Comments / Profile of Dywar / Habr

Пичугин Дмитрий @Dywar

веб программист

ProfileArticles3PostsNewsComments359

Безопасность сетевой инфраструктуры. Расширенные методы взлома и защиты. Видео

Dywar May 15 2015 at 20:50

Отлично, спасибо за труд.

Look

Можно ли совместить юнит тесты и профилирование памяти?

Dywar May 14 2015 at 18:23

1) Человек из JetBrains.
www.youtube.com/watch?v=KbuJdkPLAjw

2) Windbg.

!dumpheap [-stat] [-mt <>] [-type <>] [-strings] [-min] [-max]
(What classes take space in managed heap)

!dumpgen <genNum> [-free] [-stat] [-type <>] [-nostrings]
(Dumps the contents of the specified generation (sosex))

!dumpdomain 	(сколько доменов.)
!EEVersion	(отображает версию GC.)
!threads		(отображает потоки. -special для специальных потоков)
!dumpheap 	(garbage collector heap.)
!dumpheap -type SpaceName.Type (покажет объект в куче.)
!dumpheap -type Free -stat	(поиск пустых объектов, показывает кол-во всего и пустые из них.)
!gcroot XXX		(отображает тех кто удерживает объект от сборки.)
!objsize XXX		(отображает размер объекта (и все объекты на которые он ссылается, включено в него.)

Если попытаться загрузить sos при старте приложения ничего не выйдет, надо аттачиться когда процесс уже прошел первичную инициализацию.

Look

Можно ли совместить юнит тесты и профилирование памяти?

Dywar May 13 2015 at 20:17

Если почитать два последних поста от Jet, то в них можно найти видео.
В одном из которых автор доклада бегает по куче и считает объекты используя C# unsafe.

Можно использовать windbg с расширением SOS.dll, SOSEX.dll.
Запускаем программу, цепляемся в нужном месте, и смотрим SOH (0,1,2) и LOH.

Look

Анализ CPL malware, часть 2

Dywar May 13 2015 at 20:06

Список VM для поиска странный.

Look

Как «русские хакеры» пытались узнать о новых санкциях против России: изучаем CVE-2015-1701

Dywar May 13 2015 at 19:55

Странно что в подобных статьях нет бурного обсуждения :)
И обнаружение такого бага не похоже на случайность.

Look

Trojan-Downloader.Win32.Cabby.cemx — Часть вторая — Функционал

Dywar May 13 2015 at 04:43

Не рассмотрены и думаю, лучше один раз бегло прочитать.
Сокровенные технологии, интересно что бы это могло быть. Таблица импортов которую спрашивали у тех поддержки (видео на Youtube) :)?
Шифрование:
«Второй закон Шамира: криптографию не сломают, ее обойдут.»

Вот с распознанием проблемы, и у тех кто уже десятилетия работает в этой сфере, иначе зачем нам постоянные обновления если и так все работало.

Look

Релиз нового мобильного 2ГИС

Dywar May 12 2015 at 19:47

Microsoft 640, полет хороший. Только плавности не хватает при просмотре карты, но оффлайн это здорово, теперь не так плохо без Andriod.
Открывается быстро, закрывается быстро, не виснет, карта г. Самара без проблем скачалась, UI красивый.
Спасибо!

Look

Trojan-Downloader.Win32.Cabby.cemx — Часть вторая — Функционал

Dywar May 12 2015 at 18:01

У AV VM не все хорошо со временем, об этом написано в других местах.
Но рассказывать об этом в подробностях в паблике не лучший способ защитить пользователей, т.к. они ничего не изменят, а те кто пишет малварь изменят очень многое.

Если вас интересует как работают AV, и не спрашивать одно и тоже несколько лет подряд, пройдите бесплатный курс www.intuit.ru/studies/courses/1042/154/info.

Сигнатуры хороший способ, но как говорил Евгений, будущее за другими системами.

Статья хорошая, в копилку, спасибо!

Look

Дениел Таммет — Различные способы познания

Dywar May 12 2015 at 17:12

Очень понравился перевод.
Смотрел бы такие видео вместо популярных из ТОП на youtube.com, только подобные не так легко найти.

Look

Учёные получили прочнейший материал, добавив в паутину наночастицы углерода

Dywar May 10 2015 at 08:50

Это похоже на хороший сюжет для фильма.

Look

Правим баг без исходных кодов

Dywar May 10 2015 at 05:55

Интересно, познавательно и легко написано.
Всегда хотел также легко писать ASM, и знать адреса, смещения, IAT и фокусы отладки (хотя прошел Рикардо до 40 главы, забывается когда не используешь повседневно). Но выбрал C#, а там свои чудеса.

Жду пост о «SmallTalk», интересно.

