» WinRAR (часть 2)

ValdikZZ
Засунул бы, если б не заявление в конце статьи - "кому нужен WinRAR, если есть 7-Zip"

EugeneRoshal

Цитата:

Засунул бы, если б не заявление в конце статьи - "кому нужен WinRAR, если есть 7-Zip"

То есть достаточно взять 7-zip SFX (благо все исходники доступны), сделать свой кастомный модуль, вызывающий... да хотя бы тот же putty, заменить им стандартный, сделать видео на ютубе и сказать: "Ну а что теперь у вас есть ?"

Как люди не поймут, что любой исполняемый файл (и даже скрипт) всегда потенциально опасен.

В общем, есть только одна мысль: добавить в будущей версии возможность подписывать архивы стандартными сертификатами и проверять их. А остальным "погрозить пальчиком" и стого сказать: "Запускайте только подписанные sfx-архивы". Глупость ? Безусловно. Но с дураками можно говорить только на их же языке.

Кстати, на теме безопасности PkWare с их SecureZip уже давно паразитирует. И неважно, как там на самом деле, главное, что они налили воды в уши окружающим.

EugeneRoshal

И для 7-Zip есть такое - LZMA SDK -> \bin\installer\config.txt:

Цитата:

;!@Install@!UTF-8!
Title="Software 7.00"
BeginPrompt="Do you want to install the Software 7.00?"
RunProgram="7zr.exe b"
;!@InstallEnd@!

модуль 7zS2con.sfx (7z Setup SFX). Завтра и про него такое же отпишут. Там же через строку RunProgram="" так же можно что угодно запустить, а в оформлении написать любой бред и это пройдёт.

Добавлено:
Benchmark

Прямое попадание мины в котёл с лапшой с фугасным эффектом на уши окружающих. Точнее про сию шумиху не скажешь. Наверняка завтра её авторы вылезут с каким-то своим супер-чудом кое всем жизненно необходимо. Иначе какой им смысл устраивать сию свистопляску?

EugeneRoshal

Цитата:

Спасибо. Я тоже уже этот код изучаю. Он у меня не работает, хотя с perl http сервера читается нормально. Я его для начала упростил до:

Я поразбирался еще, похоже этот код использует прошлогоднюю дыру в Windows:
https://technet.microsoft.com/en-us/library/security/ms14-064.aspx
Так что упрощать этот код нет смысла, там расчет на порчу памяти предыдущими командами. Но по идее оно ж год назад пропатчено везде, кроме XP. Да и в XP в MSIE со стандартными настройками безопасности запуск exe у меня почему-то не работает. Максимум что удалось - уронить MSIE.

EugeneRoshal

Ну, тогда это только моему другу грозит который никак с ХР расстаться не желает - "PC-BSD? Но её же изучать надо!".

Добавлено:
EugeneRoshal

Да, в оригинале "эксплойта" MS14-064 и поминается. Видать у него ось была дырявой.

EugeneRoshal
Victor_VG

Цитата:

везде, кроме XP

Думаю, на XP Embedded фикс тоже есть (оно, кажется):
windowsxp-kb3006226-x86-embedded-rus_8a810a5265535f840379caf3865cb8688e382434.exe
А установить его на "обычную" XP — не проблема.

ALEX666999

Добре, цапнул, но по мне - пусть учится.

EugeneRoshal
ИМХО, не делайте ничего, если эти изменения не несут никакой практической пользы. А то придется реагировать на каждый чих каждого блоггера в каждом углу интернетов.

Цитата:

windowsxp-kb3006226-x86-embedded-rus_8a810a5265535f840379caf3865cb8688e382434.exe

Уже неактуально KB3006226 заменено на KB3020338.

Цитата:

Реально и это ничего не даст. Злоумышленник может заменить модуль на свой.

Цитируя Рэймонда Чена:
Цитата:

It rather involved being on the other side of this airtight hatchway

lvqcl
Почитал Чена, да, похоже.

