邮件服务器-邮件系统-邮件技术论坛(BBS)

标题: Security Plus4.X慎升，有后门！ [打印本页]

作者: wxhsh 时间: 2009-4-7 14:50
标题: Security Plus4.X慎升，有后门！
MD SP4插件经测试，存在后门，用注册机（无论哪一款）生成的KEY，可能会在运行一段时间后出错，并会造成队列停止处理，直接影响邮件正常收发，而在同一台机器上降级为3.06就正常了。但这个现象好象和RP有关，本人在三台服务器上就一台发生此情况。
环境：MD10.04。

[ 本帖最后由 wxhsh 于 2009-4-7 17:00 编辑 ]

作者: wxhsh 时间: 2009-4-7 14:57
3.06界面：
[attach]7527[/attach]
正常的4.02界面，未升级
[attach]7528[/attach]
升级后的4.02界面，已出错：
[attach]7529[/attach]
同样序列号的4.02日志：
[attach]7530[/attach]
同样序列号的3.06日志：
[attach]7531[/attach]

作者: fsdjsb 时间: 2009-4-7 16:55
这个不是病毒插件的版本吗?MD SP4会升级病毒插件的版本吗?MD也会有补丁包,第一次听说,在官网上没有看到提供的下载呀?

[ 本帖最后由 fsdjsb 于 2009-4-7 16:59 编辑 ]

作者: wxhsh 时间: 2009-4-7 16:57
标题: 回复 3楼 fsdjsb 的帖子
我缩写了，SP即security plus，即旧版av(antivirus)插件。测试4.0以上均存在此问题，但不是每次都发作。

作者: fsdjsb 时间: 2009-4-7 17:00
呵呵,没整明白,我还以为和微软一样了出了services pack了,我不明白从上面的截图,怎么可以看出有后门呢?

[ 本帖最后由 fsdjsb 于 2009-4-7 17:02 编辑 ]

作者: wxhsh 时间: 2009-4-7 17:01
标题: 回复 5楼 fsdjsb 的帖子
一直用没事，今天发觉出问题了，幸好是测试机发现。

作者: MDaemonMVP 时间: 2009-4-7 17:02
我刚用没几天已经碰到了，卸载了sp，然后重新装的，找了半天毛病才找到是sp的问题

作者: fsdjsb 时间: 2009-4-7 17:04
从上面的截图,怎么可以看出有后门呢?

作者: wxhsh 时间: 2009-4-7 17:06
因为刚装好是可以正常使用并升级的，但过了一阵，突然就不好了，并且不象KEY失效那样禁用插件，而会影响MD收发，关闭SP也不行，必须卸载，因此怀疑是后门。

作者: YUEN 时间: 2009-4-7 20:06
好在楼主及时发现并提醒！偶还没有使用最新版部署

作者: leungys 时间: 2009-4-7 21:13

原帖由 wxhsh 于 2009-4-7 14:50 发表
MD SP4插件经测试，存在后门，用注册机（无论哪一款）生成的KEY，可能会在运行一段时间后出错，并会造成队列停止处理，直接影响邮件正常收发，而在同一台机器上降级为3.06就正常了。但这个现象好象和RP有关，本人在三 ...

下載這個 CurrPorts v1.60 , 看一看在自己電腦中ports 的使用情況, 本人覺得很方便, 比DOS 的netstat command 好 !!

http://www.nirsoft.net/utils/cports.html

作者: lwz_08 时间: 2009-4-7 23:09
一直用的3.X版本.4以上的没用过,包括MD10以上的版本只测试过就K掉了

感谢LZ提醒

作者: yon 时间: 2009-4-8 02:19
这个情况我早说了啊.. 只不过用词没这么吸引人！还是版主厉害..

http://bbs.5dmail.net/thread-181740-1-1.html

作者: U-Mail 时间: 2009-4-8 11:01
AV插件是有这个问题，对于响应的版本就没事，这个问题我以前也遇到过。

作者: Hokings 时间: 2009-4-9 00:48
我这里用的Security Plus4.02一直都很正常，没遇到楼主所说的问题。怀疑是中文版MD补丁功能不全。

