http://www.eserv.ru/download/Eserv_KAV5.rarРаспаковать поверх установленной базовой конфигурации Eserv+Eproxy, предварительно остановив или переименовав acSMTP.exe и Eproxy.exe. Запускаем в каталоге antivirus/kav программу KAV5_bases_updater.exe — она должна будет скачать базы в покаталог data (в формате, пригодном как для KAVE, так и для KAVSS). Ключ подойдет от KAVSS. Триальный ключ KAVSS/KAVE, если нужен, здесь:
http://www.eserv.ru/download/KavTrialEserv3.key (записать в каталог antivirus/kav и antivirus/kav5).
Потом в Antivirus в опциях ставим =KAV5 (для acSMTP), для Eproxy добавляем строку в OnStartupPlugins.rules.txt :
\ Plugin: http-proxy\plugins\antivirus\kav
Plugin: http-proxy\plugins\antivirus\kav5 и перезапускаем acSMTP и Eproxy.
Багрепорты сюда или на support@eserv.ru. Спасибо!
Будем стараться до конца года плавно пересесть на KAVE.
<30>
Эта ошибка E_FAIL в KAV используется повсеместно, поэтому сложно сходу сказать, в чем именно причина.
ScanningProcess.exe среди запущенных процессов при этом появляется?
И еще для работы plugin'а в PigMail может быть нужно пути какие-то поменять. Я еще не испытывал с PigMail.
В Eproxy запись об инициализации kave есть?
В Eserv3\DATA\log\antivirus\200712av-r.txt вот такое:
2007-12-13 08:08:11 AvLoad: DbInfo: 13.12.2007 (463681 virus records); Engine: KAVSS 4.0.2.32
хотя в OnStartupPlugins.rules.txt :
Plugin: http-proxy\plugins\antivirus
\ Plugin: http-proxy\plugins\antivirus\kav
Plugin: http-proxy\plugins\antivirus\kav5
Кстати:
В 200712av-r.txt есть записи:
Если запустить KAV5_bases_updater.exe
а в 200712av-r.txt запись об обновлении не добавляется.
Сколько должно быть запущено ScanningProcess.exe (у меня, например) их два.
Так перезагрузку баз тоже надо как-то пнуть. Штатно это делает сам плагин, который сначала запускает апдейтер, а потом перезагружает базы.
В PigMail/PigProxy базы подхватываются при любом способе подсовывания.
Дополнительно сделал изменения за 26.12.07
Попробовал перегрузить EProxy — вывалилась ошибка
В "C:\Program Files\Eserv3\Eproxy\conf\OnStartupPlugins.rules.txt" закомментировал antivirus\kav5. Только после этого EProxy запустился. Проверки http трафика не происходит. Обновление — все нормально, а вот в "C:\Program Files\Eserv3\DATA\log\antivirus\200712av.txt" абсолютно ничего не пишется, тестовый вирус на компутер закачивается.
Где и что можно подкрутить?
А! Вот же
Лучше не спешите брать изменения с CVS. Это ведь уже после выпуска 3.33 изменения идут (см. по дате), т.е. к 3.34. Там могут быть беты и вообще нетестированный код, и несовместимый с exe из 3.33 код. Если спец.рекомендаций по применению этих изменений нет, то надежнее ждать полной сборки.
А вот тестовый вирус так и пробирается через http.
А в кэш попадает? В eicar.zip тоже не ловит?
Eproxy\conf\http-proxy\plugins\antivirus\OnRequest.rules.txt без изменений?
В OnStartup.plugins.txt так
...
\ Plugin: http-proxy\plugins\cfilter
Plugin: http-proxy\plugins\antivirus
Plugin: http-proxy\plugins\antivirus\kav5
\ Plugin: http-proxy\plugins\antivirus\drweb
Plugin: http-proxy\plugins\cache
...
...
\ Plugin: http-proxy\plugins\antivirus
Plugin: http-proxy\plugins\antivirus\kav5
...
Видимо, когда перестал запускаться EPROXY, я начал отключать плагины. А включил не все.
В настоящий момент все работает.
Спасибо!
<30>
Plugin: http-proxy\plugins\cfilter
Plugin: http-proxy\plugins\antivirus
Plugin: http-proxy\plugins\antivirus\kav5
\ Plugin: http-proxy\plugins\antivirus\drweb
Plugin: http-proxy\plugins\cache
Eproxy\conf\http-proxy\plugins\antivirus\OnRequest.rules.txt:
AvScan
\ URL =~
URL =~ *.jpg | AvNoScan
URL =~ *.gif | AvNoScan
Видимо, из-за HTTP-заголовков не распознался. Или это битый экземпляр, в котором вместо правильного содержимого — детект AvScanMemory.
А кэш у пользовательского браузера тоже надо почистить предварительно — может, оно там уже было, и браузер вообще никуда не лезет. Если таки скачивается — посмотрите в потроха файла, что именно скачивается.
