courant de ma correspondance
privée avec Skulason et consort. Ni même de mes activités, qui je fréquente,
à quoi je collabore, etc. Alors arrête de débiter des conneries à mon sujet
et reste à ta place STP ! Tu ne seras jamais un hacker, laisse tomber...

--
AMcD

http://arnold.mcdonald.free.fr/
http://amcd.diablo.free.fr/

AMcD wrote:

Oui bon, tes délires ça va un peu hein ! Au bout d'un moment tu fatigues...

Tu n'y entends rien et tu veux faire le malin. Mais voilà, avec des gens qui
s'y connaissent un peu, ta démagogie ne prend pas. C'est tout.

Si tu tu étais si fort, tu aurais su trouver des arguments pour me
convaincre de laisser le boot sur disquette actif. Mais RIEN de ta
part, à part des attaques personnelles bidons continuelles !

Et arrête de mentir toutes les deux lignes ! Tu n'as jamais rien expliqué
techniquement et je ne t'ai jamais insulté ! "Jouer au con" n'est pas une
insulte, surtout si je te le répète mille fois ! Quel aveuglement

Tu m'as traité de "parano". Parmis toutes tes compétences dont
tu nous parles, tu es médecin aussi peut être ?

Au fait, les "experts" internationaux qui m'ont soit-disant fait subir je ne
sais quoi... Sans doute parles-tu de Boncev qui s'est permis d'être très
grossier ? Il est vrai qu'il avait tort sur le coup et, comme toi, il
n'avait rien à argumenter, donc... insultes, désinformation, ragots !

Pour tes insultes on a vu ci-dessus. Pour la désinformation que tu
fais et les ragots, voir ci-dessous :

Pour le reste, je ne pense pas que tu sois au courant de ma correspondance
privée avec Skulason et consort. Ni même de mes activités, qui je fréquente,
à quoi je collabore, etc. Alors arrête de débiter des conneries à mon sujet
et reste à ta place STP ! Tu ne seras jamais un hacker, laisse tomber...

C'est toi qui a écrit que je fu journaliste (sous entendu ne le suis
plus), que mon OS n'a pas été vérifié à l'antivirus, etc. C'est bien
toi et pas moi l'auteur de ces "conneries" comme tu dis, moi je ne
racontes rien de tel sur ta vie, car je m'en moque et ce n'est pas
l'objet de ce forum.

--
Olivier Aichelbaum

Frederic Bonroy wrote:

Vi entre autres. J'ai jeté un oeil rapide mais Il semble qu'il passe
carrément par des chaînes de décalage, genre "ABCDEFGH..." et
"abcdefgh...".

Oui... peut-être qu'au lieu de calculer il utilise un tableau.
Remarque, le machin a (peut-être) été produit par un compilateur,
donc ça
ajoute de la complexité.

Ouais. Cela me semble évident que ça n'a pas été écrit directement en ASM.
La boucle de deRot13 est vraiment tordue !

Exemple ! Le gars utilise deux chaînes, "ABCD...Z",0 t "abcd...z",0 pour
faire son Rot13. Comment crois-tu qu'il copie ces chaînes ? Vois la
magouille...

mov ecx,6
mov esi,szABCDEFGHIJKLMNOPQRSTUVWXYZ
pop ecx

ecx = 6 et esi est l'offset du premier octet de la chaîne à copier

lea edi,[ebp-1Ch]

edi est l'offset du buffer de copie. 1Ch parce que 1Ch = 28. Or la chaîne à
copier fait 26 caractères + le de fin, soit 27 caractères. Il faut donc
descendre de 28 octets dans la pile pour avoir le début.

rep movsd

Et je te copie 24 octets.

movsw

Et deux de plus -> 26

movsb

Et le dernier -> 27.

Ben moi je dis, ça sent le bon gros compilo bien lourdaud ça :-)

--
AMcD

http://arnold.mcdonald.free.fr/
http://amcd.diablo.free.fr/

On Tue, 27 Jan 2004 14:15:59 +0100, Olivier Aichelbaum wrote:

Frederic Bonroy wrote:

Mouais, bof. Disons qu'en tant qu'étudiant en informatique il faudra
bien un jour ou l'autre oser s'approcher d'un ordinateur pour compiler
ses premiers programmes en Java.