[ 本帖最后由 Hokings 于 2009-4-9 00:52 编辑 ]

作者: tdk 时间: 2009-4-9 10:08
大家看看avupdate.log 日志也许有收获。

作者: heieye104 时间: 2009-4-9 10:11
我用正版的验证下，如果还出现这样的问题那就是软件的重大BUG,

测试段时间再回复大家

作者: heieye104 时间: 2009-4-9 10:23
刚发现我用在964 的正式环境下一直用的是4.0.2 是正版的，用着一直没有出现过问题，

应该跟LZ说的差不多，程序被做后门了，大家还是慎用

作者: fsdjsb 时间: 2009-4-9 10:40

原帖由 heieye104 于 2009-4-9 10:23 发表
刚发现我用在964 的正式环境下一直用的是4.0.2 是正版的，用着一直没有出现过问题，

应该跟LZ说的差不多，程序被做后门了，大家还是慎用

即然用正版的没有遇到问题，为什么还会说程序被做后门了呢

作者: heieye104 时间: 2009-4-9 10:42
正版的序列号他们是不会去破坏的

作者: fsdjsb 时间: 2009-4-9 10:46

原帖由 heieye104 于 2009-4-9 10:42 发表
正版的序列号他们是不会去破坏的

你不是一直使用正常吗,和正版序列号去不去破坏又有什么关系?

作者: Hokings 时间: 2009-4-9 11:01

原帖由 tdk 于 2009-4-9 10:08 发表
大家看看avupdate.log 日志也许有收获。

昨天看到此帖，还特地去更新了一下4.0.2的KEY，仍然可以正常升级。Log如下：

#Update session at 10:20:32 on 2009-04-09
Date Time Action Status Object
2009-04-09 10:20:32 -- SPUPDATER START --
2009-04-09 10:20:32 Version 4.0.2
2009-04-09 10:20:32 Subscription active: 730 days left
2009-04-09 10:20:37 Connect to server OK http://dnl-04.geo.kaspersky.com/
2009-04-09 10:20:45 Download file OK index/6/u0607g.xml.dif
2009-04-09 10:20:45 Getting file list
2009-04-09 10:20:52 Download file OK bases/av/avc/i386/av-i386-0607g.xml.dif
2009-04-09 10:20:52 Download file OK bases/av/avc/i386/av-i386-0607g.xml.klz
2009-04-09 10:21:01 Download file OK bases/upd/upd-0607g.xml.dif
2009-04-09 10:21:01 Download file OK diffs/bases/av/avc/i386/fa001.avc.zyh
2009-04-09 10:21:02 Download file OK diffs/bases/av/avc/i386/base642c.avc.ana
2009-04-09 10:21:02 Download file OK diffs/bases/av/avc/i386/base645c.avc.erm
2009-04-09 10:21:02 Download file OK diffs/bases/av/avc/i386/base654c.avc.1j_
2009-04-09 10:21:02 Download file OK diffs/bases/av/avc/i386/base719c.avc.rv5
2009-04-09 10:21:02 Download file OK bases/av/avc/i386/base720c.avc
2009-04-09 10:21:03 Download file OK diffs/bases/av/avc/i386/dailyc.avc.s2y
2009-04-09 10:21:03 Download file OK diffs/bases/av/avc/i386/ext087c.avc.iie
2009-04-09 10:21:03 Download file OK diffs/bases/av/avc/i386/daily-ec.avc.6re
2009-04-09 10:21:03 Download file OK diffs/bases/av/avc/i386/base162.avc.aya
2009-04-09 10:21:03 Download file OK diffs/bases/av/avc/i386/base167.avc.fps
2009-04-09 10:21:03 Download file OK diffs/bases/av/avc/i386/unp040.avc.18e
2009-04-09 10:21:03 Download file OK diffs/bases/av/avc/i386/daily.avc.fls
2009-04-09 10:21:04 Download file OK diffs/bases/av/avc/i386/fa.avc.3_s
2009-04-09 10:21:04 Download file OK diffs/bases/av/avc/i386/avp_x.set.o-f
2009-04-09 10:21:04 Download file OK diffs/bases/av/avc/i386/avp.set.2vv
2009-04-09 10:21:05 Download file OK diffs/bases/av/avc/i386/avp_ext.set.se7
2009-04-09 10:21:05 Install file OK bases/u0607g.xml
2009-04-09 10:21:05 Install file OK bases/av-i386-0607g.xml
2009-04-09 10:21:05 Install file OK bases/fa001.avc
2009-04-09 10:21:05 Install file OK bases/base642c.avc
2009-04-09 10:21:05 Install file OK bases/base645c.avc
2009-04-09 10:21:05 Install file OK bases/base654c.avc
2009-04-09 10:21:05 Install file OK bases/base719c.avc
2009-04-09 10:21:05 Install file OK bases/base720c.avc
2009-04-09 10:21:05 Install file OK bases/dailyc.avc
2009-04-09 10:21:05 Install file OK bases/ext087c.avc
2009-04-09 10:21:05 Install file OK bases/daily-ec.avc
2009-04-09 10:21:05 Install file OK bases/base162.avc
2009-04-09 10:21:05 Install file OK bases/base167.avc
2009-04-09 10:21:05 Install file OK bases/unp040.avc
2009-04-09 10:21:05 Install file OK bases/daily.avc
2009-04-09 10:21:05 Install file OK bases/fa.avc
2009-04-09 10:21:05 Install file OK bases/avp_x.set
2009-04-09 10:21:05 Install file OK bases/avp.set
2009-04-09 10:21:05 Install file OK bases/avp_ext.set
2009-04-09 10:21:05 Install file OK bases/av-i386-0607g.krg
2009-04-09 10:21:05 SecurityPlus virus definitions updated successfully.
2009-04-09 10:21:12 Virus definition count: 2024671
2009-04-09 10:21:30 -- SPUPDATER END --

