Knoppix til antivirus

Her kommer så den hidtidige korrespondence:
---------------------------------------------
Kommentar: ejvindh
21/01-2005 13:59:22
Hvis vi ved hvilken fil, der er problemet, så har jeg en metode, som jeg er ret sikker på vil virke (lidt inspireret af Kalp's tidligere forslag omkring Dos). Men den kræver en god internetforbindelse (der skal downloades ca. 650mB) og en cd-brænder.

Det drejer sig om at lave en Knoppix-boot cd (Linux). Knoppix er nemlig kendetegnet ved at kunne læse og skrive på NTFS-formaterede harddiske. Så kan man starte op i et styresystem, uafhængigt af de filer der ligger på harddisken, og herfra gå ind og slette de filer man ikke ønsker skal ligge der. Så har virussen ikke mulighed for at spærre for en sletning af sig selv. Det eneste problem jeg har med at føre dette råd til ende er, at jeg ikke kan huske hvordan man finder Windows' filstruktur indenfor Linux (jeg mener dog det har noget med /dev/hda/ at gøre... Hvis det har interesse kan jeg muligvis i løbet af weekenden søge lidt op på det.


Kommentar: ejvindh
24/01-2005 09:28:03
OK, jeg kan se at niwikr ikke har sendt den nye log ind, og det tyder måske på at han/hun har opgivet. Men da jeg nu HAR fået undersøgt mit KNOPPIX-forslag lidt nærmere, så poster jeg alligvel proceduren. Det kan jo være den kan blive til gavn i en anden sammenhæng:

Få lavet en Knoppix-boot cd (guide her: http://www.tvprogrammer.dk/manual.html)
Sæt Knoppix-boot cd'en i drevet, og start computeren (computeren skal være sat op til at boote fra CDRom-drevet (gøres inde i Bios))
Så dukker hurtig en skærm op, hvor der nederst står "Boot:"
Tast return
Så indlæses Knoppix
Når den er færdig fremstår et skrivebord, hvor man bl.a. finder et ikon med en tekst der ligner følgende: "Hard Disk Partition [hda1]". Her kan man finde Harddisken som den er konfigureret i Windows
I linux-sprog (hvis man skulle åbne fra Linux' filhåndteringsprogram Konqueror, ligger dette i file:/mnt/hda1)
Start med at højreklikke på dette ikon, klik på "Change read/write mode" og klik på "yes"
Hvis Knoppix melder at drevet ikke er mounted, så start med at højreklikke og vælg "Mount"/"Monter"
Enkeltklik herefter på ikonet, og gå ind og lav de ønskede ændringer.

Det skal siges at jeg ikke har testet dette på en NTFS-formateret HD, idet jeg netop af problemer som disse foreløbig holder mig til FAT32 på mine computere. Det er nok lidt vigtigt at man har fat i en version 3.4 eller senere af KNOPPIX, idet det først er fra dette tidspunkt NTFS-understøttelsen er i orden.



Kommentar: tonnybrandt
24/01-2005 09:55:10
ejvindh > Udmærket guide. Prøv lige at se om ikke du har et menupunkt i startmenuen i knoppix, der hedder Captive-ntfs.
Jeg testede Linux Defender for ½ år siden. Den var den første linux der kunne skrive på ntfs drev og i den skulle man igennem Captive-ntfs for at få skrive adgang til ntfs-drev, ellers blev de blot mountet som skrivebeskyttet via en default driver i linux.
Af faq's kan jeg se at captive-ntfs er inkluderet på knoppix-cd'en og det kunne være fint at få opklaret om man stadig skal ind igennem den for at få skriveadgang, eller om de har automatiseret det.


Kommentar: ejvindh
24/01-2005 10:28:19
niwikr: Det har jeg stor forståelse for. Grunden til at jeg har holdt forslaget tilbage så længe er netop at den kræver et vist forarbejde. Vær dog opmærksom på, at det kun er meget omfattende, hvis man har en langsom internetforbindelse. Linux har ry for at være "svært" at arbejde med, men det er altså efterhånden en skrøne. Hvis du læser mit forslag igennem vil du se, at de enkelte trin i sig selv ikke er så svære, hvis man allerede kan finde ud af at navigere i Windows.

Tonnybrandt: Som default er adgangen til HD blot læseadgang. Men det ændres vha. det trin hvor man højreklikker HD-ikonet og vælger "Change read/write mode".

OM det virker på NTFS har jeg som sagt ikke kunnet teste, idet jeg ikke bruger NTFS-formatet. Men ifølge denne tråd, skulle KNOPPIX have captive ntfs siden 3.4 udgaven:

http://www.knoppix.net/forum/viewtopic.php?t=11736&start=0

Som man kan se i tråden, skal man her gøre noget forarbejde for at få skrivningen til at virke. Det skal derfor nok indføjes i min guide:
-----------------------------------
åben en terminal vindue (svarer lidt til et dosvindue i Windows) og tast
"su"
mount -t captive-ntfs /dev/hdx# /mnt/hdx#
(Hvor x og # identificerer den partition du vil have adgang til (typisk a1).)

Skrivningen bliver egentlig blot sat i kø, og man er derfor nødt til at afmontere partitionen inden de faktiske skrivninger bliver foretaget. Med følgende kommando i terminal:

umount /mnt/hdx#
(hvor x og # identificerer den partition du vil have adgang til (typisk a1).)
-----------------------------------
Man kan vist også gøre det uden terminalen, vha Startmenuen->Knoppix->Utilities->Captive NTFS. Når jeg skriver "vist" så er det fordi jeg ikke lige har CD'en hos mig nu. Men det vender jeg tilbage med.

Mit GÆT vil være at i de nyeste versioner af KNoppix kører captive-ntfs automatisk når KNOPPIX i opstarten detekterer en NTFS-formateret HD (Knoppix er kendt for at være en distribution, der fanger allermest hardware af sig selv), og når man så beder om at mounte eller change read/write, så starter Captive Ntfs op automatisk. Men hvis der er nogen der har mulighed for at teste det, så meld gerne tilbage. Så strikker vi en samlet guide sammen tilsidst.


Kommentar: tonnybrandt
24/01-2005 10:51:43
ejvindh > jeg er ved at hente knoppix'en og skal nok teste den på et ntfs drev :)

nwikr > Tråden er lang og jeg forstår at du er kørt træt i det. Nu er det et stykke tid siden at en HiJackThis log har været sendt, så hvis du lige vil sende en ny, skal jeg gerne kigge den igennem og se om vi er henne i en formatering eller at der stadig er en mulighed. Lige nu kan jeg ikke længere overskue hvad der er tilbage i loggen bortset fra den Backdoor virus.


Kommentar: tonnybrandt
25/01-2005 00:04:44
ejvindh > Testen mislykkedes. Det lykkedes at boote 4 computere med ntfs drev med cdrom'en, men det lykkedes på intet tidspunkt at få skriverettighed til drevene, hverken ved blot at klikke på drevene eller ved at prøve Captive ntfs, som ligger i menuen under "pingvinen" | Utilities | Captive NTFS.

Tonnybrandt: Det er meget mystisk. Jeg har selv været ved at undersøge sagen på det teoretiske plan, og Cap. NTFS virker åbenbart ved at finde WinXP's egne drivere. Du har husket både at mounte og change Read/write?

jeg skal nok også lige prøve på et ntfs drev da jeg har knoppix liggende...

Kenp: Det lyder godt. Husk bare at det skal være mindst en version 3.4 for at NTFS-delen burde virke.

Der findes en dansk 3.6-isofil her (brug ikke Dappix da den vist er baseret på en ret gammel version af Knoppix efterhånden):
http://tyge.sslug.dk/knoppix/

Jeg har været ved at sakse lidt i en vejledning jeg fandt. Jeg tror den giver et godt bud på hvilken rækkefølge man skal gøre det i:


To recover data onto a hard disk, you will need to have either another hard drive or hard drive partition. The hard drive will need to be installed before starting Knoppix. For NTFS (Windows 2000 or XP) formatted drives your need the Captive NTFS tool:
------------
Captive NTFS tool

This tool allows writable access to an NTFS formatted partition.

Click on the K button in the lower left corner of the screen. This will bring up a menu like the Windows Start Menu. Enter the "KNOPPIX" submenu. Enter the "Utilities" submenu. Select "Captive NTFS".

Follow the instructions on the screen. Once ntfs.sys and ntoskernel.sys are found you may click Ok to finish the program. 
------------

You will need to make the drive or partition writable to be able to copy files to it. Right click on the drive or partition on the desktop. This will bring up a little menu. Select the last item in the menu, "Properties". This will open a window with four tabs. Select the third tab, "Device". There is a checkbox labeled "Read only". Make sure it is unchecked, and click on Ok.

Right click on the drive or partition icon again. If there is an item in the menu called "Unmount" select it.

Click on the icon on the desktop for the drive or partition. This will open the explorer type window again.

Jeg kan så fortælle at jeg brugte version 3.6 som virkede som om den ikke var helt god. Masser af frysninger, hvilket jeg ellers ikke har oplevet med de tidligere versioner jeg har prøvet.

Det ser ud til at 3.6 og 3.7-versionerne faktisk har et problem i forhold til 3.4:
http://www.knoppix.net/forum/viewtopic.php?p=60253

Jeg har prøvet det fix, der nævnes i bunden af siden, og det fik Knoppix til at hænge.

Der er mere her. Dette fix har jeg ikke prøvet. Hvis det skal være brugbart som hjælp for ikke-eksperter bliver det vist for omfattende...
http://www.knoppix.net/forum/viewtopic.php?t=16005&highlight=

Knoppix 3.4 kan findes her:
ftp://ftp.knoppix.nl/pub/os/Linux/distr/knoppix/

Jeg har lige afprøvet Knoppix 3.4 (ja, jeg fandt en NTFS-formateret maskine), og det ser desværre stadig ikke for godt ud. Jeg har set et sted at det muligvis kan hænge sammen med om man har SP2 installeret på maskinen.

Jeg tror efterhånden at jeg må over i Linux kategorien og prøve og tiltrække de "sande" Linux-brugeres interesse til spørgsmålet...

Nå, det ser ud til at det kan skyldes et problem med SP2:
http://www.windowsdevcenter.com/pub/wlg/6261

Bitdefender's forslag til et workaround ser lovende ud (er godt nok til deres egen LinuxDefender, men det retter sig jo imode Captive-Ntfs:
http://kb.bitdefender.com/site/KnowledgeBase/viewArticle/en/100/Problem_with_LinuxDefender_and_Windows_XP_SP2_.html

Nå, det virkede heller ikke. Jeg tror efterhånden vi må konstatere at det ikke er så let som jeg havde troet.

Jeg lukker her. Inde i den tråd på Spywarefri som jeg henviste til øverst, har Mads664 tilkendegivet at han vil prøve at få det til at virke. Hvis der dukker ny op, poster jeg det ind hertil senere.

Hvis der er nogen der bliver sure over at jeg selv napper denne overvældende mængde point, siger de selvfølgelig bare til. Så finder vi ud af det ;-D