19. juli 2005 - 11:05Der er
62 kommentarer og 2 løsninger
Batfil til Spywarefri (application data)
Vi har et ønske om en batfil der kan give en DIR.txt fra alle \application data\ mapper på en maskine, også i en situation hvor der er flere brugere tilknyttet. På min maskine med en bruger, ligger den i: C:\Documents and Settings\All Users\ C:\Documents and Settings\SK\ (mig) C:\Documents and Settings\Administrator\ C:\Documents and Settings\Default User\ C:\Documents and Settings\LocalService\ C:\Documents and Settings\NetworkService\
Jeg har lavet en der viser lidt af idéen i det, men hvordan den skal strikkes sammen så den snupper alle brugere, uden at vi har brugernavnene, ved jeg ikke. Grunden til det er den simple at det gerne skulle blive en universel, så vi ikke behøver ændre den hver gang vi skal bruge den.
------------ CD\ CD Documents and Settings\All Users\Application Data\ DIR >C:\spyfri.txt CD\ CD Documents and Settings\SK\Application Data\ DIR >>C:\spyfri.txt CD\ notepad spyfri.txt ------------ Vi håber at opgaven kan løses.
Den er selvfølgelig kun beregnet til Win2K og XP, den specifikke infektion (Lop) den skal bruges imod, placerer sig andre steder i 98 og ME.
ok afventer lige majsmarken.. hvis det kan laves nogenlunde simpelt i en .bat-fil så vil jeg ikke begynde på at lave det på anden måde.. ellers burde det ikke tage lang tid at kode et lille program :)
CD /D %ALLUSERSPROFILE% CD .. DIR /s /b | find "Application Data" > C:\spyfri.txt NOTEPAD C:\spyfri.txt
Så listes en laaaaang liste over alle filer fundet i mapper der hedder "Application Data" - for alle brugerer på putter. Uanset hvor systemet er instaleret eks. C: D: E: Der skal jo være Adm. adgang til at kunne 'kikke' i andre brugeres data...
Hvis nogle brugerer har ændret nogle af deres "Application Data" til at peje på eks et netværksdrev så ved jeg ikke hvad der sker...
Den er tæt på Majsmarken, men som du selv skriver, den tager for meget med, det er kun indholdet af "Application data" der er interessant, undermapperne er dem vi leder efter, hvad der ligger i dem betyder mindre for os. Så kan man på en eller anden måde annullere /s, eller filtrere alt i undermapperne fra, så det ikke kommer med i tekstfilen, så er vi der.*S*
hvis du kalder programmet uden parametre vil den skrive det den finder ned i filen c:\spywarefri.txt
hvis du selv vil bestemme filnavnet kalder du findlop.exe med det ønskede filnavn som første/eneste parameter. Fx vil "findlop c:\spy.txt" putte alle directories under alle brugernes "application data" ned i filen c:\spy.txt
Majsmarken, det jeg mener er noget i stil med dette: Disken i drev C er C Diskens serienummer er 3955-1F0E
Indhold af C:\Documents and Settings\All Users\Application Data
25-04-2005 07:59 <DIR> . 25-04-2005 07:59 <DIR> .. 25-04-2005 08:58 <DIR> BOC412 30-04-2005 10:21 <DIR> VMware 05-05-2005 22:30 <DIR> nView_Profiles 15-05-2005 23:33 <DIR> Spybot - Search & Destroy 17-05-2005 12:13 <DIR> Kaspersky Anti-Virus Personal 29-06-2005 13:42 <DIR> Adobe 0 fil(er) 0 byte 8 mappe(r) 5.078.581.248 byte ledig Disken i drev C er C Diskens serienummer er 3955-1F0E
Indhold af C:\Documents and Settings\SK\Application Data
25-04-2005 08:31 <DIR> . 25-04-2005 08:31 <DIR> .. 25-04-2005 08:31 <DIR> Identities 25-04-2005 08:54 <DIR> Help 25-04-2005 09:01 <DIR> Webroot 25-04-2005 09:04 <DIR> MailWasher 26-04-2005 00:40 <DIR> Macromedia 30-04-2005 10:33 <DIR> VMware 07-05-2005 12:41 <DIR> UnH Solutions 01-06-2005 22:56 <DIR> funkitron 15-06-2005 17:20 <DIR> Lavasoft 29-06-2005 14:03 <DIR> Adobe 03-07-2005 22:01 <DIR> Media Player Classic 04-07-2005 12:31 <DIR> Trend Micro 04-07-2005 14:00 <DIR> Google 17-07-2005 19:09 <DIR> Digital Design Ltd 0 fil(er) 0 byte 17 mappe(r) 5.078.581.248 byte ledig Som du kan se kommer der ikke indhold af undermapperne med, det skal vi ikke bruge til noget.
Hmann>>Kan du få den til at åbne tekstdokumentet på skrivebordet, så tror jeg vi er der. Jeg har dog ikke testet på en maskine med flere brugere endnu.
Begge løsninger virker fint. Jeg inficerede et flerbruger system (msn plus m. sponsor) - og begge finder alle tre mapper. Tonny får de "løse filer" med, men de giver ikke noget ekstra. Til gengæld er hmann's pænere, og udskriften er lige til at klippe ind i et forum-indlæg.
Hvis man får slettet alle tre mapper (én i All Users, og to i %username%), så får man også ram på filen i "Planlagte opgaver". God fornøjelse med point-givning *S*
Jeg blev lige interupted... Kan ikke byde bedre end de andre forslag...
"Begge løsninger virker fint" ... lige en kommentar: <tonnybrandt>: Der skal lige fedtes med starten - ændres til CD /D %ALLUSERSPROFILE% CD .. ellers er den "låst" til C: drevet osv.
<hmann>: Bruger du systemvariablen %ALLUSERSPROFILE% ell. lign - eller er din version også låst til C:
Majsmarken>> Det er nogle bestemte mønstre vi skal lede efter, Lop er gået et skridt videre åbenbart, og jeg har ved selvsyn set at der ligger flere underlige mapper, netop i Application Data, selv efter en rensning med diverse virkemidler. Nogle typiske mappenavne vil være: \deaf corn bold\ \GLUEJU~1\ \4PURE~1\ \fir delt mappe navn\ \tre delt mappenavn\ \nogetværrevrøvl\
Altså en generel søgning på specifikke navne vil være en umulighed, alene det faktum at der findes masser af engelske ord på fire bogstaver, og kombinationer af disse i to, tre eller fire delte mappenavne.
Jeg tror ikke vi skal bekymre os om folk har deres Application data på et netværksdrev, eller lignende, men vi skal forholde os til at den skal køre på det drev windows er installeret på.
Hvad angår point, jeg hæver bare puljen, så alle der deltager konstruktivt skal nok få, jeg har alligevel intet at bruge næsten 100.000 point til.*S*
Puha, godt man ved hvor man skal henvende sig. :-)
Jeg kan se fordele i både Majsmarkens og Hmanns løsninger, Hmanns den hurtige, Majsmarkens den vi kan bruge i anden omgang til at spotte enkeltfiler til sletning med Killbox eller lignende. Hvis vi så lige kunne lokke Hmann til at få programmet til selv at åbne tekstfilen på brugerens skrivebord, så den er nem at copy/paste ind i et forum, så er det 100% som ønsket.
Angående vejledning og download, det vil selvfølgelig være frit tilgængeligt for alle, enten lægger jeg dem selv op, eller også kommer de på http://spywareinfo.dk , vejledning, tjae, kør programmet, kopier loggen ind så vi kan se den, mere er der vel ikke i det?*G*
Pointene går ligeligt til Majsmarken og Hmann, med et stort tak for interessen i tilgift, i har været med til at bekæmpe Lop (må deres sjæle vandre på den mørke side af helvede).
Tonnybrandt må nøjes med en kold eller to næste gang vi mødes.
var ikke lige hjemme i aftes så har først set udviklingen i tråden her til morgen.. jeg kan hurtigt lave så .txt-filen åbnes automatisk i notepad.
skal lige være helt sikker på jeg er med: du vil gerne se enkeltfiler også (altså så du ser mapper og enkeltfiler under application data, men ikke indholdet af mapperne)?
majsmarken> må indrømme jeg ikke bruger den variabel.. stiller mig bar i c:\documents and settings og løber mapperne igennem derfra.
<hmann>: Det er 'bare' det principielle i at "hardkode" til bestemte lokationer; det skal man forsøge at undgå... For at 'bore' mere i det: 1) Hvis bruger ikke har adm. adgang til alle "documents and settings"'s (under)mapper - hvad sker der så? 2) Hvis c:\spywarefri.txt - af en eller anden årsag er "Read-Only"/låst - hvad sker der så ?
majsmarken> vi er da helt enige mht hardcoding... men det var for at gøre det nemt hurtigt - man kan selvfølgelig lave det perfekte program der tager højde for alting og alle situationer, men så tager det bar ikke 10 minutter at lave...
<hmann>: En (næsten) tilfældig: http://www.eksperten.dk/spm/404747 (<fromsej> kender den!) Her er "\Documents and Settings\" => D:\Documents and Settings og så vil "findlop.exe" jo ikke finde det rigtige - så vidt jeg har forstået... Hvis du bruger %ALLUSERSPROFILE% ell. lign. ???
men %ALLUSERSPROFILE% på "brugeren" AllUsers.. så hvis du kun bruger %ALLUSERSPROFILE%, så får du kun listet ting som er installeret "til alle brugere"...
jeg løber alle brugerne igennem.. både AllUsers og alle brugere "hver for sig"
ok lidt svært at forklare :)
er det det med drevbogstavet du mener, så kunne man da godt ændre programmet så det tager det drev hvorpå brugerprofilerne ligger istedet for kun at tage C-drevet.
vil dog tro at i 95% af tilfældende, vil det være C-drevet der skal tages fat i. -alm. brugere som ikke partitionerer deres diske osv installerer oftest windows (incl brugerprofiler) på deres C-drev.
måske man skulle bruge %SYSTEMDRIVE% til at finde hvilket drev vi skal lede på? tror vi næsten rammer alle så.. har aldrig været ude for at folk har deres brugerprofiler liggende på andre drev end selve windows-installationen..
i hvert ikke almene brugere som oftest er dem der skal hjælpes til at komme af med spyware via et forum på nettet
Humm nu har jeg lige prøvet den lille fil som hmann har lavet.. hos mig generer den slet ikke nogen txt fil.. den popper bare lige op med dne lille sorte boks i mindre end 1 sekund også lukker det ned igen....
Jeg har prøvet på 4 forskellige computere - alle med dansk XP Pro.
- 2 kører uden problemer, og tekstfilen åbnes automatisk. - 1 melder om findlop.exe har foranlediget en fejl og lukker, tekstfilen laves dog alligevel. - 1 sort "cmd-box" åbnes kortvarigt (blink), ingen tekstfil (som hos kenp).
fbj1> der er ikke brugt meget energi på programmet, så der er ingen "pæne" fejlmeddelelser hvis noget går galt undervejs.. har testet på 3 computere - XP Pro UK, XP Pro DK og Win2K DK - alle virker perfekt!
kan det være noget med brugerrettigheder for den bruger som kører det? jeg logger ikke på som admin på dem jeg har testet på, men har admin rettigheder..
hvis nogen kan lokalisere hvornår det går galt skal jeg hurtigt forsøge at rette programmet - har desværre ikke selv tid nok til at sidde og på teste forskellige opsætninger...
hmmm hvis jeg nu selv havde en maskine hvor jeg kunne få det til at gå galt, så var det noget lettere at debugge sig igennem det - lidt svært når det flyver afsted på de 3 maskiner jeg har her...
det skulle nok kunne fixes.. hvad foretrækker du? VNC? RDP? men den helt store fordel ved at selv have en maskine det går galt på er, at så kan kunne jeg debugge programmet linie for linie og se hvor/hvad der går galt..
nu har jeg så været inde hos kenp med en debug-version.. kan se at der åbenbart kan være lidt problemer, men hvad det skyldes kom vi ikke ret meget nærmere..
prøver at teste lidt videre her når jeg har tid, men som sagt lidt svært når det på mine 3 maskiner kører upåklageligt..
hvis nogen har ideer eller kan påpege specifikke forskelle der hvor det virker og der hvor det ikke virker, er de meget velkomne til at skrive det her!
hvis nogen forresten har mulighed for at teste den nyeste version på en maskine hvor windows/brugerprofilerne ligger på andre drev end C, må de meget gerne det og komme med feedback om det virker..
... desværre kan kunden ikke få findlop.exe til at køre. De to andre værktøjer er Tonny's fra denne tråd og et lille værktøj, der udskriver tasks fra Planlagte opgaver (som jeg selv lavede for noget tid siden).
Jeg får desværre ikke tid til at teste de næste par dage, men når jeg får det igen, skal jeg installere styresystemer på både D, E og G, så burde det da blive testet igennem.*S*
Mine internetsider blev hacket et par gange, så der er blev flyttet lidt rundt - beklager, at det "gamle" program ikke er blevet fjernet (det gør jeg nu).
Se Tonnybrandts kommentar i tråden, det lyder rigtigt, at den er kørt fra zipfilen, så vil det ikke virke.
Synes godt om
Ny brugerNybegynder
Din løsning...
Tilladte BB-code-tags: [b]fed[/b] [i]kursiv[/i] [u]understreget[/u] Web- og emailadresser omdannes automatisk til links. Der sættes "nofollow" på alle links.