Look

Trojan-Downloader.Win32.Cabby.cemx — Часть первая — Распаковка

Dywar May 7 2015 at 18:45

Как вы отличите файл присланный по почте, скаченный в «temp» и/или перемещенный на рабочий стол, от файла который там лежал месяц до этого?

P.S. В Linux практикуют запрет запуска из «temp» например, но это осложнит жизнь при обновлениях другого ПО для Windows.
Не тратьте время на разбор деталей с почтой, я знаком с тем на что способны/неспособны корпоративные AV для почтовых серверов.

Look

Trojan-Downloader.Win32.Cabby.cemx — Часть первая — Распаковка

Dywar May 6 2015 at 17:12

Интересно, продолжение ждемс.

vah13*
Офисные документы и фото, доступ к которым не требует дополнительных прав.

Ti_Fix*
Имунка поддерживает питон, пофикшены некоторые баги ольки, и можно использовать плагины ольки, вроде как специально сделан для изучения малвари.

Look

Microsoft откажется от Patch Tuesday для Windows 10

Dywar May 5 2015 at 19:36

Правильно заметили выше «бета обновлений» нет.
Обкатать их на миллиарде устройств всех возможных конфигураций и установленным сторонним ПО (которое может и без того работать не корректно, использовать не рекомендуемые функции и т.д.) — нереально.
Баги были, есть и будут всегда.

Смысл сказанного в статье — простые пользователи стали получать обновления быстрее (ура), корпоративные остались на прежних условиях (нам удобно, ничего не надо менять).

Специально для таких случаев скопировал цитаты:
«Первый закон Шамира гласит: систем с абсолютной безопасностью не существует и никогда не будет существовать.»
Шамир — «Устранить все возможные уязвимости в конкретной программе ныне так же бессмысленны, как и 30 лет назад.»

Look

Microsoft откажется от Patch Tuesday для Windows 10

Dywar May 5 2015 at 19:12

Выбрали из двух зол меньшее.

Админы наученные имеют VM с типовым набором программ, на которую накатывают обновления и смотрят — работает или нет. И только после этого теста разрешают обновляться доменным компьютерам.

Еще плюс в том что корпоративные клиенты как правило защищены лучше, у них есть firewall как локальный так и на общем шлюзе, GPO, правильная настройка прав пользователя, AV со свежими базами. Поэтому могут подождать, и получить проверенные обновления. (Для них получается ничего не измениться, и планировать работы по обновлению будет так же удобно).

Look

Лучшие доклады .NEXT 2014 в Питере (видео внутри)

Dywar May 5 2015 at 16:46

Здорово, спасибо за видео!

Look

Интересные заметки по C# и CLR

Dywar May 4 2015 at 13:40

Есть WRK v1.2 (официально доступный исходник)
The Windows Research Kernel v1.2 contains the sources for the core of
the Windows (NTOS) kernel and a build environment for a kernel that will run on
x86 (Windows Server 2003 Service Pack 1) and
amd64 (Windows XP x64 Professional)
A future version may also support booting WRK kernels on Windows XP x86 systems,
but the current kernels will fail to boot due to differences in some shared
structures.

The NTOS kernel implements the basic OS functions
for processes, threads, virtual memory and cache managers, I/O management,
the registry, executive functions such as the kernel heap and synchronization,
the object manager, the local procedure call mechanism, the security reference
monitor, low-level CPU management (thread scheduling, Asynchronous and Deferred
Procedure calls, interrupt/trap handling, exceptions), etc.

Смотрел по курсу Intuit.ru «Введение во внутреннее устройство Windows».
Очень интересно, правда забыл уже почти все.

Look

Интересные заметки по C# и CLR

Dywar May 4 2015 at 10:43

Здорово.

Look

Интересные заметки по C# и CLR

Dywar May 3 2015 at 06:23

Проверил пункт «36) Поля класса».

1) Неправильно.

class Car
    {
        private string _name = "car";
        private int _speed = 15;
        private int _sits = 5;

        public Car()
        {

        }

        public Car(string name)
        {
            this._name = name;
        }

        public Car(int speed)
        {
            this._speed = speed;
        }

        public Car(int speed ,int sits)
        {
            this._speed = speed;
            this._sits = sits;
        }
    }

  // Code size       43 (0x2b)
  .maxstack  8
  IL_0000:  ldarg.0
  IL_0001:  ldstr      "car"
  IL_0006:  stfld      string ConsoleApplication1.Car::_name
  IL_000b:  ldarg.0
  IL_000c:  ldc.i4.s   15
  IL_000e:  stfld      int32 ConsoleApplication1.Car::_speed
  IL_0013:  ldarg.0
  IL_0014:  ldc.i4.5
  IL_0015:  stfld      int32 ConsoleApplication1.Car::_sits
  IL_001a:  ldarg.0
  IL_001b:  call       instance void [mscorlib]System.Object::.ctor()
  IL_0020:  nop
  IL_0021:  nop
  IL_0022:  ldarg.0
  IL_0023:  ldarg.1
  IL_0024:  stfld      string ConsoleApplication1.Car::_name
  IL_0029:  nop
  IL_002a:  ret
} // end of method Car::.ctor

