Dnia Wed, 19 May 2010 14:07:00 +0200, Marek napisał(a):

> Tak, zdaję sobie sprawę z istnienia tych mechanizmów. Jednakże ten komputer
> a także mój własny nie miały kompletnie niczego instalowanego poza patchami
> i innymi uaktualnieniami (głównie systemu). Ciężko więc nawet poszukać
> winowajcy.

Jak to nie mialy niczego instalowanego? Korzystasz z komputera z golym
systemem?

> Ponadto nawet zakładając ich wpływ to ciężko jest mi sobie wyobrazić
> dlaczego po zainstalowaniu systemu od zera z bieżącymi wersjami softu (a
> więc ze wszystkimi poprawkami, które i tak wcześniej były zainstalowane)
> wszystko zaczyna normalnie działać. Na wspomnianym laptopie IE ładuje się
> obecnie jakieś 2-3 minuty. Po reinstalce przypuszczam, że będzie to ok. 30s
> jak po reinstalkach bywało (to nie jest szybki komputer).

Trudno rzec, ja system instaluje raz na dwa-trzy lata lub gdy mam awarie
podzespolu (ostatnio dysk mi padl, ale udalo sie system przerzucic bez
reinstalacji), a softu mam ogromne ilosci poinstalowane (menu start ma do 3
kolumn ;-) i nie zauwazam jakiegos znacznego zamulania.
Za to moze to robic rootkit lub trojan. Raz mnie rootkit dopadl, nod32
przepuscil, caly weekend walczylem z gownem, potem zglosilem do eseta i po
kilku godzinach rootkit zostal wykryty w pliku, ktory mnie zarazil. No i
wtedy, gdy ten rootkit hasal komp naprawde zachowywal sie bardzo dziwnie, w
tym takze byl zamulony i np. aplikacje sie samoczynnie zamykaly.

> Czy sądzisz, że to możliwe aby aż do tego stopnia ewentualne podwieszone
> aplikacje hamowały system? Co się może z nimi dziać po reinstalacji?
> Dlaczego przestają przeszkadzać? ...

Jesli po reinstalacji sa dokladnie te same aplikacje i nie mula to przyczyna
nie lezy raczej w aplikacjach.

> no i dlaczego obciążenie CPU tego nie sygnalizuje?

Obciazenie moze sie rozkladac pomiedzy wszystkie procesy, bo de facto hook
dziala w konktekscie kazdego procesu.
Jednak jesli _calkowite_ obciazenie procka tez jest niskie to coraz bardziej
wyglada na rootkita, ktory po prostu oszukuje system podstawiajac falszywe
dane pod funkcje odczytujace obciazenie proca. A jak z temperaturami rdzeni?
Czy wentylator kreci mocniej niz po instalacji?

--
pozdrawiam
Norbert

do góry

Dnia Wed, 19 May 2010 15:07:41 +0200, Norbert napisał(a):

> Jak to nie mialy niczego instalowanego? Korzystasz z komputera z golym
> systemem?

No tak - posługiwanie się skrótami myślowymi prowadzi do nieporozumień...
Nie miały niczego instalowanego poza tym co już było wcześniej
zainstalowane i nie sprawiało żadnych problemów. Nic więcej nie zostało
zainstalowane a problemy same przyszły bo zawsze przychodzą gdy nie robi
sie reinstalek raz na rok, dwa...

> Trudno rzec, ja system instaluje raz na dwa-trzy lata lub gdy mam awarie
> podzespolu (ostatnio dysk mi padl, ale udalo sie system przerzucic bez
> reinstalacji), a softu mam ogromne ilosci poinstalowane (menu start ma do 3
> kolumn ;-) i nie zauwazam jakiegos znacznego zamulania.

Hmmm... a ja mam bardzo różne obserwacje. W zasadzie pod XP nigdy nie
zdarzyło mi się aby pracował sprawnie dłużej niż 2 lata. Tzn. nie ma
jakiejś daty w kalendarzu kiedy coś zaczyna spowalniać. Dzieje się to
stopniowo przez długi czas coraz bardziej.

> Za to moze to robic rootkit lub trojan.

Tylko jak obciążyć komputer i nie wykazać tego w pomiarach? Pytam trochę
teoretycznie gdyż wirusa itp. od lat nie widziałem. KIS jest bardzo
skutecznym softem - nie sądzę aby sprzęt od lat łapał w kółko te same
wirusy powodujące te same zachowania i dopiero po roku czy dwóch.