作者: wxhsh 时间: 2009-4-9 11:06
标题: 回复 22楼 Hokings 的帖子
这个怎么说呢，我早就说了，和RP有关，我三台MD SERVER，同样的版本，不同的序列号，一台发生这情况。

作者: tdk 时间: 2009-4-9 11:51
标题: 回复 22楼 Hokings 的帖子
我是想让wxsh看看日志是不是有升级失败、不完全等问题

作者: leungys 时间: 2009-4-9 14:34
下載這個 CurrPorts v1.60 , 看一看在自己電腦中, ports 的使用情況
http://www.nirsoft.net/utils/cports.html

本人發覺當使用v10.0.3 或v10.0.4 時, 電腦會嘗試連到這個地址 116.92.1.80 的port 80, 我有點覺得是 three-way handshaking, 可參考以下
http://www.study-area.org/network/network_ip_tcp.htm

大家有沒有這個問題呢? 可分享一下嗎?

作者: yon 时间: 2009-4-9 15:09
我测试的是用D版MD10.03-10.04 都有这样问题.

作者: yon 时间: 2009-4-9 20:11
我现在用3.06版本测试. 可以升级. 注册码我也没变的情况下.

看来4.02版本认证方面有变动. 应该在注册码后面又加了一个认证.

作者: yon 时间: 2009-4-9 23:10
刚装了3.06了的，不停的重复下代码. 还是不能用.

作者: yon 时间: 2009-4-9 23:16
又使用4.01 版本. 还是不行

Date Time Action Status Object
2009-4-9 23:12:32 -- SPUPDATER START --
2009-4-9 23:12:32 版本 4.0.1
2009-4-9 23:13:16 使用扩展定义
2009-4-9 23:13:18 无效的密钥文件！失败
2009-4-9 23:13:18 无法初始化 KLAV！失败
2009-4-9 23:13:18 无法连接到任何服务器。失败
2009-4-9 23:13:18 更新进程失败！

作者: wxhsh 时间: 2009-4-10 11:13
标题: 回复 29楼 yon 的帖子
4X的任何一个版本都不行，只要这个机器中招的话，不过我尝试退回306倒成功升级并使用的，看来还是RP啊。

作者: yon 时间: 2009-4-10 15:15

原帖由 wxhsh 于 2009-4-10 11:13 发表
4X的任何一个版本都不行，只要这个机器中招的话，不过我尝试退回306倒成功升级并使用的，看来还是RP啊。

3.06 是可以升级，但是始终无法结束升级，下载完了病毒定义更新后，又自动重新开始再下载，不停的重复. 还是用不成.

谁给个SP注册码？

作者: Hokings 时间: 2009-4-10 15:36
LGJWGOD-ZRHUOPL-MUJHXQU
HEHFAFF-QQKZOEN-WXYACQO
NIDEDDY-EAFBZXE-ZICMURL
GYVRGDY-TTIPGER-TJWXQNU
KOOUECM-KEYGCJC-JNRLUEE

作者: Kyan 时间: 2009-4-10 20:48
都是【笨蛋】！

TDK 版主叫 "大家看看 avupdate.log 日誌也許有收穫"。居然沒有一個「人」去看。

這根本不是 SecurityPlus 4.02 的後門，而是它每天下載病毒定義碼的程式被其他程式（如防火牆）擋住了，使它每天下載病毒定義碼的程式於下載病毒定義碼的時候發生錯誤所致。你們可以到 C:-> MDaemon -> SecurityPlus 與 avupdate.log 去比對一下就知道了。因為 AntiVirus 3.06 和 SecurityPlus 4.02 下載病毒定義碼的程式二者略有不同，你們可以把這二個程式裡的 AVTray.exe 叫出來，看 Configure Virus Definition Update... 裡面下載病毒定義碼的程式，比一比就明白了。可是就有一批人認為這是 SecurityPlus 4.02 的後門。這世界上還有比你們【笨】的人嗎？

因為我實在看不過去了，再下海來糗你們一下，你們想罵儘量的罵吧，我不會理會你們這些【笨蛋】。

作者: leungys 时间: 2009-4-10 23:08

原帖由 Kyan 于 2009-4-10 20:48 发表
都是【笨蛋】！
TDK 版主叫 "大家看看 avupdate.log 日誌也許有收穫"。居然沒有一個「人」去看。
這根本不是 SecurityPlus 4.02 的後門，而是它每天下載病毒定義碼的程式被其他程式（如防火牆）擋住了，使它 ...

Hi senior,
I don't care about the backdoor of SecurityPlus, I just concentrate on what the IP "116.92.1.80" is and its functions. Have you checked what I mentioned in this post?

作者: Kyan 时间: 2009-4-10 23:15

原帖由 leungys 于 2009-4-10 23:08 发表

Hi senior,
I don't care about the backdoor of SecurityPlus, I just concentrate on what the IP "116.92.1.80" is and its functions. Have you checked what I mentioned in this post?

Resolver

作者: leungys 时间: 2009-4-10 23:40

原帖由 Kyan 于 2009-4-10 23:15 发表
Resolver

That's all?

作者: Kyan 时间: 2009-4-11 00:20

原帖由 leungys 于 2009-4-10 23:40 发表

That's all?

What do you care about?

作者: leungys 时间: 2009-4-11 07:52

原帖由 Kyan 于 2009-4-11 00:20 发表

What do you care about?

What I concern is whether the IP is backdoor or not. I noticed that even without SecurityPlus (V4.0.x) installation, the result is still the same while using just 30-day trial version of MDaemon v10.0.3 or later, the IP "116.92.1.80:80" is still detected. Of course, if this IP is really a resolver (c21resolver1.ctmail.com), it would be better. Do you know which part of MDaemon v10.0.3 or later make use of this IP, for example, spam filter?

Have you tested the port usage with the CurrPorts and got the same result by the way?

作者: Kyan 时间: 2009-4-11 09:15

原帖由 leungys 于 2009-4-11 07:52 发表

What I concern is whether the IP is backdoor or not. I noticed that even without SecurityPlus (V4.0.x) installation, the result is still the same while using just 30-day trial version of MDaemon v ...

Now, I use MDaemon 10.04, and MDaemon 10.03, I also used have been very long. But, I have not met these problems which you said that perhaps is I have not paid attention.

[ 本帖最后由 Kyan 于 2009-4-11 09:56 编辑 ]

作者: yon 时间: 2009-4-11 22:09
查看日志了，说认证注册文件无效. 根本不是防火墙的问题，安装3.06就可以升级，4.X版本就不行了. 连都连不成.

作者: Kyan 时间: 2009-4-12 05:40

原帖由 yon 于 2009-4-11 22:09 发表
查看日志了，说认证注册文件无效. 根本不是防火墙的问题，安装3.06就可以升级，4.X版本就不行了. 连都连不成.

認證註冊文件無效， SecurityPlus 4.02 就是 MDaemon 的後門嗎？能不能升級是因由於 SecurityPlus 4.02 是 MDaemon 後門的關係嗎？我希望你說話要經過大腦，我們現在是在釐清 SecurityPlus 4.02 究竟是不是 MDaemon 的後門。經本人測試結果，基於本人在 33 樓所說的原因，SecurityPlus 4.02 不是後門程式，它每天更新（下載）病毒定義碼的程式於下載病毒定義碼的時候發生失敗（Failed）是由你們自己造成的。怎麼能說它是後門程式呢？

見下列圖示：

[attach]7555[/attach]

[ 本帖最后由 Kyan 于 2009-4-12 06:55 编辑 ]

作者: leungys 时间: 2009-4-12 08:09

原帖由 Kyan 于 2009-4-12 05:40 发表
認證註冊文件無效， SecurityPlus 4.02 就是 MDaemon 的後門嗎？能不能升級是因由於 SecurityPlus 4.02 是 MDaemon 後門的關係嗎？我希望你說話要經過大腦，我們現在是在釐清 SecurityPlus 4.02 究竟是不是 MDae ...

Don't waste time on arguing the backdoor of SecurityPlus and its related update issues although wxhsh has not yet provided existing evidence of the backdoor.

[ 本帖最后由 leungys 于 2009-4-12 08:14 编辑 ]

作者: Kyan 时间: 2009-4-12 11:47

原帖由 leungys 于 2009-4-12 08:09 发表

Don't waste time on arguing the backdoor of SecurityPlus and its related update issues although wxhsh has not yet provided existing evidence of the backdoor.

Ok!

作者: wxhsh 时间: 2009-4-13 08:30
标题: 回复 43楼 Kyan 的帖子
本来就是讨论的帖子，并且也声明是偶发事件，无法证明有后门，但另一方面你们也拿不出没有的证据，这恐怕只有ALTN的开发人员最有权威性了，对网友进行人格侮辱就过分了些，还是自重一些的好。

作者: Kyan 时间: 2009-4-13 08:58

原帖由 wxhsh 于 2009-4-13 08:30 发表
本来就是讨论的帖子，并且也声明是偶发事件，无法证明有后门，但另一方面你们也拿不出没有的证据，这恐怕只有ALTN的开发人员最有权威性了，对网友进行人格侮辱就过分了些，还是自重一些的好。

1. 你帖子的標題是【經驗】，不是【討論】。

2. 43 樓我只是回答【Ok!】，沒有對你有任何批評，更沒有對你人格有所侮辱。

作者: wxhsh 时间: 2009-4-13 09:00
标题: 回复 45楼 Kyan 的帖子
1.说经验是因为这是我经历的体验，二楼有详细日志，也没分类错。
2.我说的是网友，并不是我。

作者: Kyan 时间: 2009-4-13 09:37

原帖由 wxhsh 于 2009-4-13 09:00 发表
1.说经验是因为这是我经历的体验，二楼有详细日志，也没分类错。
2.我说的是网友，并不是我。

你是在這個論壇裡像 U-mail 一樣最受人尊重的一位，你的經驗是非常受人重視。因此，我認為你沒有七、八分把握不會以一個專題的形態貼上來，可是這個問題也曾經困櫌我有二個星期之久，後來終於弄清楚是怎麼一回事。因此，我也希望你能永遠保持這個美好的形象，可是這件事情讓我失望了，因為你太草率了，使人對 SecurityPlus 4.02 陷於恐慌。

至於 40 樓 Yon 的帖子，牛頭不對馬嘴，難道不該譴責嗎？

如果，你認為我對其他網友有不禮貌之處，我願在此公開向大家致歉。

[ 本帖最后由 Kyan 于 2009-4-13 09:45 编辑 ]

作者: fsdjsb 时间: 2009-4-13 10:39
KYAN老师回到论坛就是一件很好的事情，我觉得有wxhsh、kyan两位这样的高手在论坛上是我们这些正在学习、使用MD的网友的幸事。

作者: fsdjsb 时间: 2009-4-13 11:15

原帖由 wxhsh 于 2009-4-7 14:50 发表
MD SP4插件经测试，存在后门，用注册机（无论哪一款）生成的KEY，可能会在运行一段时间后出错，并会造成队列停止处理，直接影响邮件正常收发，而在同一台机器上降级为3.06就正常了。但这个现象好象和RP有关，本人在三 ...

弱弱的问一句,这个RP是什么意思?

作者: wxhsh 时间: 2009-4-13 11:17
标题: 回复 49楼 fsdjsb 的帖子
hehe,RP＝人品，开玩笑的话。

作者: fsdjsb 时间: 2009-4-13 11:24
我还以为又是一个功能的缩写了,没办法,水平比较滥,只有什么都问了,呵呵.

作者: yon 时间: 2009-4-14 02:34

原帖由 Kyan 于 2009-4-13 09:37 发表

你是在這個論壇裡像 U-mail 一樣最受人尊重的一位，你的經驗是非常受人重視。因此，我認為你沒有七、八分把握不會以一個專題的形態貼上來，可是這個問題也曾經困櫌我有二個星期之久，後來終於弄清楚是怎麼一回事 ...

你怎么又跑出来攻击人了？

我们在讨论，我们在陈述问题，你自己都明白是什么，在骂别人做什么？再说我遇到的问题根本不是你说的那样. 你为什么一来就骂人？是不是你应该把说的话用在你自己？

我有说过确定是后门什么的嘛？为什么你总是出来捣乱?? 别说你说的不对，就算你说的任何，你有权利辱骂别人？这就是你的品质？

作者: yon 时间: 2009-4-14 02:37

原帖由 wxhsh 于 2009-4-7 14:57 发表
3.06界面：
7527
正常的4.02界面，未升级
7528
升级后的4.02界面，已出错：
7529
同样序列号的4.02日志：
7530
同样序列号的3.06日志：
7531

我刚看到楼主补充的图片跟我发生的情况类似.. 既然我也发生这样的情况，就不是偶然.

作者: Kyan 时间: 2009-4-14 03:38

原帖由 yon 於 2009-4-14 02:37 發表

我剛看到樓主補充的圖片跟我發生的情況類似.. 既然我也發生這樣的情況，就不是偶然.

原帖由 yon 於 2009-4-14 02:34 發表

你怎麼又跑出來攻擊人了？
我們在討論，我們在陳述問題，你自己都明白是什麼，在罵別人做什麼？再說我遇到的問題根本不是你說的那樣. 你為什麼一來就罵人？是不是你應該把說的話用在你自己？
我有說過確 ...

你真是一個無藥可救的笨蛋。

你可以從 41 樓我貼出的圖片上明確的可以看到，它先是以 http://dn1-15.geo.kaspersky.com/ 和它的 Server 連接更新（下載）2009-04-12 的病毒定義碼，到 02:02:09 因 timeout expired 而造成失敗（FAILED），而它即另以 http://dn1-09.geo.kaspersky.com/ 與它 Server 連接，繼續下載病毒定義碼，那不是偶發事件是什麼？又和後門程式有什麼關連？你知道嗎，你不能升級是因為你笨又不肯學習的關係？還上來嘰嘰喳喳的做什麽？

[ 本帖最后由 Kyan 于 2009-4-14 03:42 编辑 ]

作者: stephen_to 时间: 2009-5-20 14:47