[資安鑑識]檔案校驗工具FCIV (Microsoft File Checksum Integrity Verifier)

說明：

前一陣子有po一篇文章，[資安鑑識]-手動尋找system32目錄中可能存在的木馬，但這個方法需要透過寫批次檔才可執行且檔案只是做個簡單的比對而已，今天介紹一個更方便的工具叫FCIV (Microsoft File Checksum Integrity Verifier)。

檔案總和檢查碼完整性檢查器 (FCIV) 是一個微軟出的命令提示字元公用程式，會計算並驗證檔案的密碼編譯雜湊值。FCIV 可以計算 MD5 或 sha-1 密碼編譯雜湊值。這些值可以在螢幕上顯示或儲存在 XML 檔案資料庫以供日後使用和查驗。 

使用 FCIV 公用程式，您可以也計算所有的重要檔案的雜湊，並儲存為 XML 檔案資料庫中的值。如果您懷疑您的電腦可能已遭入侵，及重要檔案已經變更，您可以執行FCIV並存成 XML 資料庫，以判斷哪些檔案已被修改。

FCIV支援

MD5、SHA1雜湊演算法，預設為MD5，支援遞迴查詢，並將查詢的結果存到XML檔案

檔案下載：

http://www.microsoft.com/en-us/download/details.aspx?id=11533

使用方式

語法

fciv.exe [Commands] <Options>

FCIV 常用參數：

-r：是遞迴子目錄

-type：指定檔案類型，如-type *.exe

-exc：要排除的目錄

-wp：是去掉全路徑

-v：校驗雜湊值

-xml：後面加結果的檔案路徑 

範例：

要將網站目錄c:\Inetpub\www 下的所有檔案的MD5雜湊值都計算出來

fciv c:\Inetpub\www -r -xml www.xml

如果要比對現在跟之前的MD5檔案就執行

fciv -v -xml www.xml

www.xml裡面有檔案路徑不需要在命令列在額外輸入路徑

比對過後就會列出有被修改過的檔案。如下圖：

透過檔案總和檢查碼完整性檢查器 (FCIV) 計算出網頁或檔案的雜湊值。當未來如檔案被非法異動過，完整性資訊遭到破壞，系統管理者可以自行回復乾淨的檔案程式。

Read More

如何使用AD派送來移除惱人的AskToolBar

前言

我想應該有很多人都有遇過，安裝一個軟體時，不仔細看安裝的內容與路徑，就一直按下一步到安裝結束，後來才發現到這些軟體預設會安裝一堆垃圾程式到你的電腦，這些垃圾軟體可能會綁架你的首頁、改掉搜尋引擎、跳出一堆廣告、或者根本用不到的工具列，嚴重的甚至會安裝間諜程式(Spyware)到你電腦裡，這些軟體安裝後不但難以移除，更是對資訊安全造成嚴重威脅。

前一陣子就不少使用者跟Chris反應，因為安裝了某個軟體而不小安裝到Ask 工具列(Ask Tool Bar)，癥狀就如同上面說的會綁架使用者的首頁為 Ask.com外，其實還會增加網路瀏覽器載入的時間以及記憶體的耗用，處理一台電腦就算了，但如果是多台電腦該怎麼辦呢？

今天就來做個簡單的教學，如何使用AD派送來移除AskToolBar。

目標

移除Ask 工具列(AskToolBar)，並將被綁架的首頁改回

AD軟體派送方式

電腦啟動指令碼

開啟群組原則管理->選擇群組原則物件(範例為Default Domain Policy)->電腦設定->原則->Windows設定->指令碼-(啟動/關機)->啟動。

選擇顯示檔案

新增一個批次檔(範例為Ask.bat)

語法：

@echo off

reg add "HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main" /v "Start Page" /t reg_sz /d http://www.google.com.tw /f

reg add "HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main" /v "Default_Page_URL" /t reg_sz /d http://www.google.com.tw /f

wmic product where "name='Ask Toolbar'" call uninstall

(請自行修改紅字部分)