> Raz mnie rootkit dopadl, nod32
> przepuscil, caly weekend walczylem z gownem, potem zglosilem do eseta i po
> kilku godzinach rootkit zostal wykryty w pliku, ktory mnie zarazil. No i
> wtedy, gdy ten rootkit hasal komp naprawde zachowywal sie bardzo dziwnie, w
> tym takze byl zamulony i np. aplikacje sie samoczynnie zamykaly.

Tak, ale to stało się nagle, prawda? Wtedy można nabrać przekonania co jest
grane.

>
> Jesli po reinstalacji sa dokladnie te same aplikacje i nie mula to przyczyna
> nie lezy raczej w aplikacjach.

No właśnie ... w systemie też nie, w porządku na dysku również nie, w
wirusach na 95% też nie więc brak motywacji CPU do dalszej współpracy
pozostaje :-D

> Obciazenie moze sie rozkladac pomiedzy wszystkie procesy, bo de facto hook
> dziala w konktekscie kazdego procesu.

Tylko prawie wszystkie pokazują 0. Jeśli jest to nawet średnio 0.5 * ilość
procesów = 10% maksymalnie.

> Jednak jesli _calkowite_ obciazenie procka tez jest niskie to coraz bardziej
> wyglada na rootkita, ktory po prostu oszukuje system podstawiajac falszywe
> dane pod funkcje odczytujace obciazenie proca.

KIS w końcu wykryłby go. Kiedyś zawziąłem się i skanowałem dysk i w trybie
awaryjnym i w zewnętrznym komputerze - czysto. Takie rzeczy to rutynowe
działania. Gdybym tego nie zrobił to nie zanudzałbym Ciebie pytaniami :-)

> A jak z temperaturami rdzeni?

Hmmm... a to dałeś mi do myślenia. Kierunek myślenia, którego nie
uwzględniłem. Nie wiem. Zresztą nie wiem czy da się to sprawdzić na starym
laptopie inaczej jak w biosie. Znasz jakieś narzędzie?

> Czy wentylator kreci mocniej niz po instalacji?

To z pewnością nie - przynajmniej na moim sprzęcie nie.

do góry

Dnia Wed, 19 May 2010 18:32:19 +0200, Marek napisał(a):

>> Za to moze to robic rootkit lub trojan.
>
> Tylko jak obciążyć komputer i nie wykazać tego w pomiarach?

Pisalem o tym, przeciez jesli jest np. funkcja w winapi do pomiaru czasu
jaki proces "zjadl" procesorowi:

BOOL GetProcessTimes(

HANDLE hProcess, // specifies the process of interest
LPFILETIME lpCreationTime, // when the process was created
LPFILETIME lpExitTime, // when the process exited
LPFILETIME lpKernelTime, // time the process has spent in kernel mode
LPFILETIME lpUserTime // time the process has spent in user mode
);

to gdy rootkit zalozy hooka na te funkcje, i bedzie nia sterowal to chyba
nie jest problemem pokazac co mu pasuje, prawda? I tak z kazda funkcja moze
byc, nawet z tymi niskopoziomowym.

> Pytam trochę teoretycznie gdyż wirusa itp. od lat nie widziałem. KIS jest bardzo
> skutecznym softem - nie sądzę aby sprzęt od lat łapał w kółko te same

Nod32 tez jest skuteczny, a jednak... lapie.

>> Obciazenie moze sie rozkladac pomiedzy wszystkie procesy, bo de facto hook
>> dziala w konktekscie kazdego procesu.
> Tylko prawie wszystkie pokazują 0. Jeśli jest to nawet średnio 0.5 * ilość
> procesów = 10% maksymalnie.

Pisalem wyzej o hookowaniu, tu to samo z funkcja pokazujaca biezace
obciazenie.

> KIS w końcu wykryłby go. Kiedyś zawziąłem się i skanowałem dysk i w trybie
> awaryjnym

Nie wykrylby aktywnego rootkita, jak wyzej, wystarczy hook na funkcje
OpenFile/CreateFile/xxxFile i KIS, NOD i kazdy inny antywir widzi piekny
czysty plik, bo rootkit pokaze to co chce pokazac w pliku.


> i w zewnętrznym komputerze - czysto. Takie rzeczy to rutynowe

Tak, zewnetrzny i _czysty_ komputer jest sensownym, szybkim i skutecznym
rozwiazaniem problemu.