(je faisais une remarque sur l'OS, je n'ai pas parlé de langages.)

Linux est plus populaire auprès des
informaticiens parce que c'est plus compliqué,

Quel argument ! ;)

Ben je suis assez d'accord avec Frédéric. Souvent tu vois un fan de linux
qui te sort des : Oh tu es encore sous windaube toi? moi j'ai migré dans la
cour des grands ...

Par contre d'un autre coté on trouve aussi des personnes qui maitrisent
linux et qui donnent envie de les ecouter pour apprendre...

Pareil chez Windows d'ailleurs ;)

Sinon pour ce qui est des cours; ici ça commence par un cours théorique
suivi d'un cours pratique (semi-facultatif) où on parle notamment de:

- Tour d'horizon de l'architecture de Windows NT
- distribution des tâches dans le noyau de Windows NT
- noyau monolithique de Linux
- les processus sous Linux
- les appels système sous Windows NT sur les systèmes x86
- gestion d'interruptions sous Windows NT sur un processeur x86
- gestion d'interruptions sous Linux
- structure et fonctions des pilotes sous Windows NT
- niveaux/couches des tâches sous Windows NT
- transformation de Unix en système d'exploitation temps réel
- stratégies de scheduling sous Windows NT
- la mémoire virtuelle sous Windows NT
- transformation d'une adresse virtuelle sous Windows NT [en une adresse
physique]
- gestion d'entrée/sortie sous Windows NT avec NtWrite()

etc.

Il me semble que Windows est prédominant ici, pas toi? :-)

J'aimerais pas être à ta place ;)

Personellement dans mes 6 années d'études en informatique je n'ai eu qu'un
cours de 3h/semaine pendant 6 mois sur linux... C'est dommage je trouve
mais l'avantage de linux/unix c'est que ca s'apprend très bien par soi meme
avec un peu de curiosité et des connaissances qui maitrisent. Perso j'ai
abandonné linux (pour une question de probleme avec la config Xfree qui
voulait pas fonctionner... ) et depuis je suis plus FreeBSD. Loin de moi de
vouloir lancer une polémique mais j'aime mieux ...

Bref.. je ne pense pas qu'on puisse juger de la qualité de cours en
regardant sur quel OS ils sont donnés... C'est vrai que le monde linux/unix
présente des avantages quand a la gestion des processus par exemple. Ou
bien encore rien que par une seule commande (fork pour ne pas la citer) et
pour aussi de très nombreuses facilité de compréhensions...

Et sous windows y'a plein de choses a apprendre aussi. Déjà comment se
prémunir des virus. Etc...

--
Noshi

Bref.. je ne pense pas qu'on puisse juger de la qualité de cours en
regardant sur quel OS ils sont donnés...

Non. De toute façon le but n'est pas d'apprendre aux gens à maîtriser
tel ou tel système. Tout comme le but des cours de Java n'est pas
d'apprendre aux gens à maîtriser la Java. Le but c'est que les étudiants
comprennent les *principes* sur lesquels reposent les systèmes
d'exploitations et les langages de programmation.

Et quand on sait que beaucoup de fonctions des systèmes d'exploitation
modernes sont désormais assistées par le processeur (le processeur
contribue *beaucoup* au multi-tâches et à la gestion de la mémoire par
exemple) alors on se rend compte que ces principes de base sont les
mêmes partouts, qu'ils doivent l'être puisque ils dépendent en partie du
matériel qui est le même quel que soit le système d'exploitation.

Noshi wrote:

Bref.. je ne pense pas qu'on puisse juger de la qualité de cours en
regardant sur quel OS ils sont donnés...

Ce n'était pas mon propos : à "mon" époque les cours étaient adaptés
à Unix car Win XP/2000/95/etc on n'avait pas encore (et Linux non plus
d'ailleurs, c'est bien pour cela que je ne l'avais pas cité).

C'est vrai que le monde linux/unix
présente des avantages quand a la gestion des processus par exemple.

Et le respect des couches logicielles, comparé à une usine à gaz
comme Windows 9x, puisque le sujet était l'intégration des drivers.

--
Olivier Aichelbaum