Скачался файл. Вот его содержимое:
EICAR-Test-File
Так и должен работать? Т.е. при скачивании зараженных файлов будет подменяться содержимое файла на имя вируса "на лету"? А как плагин будет работать с зараженными архивами, письмами?
Может существует краткое описание методики работы антивирусного плагина от KAV, все-таки продукт платный, а из описания только про установку написано, а как он работает — эксперементальным путем узнаешь
Опера сразу передала загрузку даунлоадеру. тот начал закачивать.
Локальный касперский обнаружил и идентифицировал его как желатин.
Почему то пропускает на EProxy.
База от 3 января. А желатин этот свежий.
Запустил KAV5_bases_updater.bat
kav_update.log:
В 200801av-r.txt записи не поменялись
В 200801av-r.txt записи не поменялись
Базы обновились (до запуска updater v1.1)и сровнялись по дате с локальной базой:
Пролезает, зараза, на локальный диск.
В предыдущей серии я обновлял базы предыдущим касперским. После этого acSMTP не захотел загружаться. После обновления KAV5 antivirus bases updater v2.0a for Eserv/3.x © 2002-2007 Etype. сервис запустился.
>nslookup parentscards.com
Server: ns.enet.ru
Address: 195.135.212.6:53
* ns.enet.ru can't find parentscards.com: Non-existent domain И через мастерхостовый DNS тоже.
Вышлите, пожалуйста, этот файл (в архиве с паролем) на support@eserv.ru
На суппорт отправил письмо с архивом. Пароль в письме.
Если попробовать отправить exe-шник почтой в чистом виде, то получим:
Т.е. KAVE 5.0.1.83 знает об этом звере и ловит его.
А при проверке http как то не очень он его замечает.
О, нормальные обновления пошли.
Да, есть проблема, даже в кэше не опознает его, разбираюсь.
26.12.07 обновился до версии 3.33.
Вот сегодня решил глянуть логи и заметил, что KAV 5 с 26.12 не обновлялся. Странно как-то.
Запустил KAV5_bases_updater, он нормально слазил в свои сервера и вроде как обновился.
Глянул в лог 200801av-r а там как было от 26.12.07 так и осталось.
Перезагрузка баз произошла только когда рестартанул acSMTP и Eserv.
В Updater5 поставьте: cmd.exe /C ..\antivirus\kav\KAV5_bases_updater.bat
(слэши в обратную сторону)
Если от вас этот сервер с вирусом еще доступен, то попробуйте, пожалуйста, этот Eproxy:
(При загрузке с локального веб-сервера вирус этим eproxy ловится).
200801av.txt:
Тут, к сожалению, пространства для манёвра нет. На тот момент, когда в процессе скачивания опознается вирус, http-заголовок уже отдан клиенту, т.е. content-type мы сменить уже не можем. Значит не можем заставить браузер перестать качать файл как бинарник, а показать в браузере как текст с названием вируса. Поэтому вирусованные exe и архивы будут качаться как и все остальные бинарные файлы, сохраняться у пользователя, но не будут открываться/запускаться, т.к. в то место, где KAV находит вирус, Eproxy вставляет название вируса.
Выходит, http-заголовок в кэше иногда мешает KAV сориентироваться в содержании файла. Это не страшно (с учетом вчерашних изменений в Eproxy.exe по части проверки файлов в памяти на лету) но на всякий случай по этому поводу сделал вчера изменения и в cache plugin:
Изменения в CommonPlugins\log.str.txt:
434 *{Dirs[AV]}\{YYYYMM}av.txt*{YYYY-MM-DD} {hh:mm:ss};AvScanFile;INFECTED;{CURRENT-CACHE-TMP-FILENAME};{s};{s}
440 *{Dirs[AV]}\{YYYYMM}av.txt*{YYYY-MM-DD} {hh:mm:ss};AvScanFile;OK;{CURRENT-CACHE-TMP-FILENAME};None;Yes
Если у кого есть вдруг на примете вирусы, которые Eproxy не ловил — интересно будет испытать. На DrWEB тоже может повлиять (в лучшую сторону).
К сожалению, этот вариант plugin'а вынужденно использует больше файловых операций (создаются временные файлы без http-заголовков), т.е. должен быть медленнее. Наверное стоит его сделать отдельной версией кэш-плагина, а не включать по умолчанию.
Пока замедления не заметил.
Если "зверек" встретиться — обязательно пришлю.
В EProxy.log записи VIRUS_TERM по этому поводу нет.
Локальный Касперский:
и в локальный кэш броузера пролазит.
Проверьте, пожалуйста.
Насчет VIRUS_TERM разберусь, спасибо!
А незапись VIRUS_TERM починил (это случалось с вирусами, которые отдавались на странице в chunked-режиме передачи). Новый Eproxy.exe:
VIRUS_TERM отображается, все вроде нормально.
Логи прокси
Закрыл Оперу, открыл, пошел по адресу:
Файл скачался, но локальный касперский его не считает вирусом, хотя размер файла вроде не изменился.
Временное решение проблемы в виде принудительной перезагрузки баз в Eproxy я выпустил еще вчера: