img - Xakep Online

UNITSАнтон «ant» Жуковfaq@real.xakep.ruunitedQ: Крис Касперски в свое время приводилдельный способ урезать Windows — удалитьвсе файлы, у которых дата и время обращения кним не отличаются от даты установки системы.Я попытался написать прогу, которая делала быэто автоматически, но, как оказалось, извлечьMAC (Modified, Access, and Change) — не такаятривиальная задача. Обычные функции дляуправления файлами с этим справиться не могут.Как быть?A: Если тебя не переполняет желание ковырятьсяс таблицей MFT и ее структурами (атам есть подводные камни, поверь мне), толучше в качестве помощника использоватьутилиту mac-robber (www.sleuthkit.org).Тулза mac-robber четко занимается тем, чтосчитывает атрибут MAC для всех файлов всистеме. К тому же она написана автором известногонабора приложений The Sleuth Kit(TSK), предназначенных для самого подробногоизучения жесткого диска. Они тебе тожепригодятся: если все же захочешь поковырятьсяс MFT, то для лучшего понимания хорошобы сначала поработать со структурированнымиотчетами, который подготовят TSKи прога ProDiscover (www.techpathways.com/DesktopDefault.aspx?tabindex=3&tabid=12).Q: Как проще всего установить модуль кPython'у?A: Для того, чтобы скачать, собрать, установитьили обновить модули, есть специальныйинструмент setuptools. Необходимые инструкциии файлы-инсталляторы для разных ОС тывсегда найдешь на сайте pypi.python.org/pypi/setuptools. Под виндой подключения новогомодуля к интерпретатору выглядит следующимобразом:1. После установки setuptools в папке со сценариямиу тебя появляется скрипт easy_install,а также его скомпилированная версия в видеexe’шника. Название говорит само за себя —решение используется для простой инсталляцииновых модулей. Это как менеджер пакетовдля системы.2. С этого момента любой модуль устанавливаетсяпростой командой через консоль:easy_install [название модуля]. В этом случаевсе необходимые файлы закачиваются из репозитория.Помимо этого, можно указать ссылкуна архив и/или egg-пакет (специальный форматдля библиотек Python) с модулем:easy_install example.com/path/to/MyPackage-1.2.3.tgz.Q: Как проще всего определить, что PDF-файлзаражен, не заморачиваясь с хитрыми утилитами,которые не дают четкого ответа, а выплевываютпромежуточную информацию для анализаспециалистом. Хочу простого ответа — зараженфайл или нет.A: Самый простой инструмент в этом плане— утилита PDF Scanner (blogs.paretologic.com/malwarediaries/CL_PDF_Scanner.zip). Навход ей подается документ в формате PDF, а навыходе она выдает один из трех вердиктов:1. «nothing found» (файл чист);2. «potential risk — JavaScript code» (в файлеесть JS-вставки, которые могут быть опасны);3. «suspicious file» (файл содержит опасныевставки, используемые, как правило, малварью).Если есть желание поэкспериментировать,попробуй скормить программе пару «плохих»файлов с зараженных доменов из списка,140 XÀÊÅÐ 08 /139/ 10