Конференция VBStreets

**|kerish|** » 19.09.2006 (Вт) 15:36

Как антивирусные программы ищут на присутствие в файле сотню тысяч сигнатур за несколько секунд?

Я пытался реализовать подобное но скорость была в десятки раз дольше, а с увеличением размера файла и того ужасающая.

**alibek** » 19.09.2006 (Вт) 15:41

Ну они скорее всего сканируют не весь файл, а определенные фрагменты.
Они сканируют в несколько потоков.
Они работают на низком уровне, а не через пару-тройку переходников от readfile до Get #FileNumber (а если в Get идет выборка в строку, так то вообще караул).
Да и скорее всего какие-то свои собственные технологии внедряются.

**|kerish|** » 19.09.2006 (Вт) 15:51

Это понятно.
Короче к чему я вёл, Возможно ли реализовать антивирус, скажем со средней скоростью сканирования на VB?.

**keks-n** » 19.09.2006 (Вт) 16:00

Делали на VB сканер, правда, он на Adware был большей частью, а не на вирусы.

**NashRus** » 19.09.2006 (Вт) 22:45

Да делали на Spyware. Назывался Microsoft Antispyware после покупки этой конторы Майкрософтом. Практически полностью на ВБ60 был. А теперь переписали на Це и назвали Microsoft Defender.

**Andrey Fedorov** » 08.11.2006 (Ср) 10:35

Кстати, вот ссылочка на какой-то антивирус с исходниками - может в чем-то и поможет...

http://www.planet-source-code.com/vb/sc ... deId=53497

**r0ot** » 10.12.2007 (Пн) 23:43

вирус заражает фрагмент файла...и обычно вначало заносится тело вируса, т.к при запуске проги, она передаёт управление вирусу..который инфицирует приложение..затем и запускается сама прога...зная примерный код вируса, можно спокойно обнаружить его. А на счёт скорости...вб не отличался скоростью чтения/записи и т.д

**alibek** » 11.12.2007 (Вт) 8:18

r0ot, это что было? Ты рассказал все, что знал?

**Antonariy** » 11.12.2007 (Вт) 10:10

Это уже не актуально. Подавляющее большинство современных "вирусов" программ не заражают, а распространяются в чистом виде через сети. Теоретически можно смело пропускать файлы больше 1мб.

**r0ot** » 11.12.2007 (Вт) 14:07

alibek, он спросил, я ответил как думаю.

**Antonariy** » 11.12.2007 (Вт) 15:08

r0ot
Ты считаешь свой ответ адекватным? На вопрос "как?" обычно отвечают "А вот так:", если знают, а не грузят ненужными и как минимум неточными сведениями. Если не знают - молчат.

**jangle** » 11.12.2007 (Вт) 15:26

|kerish| писал(а):Как антивирусные программы ищут на присутствие в файле сотню тысяч сигнатур за несколько секунд?

Я пытался реализовать подобное но скорость была в десятки раз дольше, а с увеличением размера файла и того ужасающая.

Нету там сотен тысяч сигнатур в секунду, и быть не может. Короче берется файл, разбивается на несколько кусков, для каждого куска считается MD5 (или сразу для всего файла, червь он всегда один файл). Получаемый хэш, является ключом поля антивирусной базы, в котором хранится описание виря.

**ALX_2002** » 13.12.2007 (Чт) 0:22

jangle писал(а):
|kerish| писал(а):Как антивирусные программы ищут на присутствие в файле сотню тысяч сигнатур за несколько секунд?

Я пытался реализовать подобное но скорость была в десятки раз дольше, а с увеличением размера файла и того ужасающая.

Нету там сотен тысяч сигнатур в секунду, и быть не может. Короче берется файл, разбивается на несколько кусков, для каждого куска считается MD5 (или сразу для всего файла, червь он всегда один файл). Получаемый хэш, является ключом поля антивирусной базы, в котором хранится описание виря.

А если код модифицирован ? Или дописывает себя в исполняемые файлы ? И как же тогда эвристический анализ ?

( Не пытаюсь умность показать, просто спрашиваю, потому как не знаю

)

Конференция VBStreets

Объясните как это возможно?

Объясните как это возможно?

Re: Объясните как это возможно?

Re: Объясните как это возможно?

Кто сейчас на конференции