Комментарии 27
За чуть более чем 1 час уже было опубликовано 3 топика про уявзимости.
Сегодня и вправду день уязвимостей на хабре.
Сегодня и вправду день уязвимостей на хабре.
Видать программисты вчера наславу погуляли ;-)
Щас придут ребята из ЛК и начнут выражать Вам дизреспекты =))
Потенциально положена на лопатки эвристика. Радует, что она была так хороша, что единственной отмечала потенциально небезопасное действие из всех антивирусов, и печалит, что её так просто обошли.
Какой же IRabinovich молодец! Дать инвайт за статью, где опускается один из главных конкурентов. Браво! :)
НЛО прилетело и опубликовало эту надпись здесь
При чём здесь скудность эмуляции? Тут тема была в том, что эмуляция проводилась на недостаточно низком уровне и легко перехватывалась.
A сейчас лк выложили патч «b» для 2011 версии, мне в нем дырки считать уже надоело =)
Ребятки, такой нескромный вопрос, на главной сие появится должно, как я понял, по достижения определенного количества баллов, так вот, есть где глянуть текущее? Спасибо.
По-моему эмуль нужен для того, чтобы ловить поделки всяких чудаков с конструкторами, найденными в Инете, а также китайские, которые берут не красотой, а массой. Против серьезных вещей создаются другие линии обороны; эмуль — самая первая.
А стек кто будет балансировать?
Это Вам не _cdecl!
Это Вам не _cdecl!
А зачем? Ведь до возврата из функции дело-то все равно не дойдет.
Ну, в примере — согласен.
Но в «реале» эти хаки — зло, источники трудно-уловимых ошибок.
ну и RtlLockHeap не только с LocalSize-a вызывается.
Но в «реале» эти хаки — зло, источники трудно-уловимых ошибок.
ну и RtlLockHeap не только с LocalSize-a вызывается.
В «реале» всё что надо было бы сделать — восстановить оригинальные байты хученой функи =)
>>>В «реале» всё что надо было бы сделать — восстановить оригинальные байты хученой функи =)
В «реале-product code» такое использовать нельзя.
А такие проблемы надо решать «долгими feedback-ами/wishlist-aми» с производителями.
P.S.: если интересно- попробуйте также выполнение кода с:
1) TLS или DllMain(для .dll);
2) задействовать SEH;
3) выполнение со стека или кучи.
Помню года 4 назад антивирусы TLS даже не знали.
В «реале-product code» такое использовать нельзя.
А такие проблемы надо решать «долгими feedback-ами/wishlist-aми» с производителями.
P.S.: если интересно- попробуйте также выполнение кода с:
1) TLS или DllMain(для .dll);
2) задействовать SEH;
3) выполнение со стека или кучи.
Помню года 4 назад антивирусы TLS даже не знали.
Зарегистрируйтесь на Хабре, чтобы оставить комментарий
Уязвимость эмулятора в антивирусе Касперского