пятница, 26 августа 2011 г.

Расследования. Дело о поврежденном скачивании

Пара слов от Автора блога (ArkSmoke)
Как и обещал, начинаю менять тематику блога, вернее не столько менять, сколько расширять ее, а вместе с ней, надеюсь и кругозор своих читателей. У меня есть еще пара идей о наполнении блога, но сейчас я хочу показать, как люди, используя программы Марка Руссиновича, решают реальные проблемы с реальными объектами.

Но напомню еще раз, теория без практики ничего хорошего не даст, а пока изучайте дело о повреждении при скачивании файлов, думаю системным администраторам эта тема очень пригодится -- да прибудет с Вами сила.

Данный пост взят от суда. К этому сайту я еще буду возвращаться.

Дело о поврежденном скачивании


Следующая ошибка возникала, когда пользователи внутренней сети пребывали установить самый свежий Flash Player от Adobe: «Internal errorABORT: Certificate authentication failed, please re-install t correct the problem. (/0)»

8-23-2011 11-48-33 AM

Была возможность запустить мою рабочую станцию, я сразу же загрузил Process Monitor, посмотреть, что можно будет найти. Сначала я не стал включать фильтр процессов, чтобы отфильтровать какой-то одиночный процесс, а посмотрел все, что были. Оказалось их более 66 тысяч, поэтому пришлось запустить фильтр. Желая просмотреть менее общие результаты, я перешел Tools > Count Occurrences (инструменты – числовые вхождения) и установил фильтр Results (результаты), стал просматривать интересующий меня NTSTATUS код:

SNAGHTML14cb2835

Просмотрев эту операцию, увидел QueryEAFile, запрос на расширение атрибутов для скаченного инстолятора Flash Player’а:

image

0xC0000052 – это файл или папка испорчена и нечитаема. Но почему же этот файл испорчен в каждом случае? Немного света на эту причину пролил случай, который я назвал Делом о Zip файле, не желающем открываться. Для подтверждения догадки, я скачал установщик еще раз и посмотрел отчет о размере загруженного файла в Internet Explorer’е:

image

Однако же, реальный размер на диске был:

SNAGHTML14ed02cbСсылка

Просмотрев все записанные операции для данного файла, увидел, что он неполностью загружен, он должен быть около 749 000 байт, на диске де он был только около 735 000:

image

На деле: мы пользуемся услугами внешних поставщиков, чтобы контролировать веб трафик. Когда файлы грузятся с интернета, они проверяются по специальным свойствам и, если во время проверки выполняется какое-то правило, закачка обрывается. В указанном выше случае, это оказался специально сжатый файл, содержащий много двоичных файлов, но не отдельный exe-шник. В данном случае, такой результат мог оказаться непреднамеренным, но фирму следовало предупредить о случившемся. В действительности же эту неприятность можно обойти, изменив настройки прокси в IE, не имеющие фильтра для веб трафика.

Комментариев нет:

Отправить комментарий