ウィルスチェッカ作りたいんだが・・・
■ このスレッドは過去ログ倉庫に格納されています
0001デフォルトの名無しさん
2006/12/03(日) 23:39:13そして、参考書籍も参考ホームページもプログラムも何も無い。
誰か、俺にウィルスチェッカの作り方を手取り足取り教えてくれ。
0002デフォルトの名無しさん
2006/12/03(日) 23:42:050003デフォルトの名無しさん
2006/12/03(日) 23:42:33その心は?
0004デフォルトの名無しさん
2006/12/03(日) 23:50:43拡張子が *.vbs, *.js のファイルはすべてウイルスだ。
0005デフォルトの名無しさん
2006/12/03(日) 23:56:11この分野需要あると思うんだけどなぁ。
こうも参考文献が無いのも変な感じだ。
0006デフォルトの名無しさん
2006/12/04(月) 00:03:04http://www.clamav.net/
【AntiVirus】 アンチウィルスソフト総合スレ
http://pc8.2ch.net/test/read.cgi/unix/1046547211/
ウィルスかどうかを判定する一元的な方法も無いし、全てのウィルスを
事前に入手する事も不可能だから、個人では無理。
0007デフォルトの名無しさん
2006/12/04(月) 00:32:09って、探してないオレが言うのもなんだが、
スパイウェアチェックのオープンソースとかはあるんじゃ!?
あったとしたら、基本のロジックくらいは・・・(ってないか!?
それから、個別のウィルスうんぬんって話は、ウィルス定義の問題だろうなぁ
って訳で、
きっと、定義を作成したらヒューステリック(だっけか?w)あたりのロジックは別として、
個別のファイルの中に入って、個別の定義に当てはまるか否かのチェックロジック部分が判れば、
スレ主としてはOKなんじゃないのかぃ?
00087
2006/12/04(月) 00:34:45最近さ、セキュリティソフト業界の求人も増えてるわけだし、
アセンブラや逆汗・デバッガの知識をそれなりに習得して就職しちまうのが早いんじゃ!?w
0009デフォルトの名無しさん
2006/12/04(月) 00:47:44んー。
なんだろ、例えばトロイに当てはまる動作をするプログラムとかを
メモリもしくはHDDに呼び込んだらそれを発見するとか、そういう
基本的なメソッドを知りたいんだよね、まずは。
そこからしてどう手をつければいいかプログラム中級(?)の俺には
わからん。一応、アセンブラやCは使えるんだが。
00107
2006/12/04(月) 00:52:54「特徴的な動作」ってのがあるわけで、
その動作・振る舞いを実現するロジックを実現する部分は、
プログラマやコンパイラに依存するわけだ。
ということは、
そのウィルス的なモノを実際に作ってみて、
その結果、どんなコードになっているのかを作り手の立場から理解していく必要があるんじゃないかな?
つまり、
まぁ、>>6が言うように、
一元的には・・・ って話です。
0011デフォルトの名無しさん
2006/12/04(月) 00:56:29手順はわかるんだ。
でも、その実現方法がわからない。
例えばトロイをつくったとして、その動作をするというのをどうやって調べるのか?