В случае с WinRAR SFX оно даже более гротескно. Иранский пионер берет старый, давно закрытый exploit Windows, приписывает WinRAR, назначает самопальный критический рейтинг на каком-то левом сайте, рассылает по СМИ с броским заголовком, и волна пошла. Причем, хоть бы кто из сайтов, специализирующихся на безопасности, смог вычислить, что это прошлогодний MS14-064 / CVE-2014-6332. Там ведь достаточно поискать на гугле название функции runmumaa из эксплойта. Мне, чтоб это понять, понадобился почти день, ну так я и не называю себя экспертом по безопасности. А это ведь и securitylab.ru напечатали, и blog.malwarebytes.org, и прочие подобные. Причем, статьи без упоминания MS14-064 продолжали выходить и после того, как мы написали про нее на rarlab.com. На malwarebytes.org еще и мой комментарий под их статьей не пропустили, других читателей - да, разработчика - нет. Я отправил десятка два писем журналистам, ответили двое или трое.

А какие глубокомысленные заявления делают эксперты по безопасности в http://www.v3.co.uk/v3-uk/news/2428326/winrar-critical-flaw-leaves-millions-open-to-compressed-file-attacks
Exe файл, оказывается, could lead to malicious file execution, significant increase in .rar and .zip phishing mails и т.п.

То что обычные журналисты перепечатывают статью без проверки - неудивительно. Но моя вера в компетентность security experts сильно пошатнулась

EugeneRoshal

Цитата:

Но моя вера в компетентность security experts сильно пошатнулась

Адекватные security-эксперты не увидели ничего нового, 95% остальной прессы - желтуха.

Впрочем, есть тут один поучительный момент.

Уязвимость запатчена год назад, и даже обладателям неподдерживаемой WinXP повезло - благодаря обновлению для WinXP Embedded патч есть и у них. Теперь представим, что срок поддержки Embedded истёк и обновления не было бы. В результате остается открытая уязвимость в компоненте OS, но в ней обвинили бы WinRAR.

Это к вопросу о том, почему многие разработчики не желают долго поддерживать устаревшие OS.

Benchmark

Цитата:

Это к вопросу о том, почему многие разработчики не желают долго поддерживать устаревшие OS.

Согласен.

EugeneRoshal

На секлабе из руководства надо напрямую с Solder говорить, остальных админов я там не знаю. Но последнее время там слишком много спама начиная с виагры и кончая "взломаю сайт за умеренную плату" и школяров стало - эти вообще ересь пишут. Для иных банальная мысль почистить клавиатуру крамола даже когда им прямо это говорят.

Kaspersky Lab добавили детект на default.sfx из последней тестовой сборки. Отправил им файл на анализ как ложное срабатывание. Прислали ответ, что детект правильный:

Цитата:

Здравствуйте,

Это файл - потенциально опасное программное обеспечение. Данный файл является кейлогером и может быть использован вредоносным программным обеспечением.

Default.SFX - not-a-virus:Monitor.Win32.Ardamax.voa

skipik

Идиоты. Делать им нечего!

skipik

Цитата:

Kaspersky Lab добавили детект на default.sfx из последней тестовой сборки

Не понял:

Цитата:

SHA256:     3f64277f1afe71ad06dbe051de377fe6bec231de7437225752f5234f589e619e
File name:     Default.SFX
Detection ratio:     0 / 56
Analysis date:     2015-10-07 22:10:42 UTC ( 0 minutes ago )

p.s. Оказывается у меня сборка была не самая последняя:

Цитата:

Antiy-AVL     RiskWare[Monitor:not-a-virus]/Win32.Ardamax     20151007
DrWeb     Trojan.KeyLogger.28354     20151007
Kaspersky     not-a-virus:Monitor.Win32.Ardamax.voa     20151007
Panda     Generic Suspicious     20151007

Таки идиоты, да.

p.p.s. Самое смешное, что на Default64.SFX из того же билда не ругается никто.