> działania. Gdybym tego nie zrobił to nie zanudzałbym Ciebie pytaniami :-)

A jesli nie pomoglo to zaczynam podejrzewac magie :-)

--
pozdrawiam
Norbert

do góry

Dnia Wed, 19 May 2010 19:14:26 +0200, Norbert napisał(a):

> to gdy rootkit zalozy hooka na te funkcje, i bedzie nia sterowal to chyba
> nie jest problemem pokazac co mu pasuje, prawda? I tak z kazda funkcja moze
> byc, nawet z tymi niskopoziomowym.

Ahhh ... przepraszam. Za dużo rzeczy dzieje się dziś i umknęło mi jedno
zdanie, w którym to napisałeś. Teraz w pełni rozumiem skąd Twoja sugestia
co do wentylatora na procku.

Tak czy owak miałem na myśli "nie złośliwą" degradację sysytemu. Z dużym
prawdopodobieństwem wykluczam wirusy. Nie sądzę aby aplikacje typu Word
przechwytywały funkcje systemowe po to aby ukryć ile same pożerają jego
czasu i stopniowo, z miesiąca na miesiąc zamulać komputer :-) Tu działa
jakieś kompletnie niezrozumiałe dla mnie zjawisko. W dodatku obserwuję to
na wszystkich komputerach (z XP przynajmniej), czy to u siebie, czy u
znajomych. Pytałem w kontekscie tego zjawiska właśnie.

> Nod32 tez jest skuteczny, a jednak... lapie.

Każdy program musi byćprzez pewien czas nieodporny na jakiegoś wirusa.
Rzadko się zdarza (aczkolwiek zdarzyło się kiedyś), że program potrafi
rozpoznać wirusa zanim ten pojawi się na rynku :-)
To temat rzeka. Zupełnie OT dodam, że zajmowałem się tematyką przy okazji
zawodu. Wyniki oficjalnych testów to jedno a prawdziwe życie drugie. W tym
czasie widywałem wiele pożartych przez wirusy komputerów lecz tylko raz KAV
lub KIS nie dały sobie rady (w sensie ochrony przed infekcją). Do dnia
dzisiejszego żaden z klientów, który stosuje w/w nie dał mi zarobić na
ratowaniu danych :-) To mnie samego przekonało do wyboru akurat tego softu
choć najtańszy nie jest.

> A jesli nie pomoglo to zaczynam podejrzewac magie :-)

Mało tego... to cyklicznie się zdarza i zawsze nie pomaga :-))) Komputery
nawet nie są w obrębie jednej sieci a nawet miasta i też się regularnie to
z nimi dzieje :-D Nie próbowałem ofiar składać jeszcze. Do tego się
przyznaję :-D

Dla mnie jeszcze bardziej magiczne jest to, że ktoś napisze "a u mnie sie
nic takiego nie dzieje a mam instalkę sprzed 4 lat". A może się
przyzwyczaił do wolnego systemu i nie dostrzega tego? Brak odniesienia...
:-)

do góry

Dnia Wed, 19 May 2010 21:28:12 +0200, Marek napisał(a):


> Dla mnie jeszcze bardziej magiczne jest to, że ktoś napisze "a u mnie sie
> nic takiego nie dzieje a mam instalkę sprzed 4 lat". A może się
> przyzwyczaił do wolnego systemu i nie dostrzega tego? Brak odniesienia...
> :-)

Jaki brak odniesienia? Wszak po tych 4 latach instaluje nowy system i ..ma
odniesienie od razu :-)
Sam zauwazam roznice, ale wynika to tylko z tego, ze w obecnym/standardowym
systemie mam w czasie pracy 80-90 procesow, a swiezy system ma ich sporo
mniej. Gdy juz po kilku dniach dochodze z konfigiem do poziomu oczekiwanego
wszystko pracuje jak do tej pory, czyli ciut wolniej niz pusty, czysty
system, ale bez mulenia.