選擇新增->瀏覽->Ask.bat->確定->確定

使用者登入指令碼

使用者登入指令碼是看使用者的權限可否移除，所以一般使用者沒有權限移除軟體，必須利用runsas 才可以進行移除，因密碼是明文寫在批次檔裡安全性較差故請謹慎使用。

為了怕使用者直接開啟該.vbs偷窺密碼，可以至微軟官網下載 script encoder 將其加密為.vbe
http://www.microsoft.com/downloads/details.aspx?FamilyId=E7877F67-C447-4873-B1B0-21F0626A6329&displaylang=en 

開啟群組原則管理->選擇群組原則物件(範例為Default Domain Policy)->使用者設定->原則->Windows設定->指令碼-(登入/登出)->登入。

選擇顯示檔案~新增一個vbs檔案(範例為RemoveAskToolBar_Step1.vbs)

語法：

set WshShell = CreateObject("WScript.Shell")

WshShell.Run "runas /profile /env /user:mct\administrator ""C:\test\Ask.bat"""

WScript.Sleep 1000

WshShell.Sendkeys "password"

WshShell.Sendkeys "{ENTER}"

(請自行修改紅字部分)

聰明的你應該有發現，使用這種方便大量移除的方法，只要稍微改一下Script就可以刪除一些違反公司政策的軟體嘍。

Read More

.NET LINQ 查詢太陽花水果

下午我在開發公司的產品系統，遇到一些 LINQ Lamba 動態查詢的需求（這個議題，我擇天會寫一篇專文介紹），所以先介紹一下LINQ Query，作為.NET程式設計師(不論是寫C#或VB)都應該知道LINQ查詢語言，而它也是我開發.NET數年最愛的技術之一，因為它的各種內部演算法都已由微軟實作好，通常我都會用 Lambd Expression 或 LINQ Query，如以下語法：

我們先建立 水果清單 …
有 香蕉、蘋果、芒果、香瓜、太陽花（今年台灣的名產）

   1: //建立水果清單

   2:            List<Fruit> Fruits = new List<Fruit>() 

   3:            { new Fruit { Id = 1, Name = "香蕉", Desc = "香蕉" }

   4:            , new Fruit { Id = 2, Name = "蘋果", Desc = "蘋果" }

   5:            , new Fruit { Id = 3, Name = "芒果", Desc = "芒果" }

   6:            , new Fruit { Id = 4, Name = "香瓜", Desc = "香瓜"}

   7:            , new Fruit { Id = 5, Name = "太陽花", Desc = "太陽花，是香蕉的一種^^"}

   8:            };

如果我想找出水果名有 “果”字的，我會用以下兩種方式

第一種 Lamba Expression

   1: //第一種 Lamba Expression

   2: var fruitResult1 = Fruits.Where(t => t.Name.Contains("果"));

第二種，LINQ Query (類似 SQL Style)

   1: //第二種，LINQ Query (類似 SQL Style)

   2:      var fruitResult2 = (from f in Fruits

   3:                          where f.Name.Contains("果")

   4:                          select f);

我們把結果列印至營幕

   1: //找出水果名有 “果”字的，我會用以下兩種方式

   2:           //第一種 Lamba Expression

   3:           var fruitResult1 = Fruits.Where(t => t.Name.Contains("果"));

   4:  

   5:           //Print search result to screen

   6:           Console.WriteLine("第一種 Lamba Expression");

   7:           foreach (Fruit fruit in fruitResult1)

   8:               Console.WriteLine(fruit.Name);

   9:  

  10:           //第二種，LINQ Query (類似 SQL Style)

  11:           var fruitResult2 = (from f in Fruits

  12:                               where f.Name.Contains("果")

  13:                               select f);

  14:  

  15:           Console.WriteLine();

  16:  

  17:           //Print search result to screen

  18:           Console.WriteLine("第二種，LINQ Query (類似 SQL Style)");

  19:           foreach (Fruit fruit in fruitResult2)

  20:               Console.WriteLine(fruit.Name);

  21:  

  22:           //Wait press any key

  23:           Console.ReadLine();

這樣很快的得到我們要的正確結果。


那麼如果有找出太陽花水果呢？


…..各位知道如何寫這段查詢語法吧？

   1: var fruitResult3 = Fruits.Where(t => t.Desc.Contains("太陽花"));

   2:           Console.WriteLine(" 查詢結果。。。今天程式寫累了。。");

   3:           foreach (Fruit fruit in fruitResult3)

   4:               Console.WriteLine(fruit.Name);

Read More