一度実行させて実行前状態と実行後状態を比較してみるのか、それともバイナリを読んで
事前に動作を知るのか。
前者はロールバックできるような環境さえ整えれば可能かもしれないけどあまり現実的じゃない。
後者が理想的だけどまさしく実現方法がわからない。
00127
2006/12/04(月) 01:05:14でもさ、セキュリティパッケージによっては、
その後者を実現している訳ですよ。
たしかに前者は現実的じゃないわけだしネw
後者を実現する方法だってさ、
対象の振る舞いの特徴次第じゃないかなぁ・・・
「一元的には・・」って意味はさ、
つまり、
コーディング的な観点からや、
メモリ上での存在方法や処理方法までを含めた観点、
ネットワーク的な観点、
果ては、ソーシャル的な観点まで波及するわけだ。
あなたの知識はその全てを網羅した上で、
そのロジックがかかれているコードをアセンブラ的に見いだせるか否か?って話になってしまうわけで、
「実現方法」って話になると、
結論としては、やっぱり、「個人じゃ無理」ってコトなんじゃないかなぁ・・・
0013デフォルトの名無しさん
2006/12/04(月) 01:05:24ウィルスかどうかの判定はウィルスの種類毎に大きくことなるから一概には言えないけど
Windows用のアンチウィルスソフトを作りたいならまずはWindowsDDKをゲットしる。
そんでファイルシステムフィルタドライバを作ってそこで全てのファイルへのアクセスを
フックしてウィルスかどうか判断してウィルスならファイルへのアクセスをブロックしれ。
00147
2006/12/04(月) 01:09:45前向きで惚れそうデス
0015デフォルトの名無しさん
2006/12/04(月) 01:16:32こいつは、先頭にjumpを挿入して後ろにくっつくタイプだったと思う。
このとき、感染前と後で比較をしてウィルス部分を特定したが、元ファイルの数バイトを暗号化して
ウィルス部分に持っていた。ディスアセンブルして複合化部分を抜き出し
感染した実行ファイルからウィルスを駆除することに成功した。
このときのウィルスチェックルーチンは、先頭のjumpの有無、
後ろのウィルスコードの一部(16バイトぐらい)を検査し、合致すれば感染していると見なした。
未知のウィルスじゃなければこの方法で逝けるが
個人で大量のウィルスを解析してシグネチャを取るのは不可能だと思う。
って、未知のウィルスを検出する方法だったら、がんばって開発汁!
きっと大金持ちになれまつよ><b
00161
2006/12/04(月) 01:17:48このプログラムを実行したら「ファイルをデリートする」と言う事を実行前に
知りたいとしたらどうすればいいのか。その方法を知ることは多分一元的解決
法ではないにしろ、この分野では基本の基本として大事なことだと思う。
漏れも現実的に有用なチェッカをつくろうとは考えていないよ。
ただ、そういうものも作れるようになりたいだけで。勉強したいだけ。
実際のウィルス駆除ソフト屋は24時間体制で後出しじゃんけん的に
ウィルスを追っているらしいから、土台個人で無理なのは重々承知。
この辺断っておけばよかったね。スマソ
>>13
WindowsDDKダウンロードできない・・・
てか何するものなのかもよくわからん。
英語読むか・・・
00177
2006/12/04(月) 01:23:58まさに 13 がヒントになっているのじゃないかと思うわけだが、
一つだけツッコミ。
「英語が読めなきゃコノ業界はムリポ〜」
話せるようになれとは言わん。
リアルタイムで理解できるようになれとも言わん。
が、「英語で書かれている文章を読み解ける位になるぞ!」という執念や想い、
そして、それを実現する力があれば、
大概のコトは先駆者が居るモンだ。
それに追随していくコトが、あなたの力になると、オレは思うゾ!
0018・15
2006/12/04(月) 01:24:39実行ファイルのサイズと、CRCを書き出して一日一回全確認することで対抗してた。
だって、PC-98だったし。
メモリに常駐されると、だめそうだが。
00191
2006/12/04(月) 01:33:29英語は別に苦じゃないんだけど。
Microsoftのリファレンスを前提知識少ない状態で読んで理解できたためしが
無いんだ、俺・・・orz
つか、卒論は全く別の分野やっとるからそんな本格的にやるつもりじゃないよ。
趣味と言うか好奇心と言うか。発作的に何かプログラム組みたいときってあるでしょ?
そんな感じでこのスレたてたんだけど。
>>18
PC-98・・・
大先輩ですな。
漏れはWinMEをゲームやりたくて買ってはじめてPCに触れました。
本格的に使ってるOSはUNIXという罠。しかもSolaris。
CRC書き出しってウィルス対策と関連があるんですか。
むぅ、奥が深いなぁ。
00207
2006/12/04(月) 01:36:492.読み書きしようとするFAT上に存在する物理ファイルにアクセスする際、
その処理が実行される前に、フックしてチェックするために必要なコトは?
って考えると、>>13 は2番を解決する一つの方法(唯一とは思わない)だと思うんだ。
あなたには、これらの解法を見いだす為のインスピレーションがあるんであれば、
あとはその実現するためのスキルを磨く努力をするのが良いんだよね。
いま、そのヒラメキが欲しいのであれば、
それをヒラメクための知識もありそうな訳だし、
とりあえずは>>13に乗るべく、
「あがいてみる」ってのが、趣旨に添ったオイラなりの回答。
いかがでしょ?
00217
2006/12/04(月) 01:41:45たしかに・・w
あんなのはさ、
自分が「あがいた結果」を検証するために存在するモンだと思うわけです。
たたき上げのコーダー的なオイラとしては、
リファレンスの類なんて、自分の試行錯誤があって、初めて納得できるんだわさ・・
それは、オイラに予備知識がないから・・・ってのが主因なわけで、
学校や勤め先でそれなりの「学問的な知識」がある人にとっては、
最初からバイブルになり得るのかもしれないんですが・・・(・∀・)ニヤニヤ
00227
2006/12/04(月) 01:43:09○ 学校や勤め先でそれなりの「学問的な知識を習得する機会」があった人にとっては、
00231
2006/12/04(月) 01:47:23つか、これ学問的な知識いるんか?コンピュータは基本ScienceじゃなくてEngineering
だと思うんだが。
それにこの話自体凄い泥臭い感じがするし。
WindowsDDKの概念はわかった。
Filtering Driverを作るAPIみたいなものか。
0024デフォルトの名無しさん
2006/12/04(月) 01:54:27WindowsDDKがどんなモンか詳しくは知らんw
が、ファイルにアクセスする部分にフックさせなきゃ話にならないわけで、
>>13を信じるのであれば、
それを実現するために必要なドライバかその類が作れるDKなんだろうなぁ・・・
0025デフォルトの名無しさん
2006/12/04(月) 01:57:5700261
2006/12/04(月) 02:00:42そもそもファイルシステムフィルタドライバとやらがフックさせるものって書いてあるしね。
プロセス間通信を全てこのドライバを通して行うということか。
システムのスループット激オチしそうだ・・・
002715
2006/12/04(月) 02:06:21感染するタイプなら、サイズと内容に変化があるはずだから未知のウィルスでもわかる。
また、記録してない実行ファイルが増えていると、危険なファイルの可能性有り
という、子供だまし化石テク
0028デフォルトの名無しさん
2006/12/04(月) 02:08:18その辺は、セキュリティ向上<>ユーザビリティ向上 の命題ダワサ
最近のフレームワークを探せば、ほかの方法が見つかるかもしれないけど、
その辺は、インスピレーション次第ってコトだと思うわけです。
0029デフォルトの名無しさん
2006/12/04(月) 02:12:090030デフォルトの名無しさん
2006/12/04(月) 02:13:070031デフォルトの名無しさん
2006/12/04(月) 02:14:32な〜な〜ななな〜♪w
00321
2006/12/04(月) 02:14:46感染タイプと言うのは適当な既存のファイルに取り付くと言う意味ですか?
それなら確かに有効かも。でもCRCじゃなくても更新日時見るだけでわかるような気も・・・
つか、確かに原始的ですがかなり有効かも。
0033デフォルトの名無しさん
2006/12/04(月) 02:16:58更新日時はすぐにでもいじくれる
根本的なこと聞くが
何がウィルスなの?
何がウィルスじゃないの?