Benchmark

Идиотизм штука заразная:

Цитата:

Antiy-AVL     RiskWare[Monitor:not-a-virus]/Win32.Ardamax     20151007
Baidu-International     Hacktool.Win32.Monitor.voa     20151007
DrWeb     Trojan.KeyLogger.28354     20151007
Kaspersky     not-a-virus:Monitor.Win32.Ardamax.voa     20151007
Panda     Generic Suspicious     20151007

Добавлено:
Туды же:

Цитата:

SHA256:     d52053756804b97ad985c66936469d1ff8442d7f1cafcaaa43668b6839a1300d
Имя файла:     wrar53b4.exe
Показатель выявления:     5 / 56
Дата анализа:     2015-10-07 22:55:22 UTC (0 минут назад)

Authenticode signature block and FileVersionInfo properties
Publisher win.rar GmbH
Signature verification Signed file, verified signature
Signing date 7:15 PM 10/7/2015
Signers     
[+] win.rar GmbH
[+] COMODO RSA Code Signing CA
[+] COMODO
Counter signers     
[+] Symantec Time Stamping Services Signer - G4
[+] Symantec Time Stamping Services CA - G2
[+] Thawte Timestamping CA
Packers identified
F-PROT maxorder, appended, RAR, Unicode ???????????????????

SHA256:     bad9bf1c0373504d02a565fdee2fda533e99ef1a8306d9a9693caf8c7e23bc00
Имя файла:     winrar-x64-53b4.exe
Показатель выявления:     5 / 56
Дата анализа:     2015-10-07 22:59:17 UTC (0 минут назад)

Publisher win.rar GmbH
Signature verification Signed file, verified signature
Signing date 7:15 PM 10/7/2015
Signers     
[+] win.rar GmbH
[+] COMODO RSA Code Signing CA
[+] COMODO
Counter signers     
[+] Symantec Time Stamping Services Signer - G4
[+] Symantec Time Stamping Services CA - G2
[+] Thawte Timestamping CA
Packers identified
F-PROT maxorder, appended, RAR, Unicode ?????????????????????

Описание
PE32+ executable for MS Windows (GUI) Mono/.Net assembly

TrID     InstallShield setup (57.6%)
Win64 Executable (generic) (37.0%)
Generic Win/DOS Executable (2.6%)
DOS Executable Generic (2.6%)
Autodesk FLIC Image File (extensions: flc, fli, cel) (0.0%)

VirusTotal metadata
First submission 2015-10-07 18:30:02 UTC (4 часов, 30 минут назад)
Last submission 2015-10-07 22:59:17 UTC (1 минута назад)
Имена файлов     winrar-x64-53b4.exe
winrar-x64-53b4(1).exe

Ну и понятно вопрос - где, что и сколько потребили? Тут явно одними мухоморами из домашних запасов не обошлось. Наверняка и что покрепче потребили.



Меня особо позабавило:

Цитата:

Packers identified
F-PROT maxorder, appended, RAR, Unicode

ибо не слышал я чтобы FRISK/CYREN пакеры под торговой маркой FPROT выпускала. Походу мадам для закуси новый сорт мухоморов купила... Ранее когда я был знаком с К. по работе ни он сам, ни его студенты о таком и помыслить бы не посмели - профессиональная репутация!, но ненасытность мадам перевесила...

Как говорится "Беда не приходит одна"

BennyBlanco

У мадам всплеск активности. Знакомая картина.

skipik

Цитата:

Прислали ответ, что детект правильный

Похоже толком и не смотрели на содержимое.

Benchmark

Цитата:

p.s. Оказывается у меня сборка была не самая последняя:

Я скоро бету 5 выложу. Шум по поводу "уязвимости" имел и положительную сторону. В связи с этим мне прислали несколько других замечаний по безопасности. Мелких, но лучше поправить. Так что нужна еще бета.