  // Code size       43 (0x2b)
  .maxstack  8
  IL_0000:  ldarg.0
  IL_0001:  ldstr      "car"
  IL_0006:  stfld      string ConsoleApplication1.Car::_name
  IL_000b:  ldarg.0
  IL_000c:  ldc.i4.s   15
  IL_000e:  stfld      int32 ConsoleApplication1.Car::_speed
  IL_0013:  ldarg.0
  IL_0014:  ldc.i4.5
  IL_0015:  stfld      int32 ConsoleApplication1.Car::_sits
  IL_001a:  ldarg.0
  IL_001b:  call       instance void [mscorlib]System.Object::.ctor()
  IL_0020:  nop
  IL_0021:  nop
  IL_0022:  ldarg.0
  IL_0023:  ldarg.1
  IL_0024:  stfld      int32 ConsoleApplication1.Car::_speed
  IL_0029:  nop
  IL_002a:  ret
} // end of method Car::.ctor

  // Code size       50 (0x32)
  .maxstack  8
  IL_0000:  ldarg.0
  IL_0001:  ldstr      "car"
  IL_0006:  stfld      string ConsoleApplication1.Car::_name
  IL_000b:  ldarg.0
  IL_000c:  ldc.i4.s   15
  IL_000e:  stfld      int32 ConsoleApplication1.Car::_speed
  IL_0013:  ldarg.0
  IL_0014:  ldc.i4.5
  IL_0015:  stfld      int32 ConsoleApplication1.Car::_sits
  IL_001a:  ldarg.0
  IL_001b:  call       instance void [mscorlib]System.Object::.ctor()
  IL_0020:  nop
  IL_0021:  nop
  IL_0022:  ldarg.0
  IL_0023:  ldarg.1
  IL_0024:  stfld      int32 ConsoleApplication1.Car::_speed
  IL_0029:  ldarg.0
  IL_002a:  ldarg.2
  IL_002b:  stfld      int32 ConsoleApplication1.Car::_sits
  IL_0030:  nop
  IL_0031:  ret
} // end of method Car::.ctor

2) Правильно.

 class Car
    {
        private string _name;
        private int _speed;
        private int _sits;

        public Car()
        {
            this._name = "car";
            this._speed = 15;
            this._sits = 5;
        }

        public Car(string name) : this()
        {
            this._name = name;
        }

        public Car(int speed) : this()
        {
            this._speed = speed;
        }

        public Car(int speed ,int sits) : this()
        {
            this._speed = speed;
            this._sits = sits;
        }
    }

  // Code size       17 (0x11)
  .maxstack  8
  IL_0000:  ldarg.0
  IL_0001:  call       instance void ConsoleApplication1.Car::.ctor()
  IL_0006:  nop
  IL_0007:  nop
  IL_0008:  ldarg.0
  IL_0009:  ldarg.1
  IL_000a:  stfld      string ConsoleApplication1.Car::_name
  IL_000f:  nop
  IL_0010:  ret
} // end of method Car::.ctor

  // Code size       17 (0x11)
  .maxstack  8
  IL_0000:  ldarg.0
  IL_0001:  call       instance void ConsoleApplication1.Car::.ctor()
  IL_0006:  nop
  IL_0007:  nop
  IL_0008:  ldarg.0
  IL_0009:  ldarg.1
  IL_000a:  stfld      int32 ConsoleApplication1.Car::_speed
  IL_000f:  nop
  IL_0010:  ret
} // end of method Car::.ctor

  // Code size       24 (0x18)
  .maxstack  8
  IL_0000:  ldarg.0
  IL_0001:  call       instance void ConsoleApplication1.Car::.ctor()
  IL_0006:  nop
  IL_0007:  nop
  IL_0008:  ldarg.0
  IL_0009:  ldarg.1
  IL_000a:  stfld      int32 ConsoleApplication1.Car::_speed
  IL_000f:  ldarg.0
  IL_0010:  ldarg.2
  IL_0011:  stfld      int32 ConsoleApplication1.Car::_sits
  IL_0016:  nop
  IL_0017:  ret
} // end of method Car::.ctor

А так если у кого есть желание и VS не 2013, пусть выложат свои результаты по автосвойствам.

Look

Как заработать очки, даже не запуская игру

Dywar May 2 2015 at 10:42

Я ждал такого ответа.
А на этой версии www.hex-rays.com/products/ida/support/download_freeware.shtml можно использовать hex-rays?
Или Ильфак изменил свою позицию, возможно пропустил в СМИ.

Расстраивает что люди перестали замечать разницу между лицензией и контрафактом.

Look

1 2 ...

15 16