00347
2006/12/04(月) 02:18:58その辺、「一元的」って話の延長ですよ、ダンナさん。
更新日時なんて、○| ̄|_ =3 プッ って話デス。
「ナニをもってウィルスとするか」を考えるセンス、もっと大事にしてくださいね。
003515
2006/12/04(月) 02:21:11サイズを合わせるタイプもあるはず。CRCのほうが確実かと。
0036デフォルトの名無しさん
2006/12/04(月) 02:24:230037基本的なこと
2006/12/04(月) 02:31:53ワーム:感染しないが自己増殖する。
トロイ:感染しないが、主に起動後タイミングを見計らって破壊活動を行う。
現在はこれらの複合型とか、トロイが主流。
つーか、高度なウィルスすくないよなー。
馬鹿でも作れるトロイばっかだし。
0038デフォルトの名無しさん
2006/12/04(月) 02:33:30003913
2006/12/04(月) 02:40:57なんて聞いたことがない。その他のテクも使うにしてもこれは必須。
以前はWindowsDDKとは別にFSFKitを購入(日本円で10万ぐらい)しなければならんかったけど
今はWindowsDDKに統合されている。WindowsDDKについてはこっちのスレでも見れ。
WindowsDDK各種についてのスレ
http://pc8.2ch.net/test/read.cgi/tech/1049116134/
英語に関しては俺もろくにわからんながらにこの業界で足掻き続けてる。>>1も根性見せてみろ。
あと、アドバイスしとくと英文を全部正確に理解しようとするな。
そんなことしてたら確実に挫折する。
0040デフォルトの名無しさん
2006/12/04(月) 02:43:26BIOSは保護されてるしMBRも保護されてるし
後はOS依存しかないけれど、OSに食いつくハッカーいなくなってるし(Windowsがどんどん気持ち悪くなってきてる)
もうVBSとかIEとか周辺分野しかないですよ
004113
2006/12/04(月) 02:43:42414 名前:デフォルトの名無しさん[sage] 投稿日:2006/08/04(金) 15:35:58
いつの間にかDDKがダウンロードできるんだが
ttp://www.microsoft.com/whdc/devtools/ddk/default.mspx
Download the Windows Server 2003 SP1 DDK [236 MB ISO file]
Note: To download and use the DDK, you must burn the ISO file to a CD or DVD.
0042デフォルトの名無しさん
2006/12/04(月) 02:53:480043デフォルトの名無しさん
2006/12/04(月) 02:58:04clamavのソースでも見たらどうだ
00441
2006/12/04(月) 12:09:00�dクス
Windows2003 Server SP1か。
XPでも動くかな?
>>43
clamavってこれか。
http://clamav-jp.sourceforge.jp/
UNIX系のオープンソースウィルス駆除ツールか。
本家のDonation->Skillsを見たんだが開発者募集はかけてないみたいだな。
ドキュメント作成や他のユーザ補助をしてくれって事しか書いてないや。
最も、俺のレベルではとてもじゃないが開発陣には加われないけど。
0045デフォルトの名無しさん
2006/12/04(月) 12:19:44あれ自体は恐らくパターン解析をしているだけだからそれほどたいしたことはない
ただ、そのウィルスのパターンファイルを作ったりそれがウィルスであるということの定義をすることは
研究機関等が集めているんだろ?もう売ってんだから買えばいいのに・・・
00461
2006/12/04(月) 12:30:02パターン1
�@プログラム実行
↓
�Aフィルタドライバによるウィルス定義に当て嵌まる不正動作検知
↓
�B動作停止・駆除
か、
パターン2
�@バイナリリード(メモリ上 or HDD上?)
↓
�Aウィルス定義と一致する危険コード発見
↓
�B駆除
の2パターンがあるって事だよね。
とすると、手軽にウィルスチェッカつくった気分になるにはパターン1のテンプレート
作成かな?
0047デフォルトの名無しさん
2006/12/04(月) 19:20:05サンドボックスとか調べてみそ。
0048デフォルトの名無しさん
2006/12/04(月) 23:46:04つまりVMを作ると
そこにプログラムを囲うと
すばらしく泣ける気がする
0049デフォルトの名無しさん
2006/12/05(火) 02:01:420050デフォルトの名無しさん
2006/12/05(火) 12:45:370051デフォルトの名無しさん
2006/12/05(火) 13:31:570052デフォルトの名無しさん
2006/12/05(火) 13:32:140053デフォルトの名無しさん
2006/12/05(火) 19:34:540054デフォルトの名無しさん
2006/12/05(火) 20:08:120055デフォルトの名無しさん
2006/12/05(火) 21:32:380056デフォルトの名無しさん
2006/12/06(水) 00:33:180057デフォルトの名無しさん
2006/12/06(水) 02:50:210058デフォルトの名無しさん
2006/12/06(水) 13:16:38まずてめーでウイルス作ってみろ
それとDDK使うならまずフィルタドライバじゃなくて普通のデバイスを動かす
デバイスドライバ作れ
話しはそれからだ
0059デフォルトの名無しさん
2006/12/06(水) 16:11:320060デフォルトの名無しさん
2006/12/11(月) 22:31:410061デフォルトの名無しさん
2006/12/11(月) 22:38:13自分でチェックすればよくね?
0062デフォルトの名無しさん
2006/12/14(木) 18:33:560063デフォルトの名無しさん
2006/12/15(金) 16:50:090064デフォルトの名無しさん
2006/12/16(土) 17:17:46〇ウイルス
0065デフォルトの名無しさん
2006/12/16(土) 17:29:29○ビールス
0066デフォルトの名無しさん
2006/12/16(土) 17:35:320067デフォルトの名無しさん
2006/12/17(日) 00:22:52〇ウイルス
0068デフォルトの名無しさん
2006/12/17(日) 02:17:28〇ウイノレフ、
0069デフォルトの名無しさん
2006/12/17(日) 03:24:070070デフォルトの名無しさん
2006/12/17(日) 12:59:31ウィって
酔っ払ってんのか?
0071デフォルトの名無しさん
2006/12/17(日) 13:49:28│ [任天堂]
│ J( '∀`)し (´∀` ) <Wiiなら本体にソフト付けても安いよ
│ ( )\('∀`)ノロロヾ( )
│ || (_ _)ヾ ||
0072デフォルトの名無しさん
2006/12/18(月) 11:58:41いまかえったよぉ
0073デフォルトの名無しさん
2006/12/29(金) 04:37:580074デフォルトの名無しさん
2007/01/14(日) 17:26:190075デフォルトの名無しさん
2007/03/09(金) 17:10:100076デフォルトの名無しさん
2007/03/09(金) 17:17:15ざんねん 1のぼうけんは これで おわってしまった?
0077デフォルトの名無しさん
2007/03/09(金) 20:20:530078デフォルトの名無しさん
2007/03/10(土) 00:16:35その動作フックしてそれを止めればいいんじゃね?
0079デフォルトの名無しさん
2007/03/10(土) 01:46:560080デフォルトの名無しさん
2007/03/13(火) 09:11:100081デフォルトの名無しさん
2007/03/19(月) 00:37:33金で買われて世の中には出回らないんじゃないか?w
そしてそれを飲み込んでさらに重くなってゆく二つのウィルスソフトwwwww
0082デフォルトの名無しさん
2007/03/19(月) 23:48:33○ウイルス
0083デフォルトの名無しさん
2007/03/20(火) 20:41:10×ウイルス
○ヴァイラス
0084デフォルトの名無しさん
2007/03/20(火) 22:19:05×ビールス
0085デフォルトの名無しさん
2007/03/20(火) 23:55:59×ヴァイラス
○ウイルス
0086デフォルトの名無しさん
2007/03/21(水) 00:25:26○ブルース・ウィリス
0087デフォルトの名無しさん
2007/03/21(水) 01:05:09○禿げ
0088デフォルトの名無しさん
2007/03/21(水) 01:08:47○損
0089デフォルトの名無しさん
2007/03/21(水) 02:17:07×その他
0090デフォルトの名無しさん
2007/03/21(水) 22:27:04今からだともうダメだと思う。理由は、「あまりにも数が多すぎる」から、
実用になるものを作っても、次から次へとウィルスは出てくる。
トレンドマイクロあたりだと、「ウィルス発見と共に、数時間以内に
自動的にパターンファイルが吐き出されるところまで自動化されている」
という噂まである。まあ、「カスケード単体検索」とか、「ブラスター単体
を検索、除去」というように、一つのウィルスだけを探し出すというので
あれば良いと思う。
0091デフォルトの名無しさん
2007/03/21(水) 22:45:50×今からだともうダメだと思う。理由は(以下略
○ウィルス
0092デフォルトの名無しさん
2007/03/21(水) 23:07:20×ウィルス
○ウイルス
0093デフォルトの名無しさん
2007/03/21(水) 23:33:39×ウイルス
○ウィノレス
0094デフォルトの名無しさん
2007/03/27(火) 20:08:18○ウインドウズ
0095デフォルトの名無しさん
2007/03/27(火) 20:34:04×ウインドウズ ▽
○ワインドウゾ っ⊥
■ このスレッドは過去ログ倉庫に格納されています