Кстати, blog.malwarebytes.org, на которых все ссылались в перепечатке новости, выложили обновление с извинениями: https://blog.malwarebytes.org/news/2015/10/redaction-winrar-vulnerability/
Правда поздновато, волна уже прошла, вплоть до http://www.rg.ru/2015/10/01/arch-site.html и http://www.mk.ru/science/2015/10/01/winrar-otkryvaet-khakeram-dostup-k-kompyuteram500-millionov-polzovateley.html

Цитата:

Правда поздновато, волна уже прошла, вплоть до

Что ещё раз доказывает - достаточно одного вопля, чтобы его тут же подхватила куча некомпетентных, мягко говоря, лиц, которым лишь бы показать себя. Кстати, на mk.ru:
Цитата:

WinRAR, который могут использовать более полмиллирада пользователей по всему миру,

Это во второй строке сообщения, после чего желание читать отпадает сразу. Кстати, ошибка там не одна.

Цитата:

Очень не хватает 2 функций, из-за отсутствия которых часто вынужден использовать Bandizip:

http://www.bandisoft.com/bandizip/help/utf8/ - переключение кодовой таблицы для обработки имён файлов. Очень помогает, когда имеем дело с файлами, созданными в системе с языком, отличным от англ и рус и без UTF-8. (глупо ожидать, что просле добавления поддержки архивирования с именами в UTF-8 в некоторые массовые архиваторы все архивы вдруг станут с UTF-8)

http://www.bandisoft.com/bandizip/help/fastdnd/ - нормальная поддержка drag-and-drop. Сейчас WinRAR способен производить только 1 операцию перетаскивания за раз, и чаще всего использует системную папку TEMP как буфер (причём логика "использовать - не использовать" мне до сих пор не понятна), что в итоге требует больше времени и дисковых операций на распаковку. Более того, у меня не раз случалось такое, что WinRAR зависает в какой-то момент, и это в итоге приводит к невозможности использования drag-and-drop во всей системе, если не убить процесс.

Всё ещё никакого прогресса по этим возможностям? (Про баг с зависшим d'n'd - обнаружил недавно, что исправляется нажатием Esc)

WinRAR 5.30 beta 5
http://www.rarlab.com/rarnew.htm
http://www.rarlab.com/rar/wrar53b5.exe
http://www.rarlab.com/rar/winrar-x64-53b5.exe

Liandri

Цитата:

Всё ещё никакого прогресса по этим возможностям?

В 5.30 - нет. Я пробовал сделать быстрый drag&drop хакерским методом - отдаем временный файл нулевой длины с уникальным именем, а потом с ReadDirectoryChangesW ждем его появления на всех локальных дисках. Если появился, мы знаем каталог назначения drag&drop и можем распаковывать прямо в него.

Но проблема в том, что, во-первых, он может не появиться вообще, если назначение не является локальным каталогом. Во-вторых, он может появиться в каком-нибудь временном каталоге. Например, перетаскиваем мы на ftp клиент, а он перед закачкой файлов на сервер решит закэшировать их где-нибудь в %temp%. А WinRAR обнаружит этот файл с уникальным именем в %temp% и распакует туда весь архив, вместо того, чтобы передать его ftp клиенту как положено.

Если бы пользователи перетаскивали только на локальные диски, этот метод можно было бы использовать. А так как сейчас, пока сомневаюсь. Будет много сбоев при перетаскивании на не локальную файловую систему.

По кодовой таблице - в будущем не исключаю.


Цитата:

(Про баг с зависшим d'n'd - обнаружил недавно, что исправляется нажатием Esc)

Там может просто из-за случайно нажатого Alt меню в WinRAR активизировалось.

EugeneRoshal
Цитата:

Если бы пользователи перетаскивали только на локальные диски, этот метод можно было бы использовать. А так как сейчас, пока сомневаюсь. Будет много сбоев при перетаскивании на не локальную файловую систему.

Оставить это опцией и разъяснить что она будет работать только в проводнике Windows, как это сделано в Bandizip? Не вижу здесь потенциального вреда ни для кого.

Цитата:

По кодовой таблице - в будущем не исключаю.