--
pozdrawiam
Norbert

do góry

Dnia Wed, 19 May 2010 22:47:00 +0200, Norbert napisał(a):


> Jaki brak odniesienia? Wszak po tych 4 latach instaluje nowy system i ..ma
> odniesienie od razu :-)

No ale nie zrobił tego więc pewnie nei wie, że może być lepiej :-)

> Sam zauwazam roznice, ale wynika to tylko z tego, ze w obecnym/standardowym
> systemie mam w czasie pracy 80-90 procesow, a swiezy system ma ich sporo
> mniej. Gdy juz po kilku dniach dochodze z konfigiem do poziomu oczekiwanego
> wszystko pracuje jak do tej pory, czyli ciut wolniej niz pusty, czysty
> system, ale bez mulenia.

Na procesy też zwracam uwagę czy przypadkiem nie ma tam jakiś podejrzanych
nowych gości. Na zwykłym biurowym komputerze na oko procesów jest zawsze ok
20. Nie mogę tego teraz zweryfikować lecz tak na oko to wyglądało. Obojętne
czy jest to zaraz po reinstalacji wszystkiego czy rok później - o ile
niczego nowego nie dokłada się do systemu.

do góry

W dniu 13.05.2010 12:56, Marx pisze:
> dzialanie swapfile w windows xp czy Vista jest po prostu tragiczne

A jesteś w stanie zaimplementować je lepiej?

Problem nie jest w mechanizmach swapowania, ale w rozmiarze
programów. Gdy program potrzebuje 5 MiB RAMu, nie trzeba nad-
miernie swapować i będzie działał szybko. Gdy zajmuje 500 MiB,
sprawa wygląda zupełnie inaczej i *nic* tu nie pomoże -- chyba,
żeby Microsoft drastycznie zmienił zasady ustalania rozmiaru
roboczego aplikacji.

--
|"""""""""""""""""""""""""""""""""""""""""""""""""""
"""""""|
| Radosław Sokół | http://www.grush.one.pl/ |
| | Politechnika Śląska |
\...................................................
......./

do góry

W dniu 2010-07-20 10:24, Radosław Sokół pisze:
> W dniu 13.05.2010 12:56, Marx pisze:
>> dzialanie swapfile w windows xp czy Vista jest po prostu tragiczne
>
> A jesteś w stanie zaimplementować je lepiej?
>
> Problem nie jest w mechanizmach swapowania, ale w rozmiarze
> programów. Gdy program potrzebuje 5 MiB RAMu, nie trzeba nad-
> miernie swapować i będzie działał szybko. Gdy zajmuje 500 MiB,
> sprawa wygląda zupełnie inaczej i *nic* tu nie pomoże -- chyba,
> żeby Microsoft drastycznie zmienił zasady ustalania rozmiaru
> roboczego aplikacji.
>
ciekawe ze twoje teorie maja sie nijak do praktyki.
Mam w komputerze 5GB RAM (32 bitowa Vista)
1,5GB jest przeznaczone na ramdysk (32 bitowy windows wiecej niz 3,5GB
nie widzi) na ktorym zalozony jest swap.
Oczywiscie, gdybym edytowal wielogigabajtowe filmy, byc moze mialbym
problem z pamiecia - ale nie mam. Komputer dziala wyraznie lepiej, niz
gdybym zamiast swapa na ramdysku zrobil swapa (oczywiscie wiekszego) na
dysku.
Algorytm swapowania jest skopany, co zreszta nie wprost potwierdza
Microsoft chwalac sie co wersje windows ze zostal gruntowanie
przebudowany. Jakby byl dobry, to po co by zmieniali?
Marx

do góry

Marx <M...@n...com> napisał(a):

>Microsoft chwalac sie co wersje windows ze zostal gruntowanie
>przebudowany. Jakby byl dobry, to po co by zmieniali?

To nie jest na nic dowod. Mozna cos przepisac z dobrego na lepszy,
jak ktos ma ochote i moce.

do góry

W dniu 2010-07-21 10:15, Przesmiewca pisze:
> Marx<M...@n...com> napisał(a):
>
>> Microsoft chwalac sie co wersje windows ze zostal gruntowanie
>> przebudowany. Jakby byl dobry, to po co by zmieniali?
>
> To nie jest na nic dowod. Mozna cos przepisac z dobrego na lepszy,
> jak ktos ma ochote i moce.

ile razy mozna przepisywac i jak dlugo to pierwsze dobre jest dobre? :)
ja wiem ze w reklamach proszki caly czas sa lepsze (co logicznie
oznaczaloby ze te z zeszlego roku sa gorsze, a te sprzed dwoch to nie
mialy prawa prac), ale mamy tu chyba wyzszy poziom dyskusji...
Marx

do góry