Лично для меня это - киллер-фича, гораздо важнее чем drag'n'drop. Просто убивает, что большинство современных архиваторов не способны корректно распознать такую простую вещь, как имена файлов внутри архива. С 7z, правда, с горем пополам работают прослойки вроде NTLEA, но с WinRAR вообще ничего не работает - чтобы корректно извлечь файлы из иностранного архива, получается, нужно глобально сменить язык в операционной системе(!).

Liandri

Цитата:

Оставить это опцией и разъяснить что она будет работать только в проводнике Windows, как это сделано в Bandizip? Не вижу здесь потенциального вреда ни для кого.

Может и так.

EugeneRoshal
Andarin

Вот кого (МК) никогда не считал "надёжным источником" - напечатать сплетню, иной бред - это они мастера, а что умное - пардон, но нам как и бодливой корове Бог рогов, ой извините, мозгов не дал. Пустышка и рассчитана на бестолочь.

Про зависший D&D - есть такой эффект связанный с особенностью обработки клавиатурных команд в Windows. Бывает что Alt в приложение может прийти не вовремя и выскочившее меню здорово раздражает ибо не всегда и гасится. Я это в симанке и громоптице, да и не только в них, не раз видел и когда набираешь текст, или приятнее чертишь схему а у тебя курсор улетел в сторону моря и добрый кусок работы следом... Реакция и высказывания в адрес дядя Стиви (Alt и "временная блокировка чтения с клавиатуры" с его многократным повторением во входном KBD буфере это "небольшая дружеская шутка" заложенная им ещё в Windows 3.0) думаю в уточнении не нуждаются...

Liandri

Цитата:

переключение кодовой таблицы для обработки имён файлов. Очень помогает, когда имеем дело с файлами, созданными в системе с языком, отличным от англ и рус и без UTF-8

Вообще да, было бы полезно. И уточню: не английский и русский, а английский и язык, указанный в настройках Windows для не-юникодных программ.

Теоретически можно сделать автодетект: берем "проблемное" имя, а затем, последовательно используя имеющиеся на машине кодовые страницы (тот самый список кодировок, который мы видим во вьювере или редакторе FAR по Shift-F8), конвертируем это имя в юникод и обратно. Если исходное имя и результат конвертации совпал, то кодовую страницу мы, скорее всего, угадали.

Правда не очень ясно, что делать в совсем экзотических случаях, когда внутри архива имена в кодировке, отсутствующей на данной машине. Но такое вряд ли встретится в реальной жизни.

EugeneRoshal

Идиотизм в репертуаре:

Цитата:

Antiy-AVL     RiskWare[Monitor:not-a-virus]/Win32.Ardamax     20151008
DrWeb     Trojan.KeyLogger.28354     20151008
Kaspersky     not-a-virus:Monitor.Win32.Ardamax.voa     20151008

sdeep
3072:pd1iKwny+R54XNs8v0ZhgwVsvDABypk9wCFRPkiWpafjMrkMsX9aa+sJjl8/Ukb:fb+v4XzknwCzkizjtiAJ2/

authentihash b5e15009b4c7f638845b723f0ef46840c607eb33461a6da54ad4fb3ee484c5c3
imphash 3d219f4681878926caf828436244e95f
Размер файла 207.5 KБ ( 212480 bytes )
Тип файла Win32 EXE
Описание
PE32 executable for MS Windows (GUI) Intel 80386 32-bit

TrID     Win32 Executable MS Visual C++ (generic) (42.2%)
Win64 Executable (generic) (37.3%)
Win32 Dynamic Link Library (generic) (8.8%)
Win32 Executable (generic) (6.0%)
Generic Win/DOS Executable (2.7%)
Tags
peexe

VirusTotal metadata
First submission 2015-10-08 09:47:22 UTC (1 час, 23 минут назад)
Last submission 2015-10-08 11:05:36 UTC (5 минут назад)
Имена файлов     DefaultEn.SFX
Default.SFX

на переименованный х64 модуль вирустотал задумался, но заразы не увидел - видать к мадам за инструкциями побежал:

Цитата:

Анализ не выполнен!

Во время анализа что-то пошло не так. Повторите попытку.