home *** CD-ROM | disk | FTP | other *** search
/ The World of Computer Software / The World of Computer Software.iso / esdscn20.zip / ESDSCAN.DOC < prev    next >
Text File  |  1992-07-20  |  13KB  |  344 lines
  1.  
  2.                      ESD Trojan - Virus Scanning Utility                        
  3.  
  4.  
  5.  
  6.  
  7.        
  8.        ESDSCAN.EXE is copyright (C)1990-1991 by Electronic Systems
  9.        Design, and is released as as shareware.  It is not free
  10.        software, if you use ESDSCAN, please register it.  ESDSCAN may be
  11.        distributed in archived format on BBS systems as long as this
  12.        documentation is included in the archive.  
  13.        
  14.        
  15.        
  16.        Overview:
  17.        
  18.        The ESD Trojan / Virus Scanner Utility addresses a need for a
  19.        through, user-configurable analysis of files that have been
  20.        extracted from downloaded archives.
  21.        
  22.        This product is not meant to replace other fine virus scanners,
  23.        it should be used along with them.  This software was developed
  24.        to provide the user with added insight into the files aquired by
  25.        downloading, and has the ability to spot the trojans and bombs
  26.        most other virus scanners miss.
  27.        
  28.        Complete user configurabilty is the main feature of the ESDScan
  29.        product.  You actually specify the ASCII and HEX signatures that
  30.        you want to be made aware of in your files, by editing the
  31.        ESDSCAN.DAT file.  You may include or exclude strings to scan
  32.        for, thus reducing the depenance for periodic virus scanner
  33.        update releases.
  34.        
  35.        Multiple archives may be automatically processed using the batch
  36.        processor, (BATPROC.EXE), utility, included.  This allows
  37.        automatic checking of uploads for SYSOPs.
  38.        
  39.        
  40.        
  41.        Features:
  42.        
  43.        - PKLITE file compression/encryption is detected, and compressed
  44.        files are optionally expanded, for scanning purposes.  The file,
  45.        PKLITE.EXE must be available in your PATH for this feature.
  46.        
  47.        - By default, all files in the current sub-directory are scanned.
  48.        
  49.        - The program can be run from batch files, and returns
  50.        errorlevels based on the results of the run.
  51.        
  52.        - In batch mode, a report is created in the current sub-directory
  53.        detailing the positive matches found, along with comments.  In
  54.  
  55.  
  56.                                       1                                         
  57.  
  58.  
  59.                      ESD Trojan - Virus Scanning Utility                        
  60.  
  61.  
  62.  
  63.  
  64.        interactive mode, the user may view the report.
  65.        
  66.        - The signature file, ESDSCAN.DAT can reside in the current
  67.        sub-directory, or elsewhere on disk.  An environment variable,
  68.        "ESD" points to the location of this file.
  69.        
  70.        - User configurable ASCII HEX signatures can be found, as well as
  71.        ASCII text based signatures, and ANSI escape sequences.
  72.        
  73.        - Batch Processing utility is helpful to SYSOP's and others who
  74.        would like to scan an entire sub-directory of archives.  Bad
  75.        archives are moved to another sub-directory, and a log file is
  76.        created.
  77.        
  78.        - An additional utility is provided to aid in analizing files.
  79.        DUMP.EXE will perform a HEX/ASCII dump of a file to screen.  Hit
  80.        the space bar to pause the display, hit the "A" key for a pop-up
  81.        ASCII chart, hit ESC to abort.  The results of a dump may be
  82.        redirected to a file by using the command:
  83.        
  84.        DUMP filename > file
  85.        
  86.        Where: "filename" is the file to dump, and "file" is the file to
  87.        create.  Careful!  You will overwrite "file" if it already
  88.        exists.
  89.        
  90.        
  91.        
  92.        Installation:
  93.        
  94.        1.  Copy the following files into your UTILITY sub-directory.
  95.        This sub-directory must be in your PATH.
  96.        
  97.        ESDSCAN.EXE, ESDSCAN.DAT, DUMP.EXE
  98.        
  99.        2.  Set the ESD environment variable by typing...
  100.        
  101.        SET ESD=C:\UTILITY\
  102.        
  103.        Add the following line to your AUTOEXEC.BAT file:
  104.        
  105.        SET ESD=C:\UTILITY\
  106.        
  107.        Where: UTILITY is the name you have given to your UTILITY files
  108.        sub-directory.  The word, ESD, should be in caps.
  109.        
  110.        3.  You may print this document by using the following command:
  111.  
  112.  
  113.                                       2                                         
  114.  
  115.  
  116.                      ESD Trojan - Virus Scanning Utility                        
  117.  
  118.  
  119.  
  120.  
  121.        
  122.        COPY ESDSCAN.DOC PRN
  123.        
  124.        
  125.        
  126.        Configuration:
  127.        
  128.        You may edit the ESDSCAN.DAT file using a text editor to suit
  129.        your needs.  It comes with some default signatures of popular
  130.        trojan, bomb, and viral code.  See comments inside this signature
  131.        file.  This file must adhere to the following format rules:
  132.        
  133.        1.  General comments are preceded by a semi-colon, and are
  134.        ignored by the scanner, with the following exception:
  135.        
  136.        2.  The comment line that precedes each target signature line
  137.        will be included in the report that is generated if a positive
  138.        match is found.  This comment line should be worded as a message
  139.        that will be displayed to the user.
  140.        
  141.        3.  ASCII text signatures and ANSI escape sequenses appear on a
  142.        line by themselves, as they would literally be found in the files
  143.        to be scanned.
  144.        
  145.        4.  Machine code, and other strings can be found if you specify
  146.        the signature in ASCII HEX form.  One byte is represented by two
  147.        alpha-numeric characters.  If the HEX value is one digit, as in
  148.        "F", then you should specify it as "0F", because ESDSCAN expects
  149.        to read in HEX characters by twos.  Do not insert any spaces.  To
  150.        specify that the signature should be interpreted and converted to
  151.        HEX, precede the signature with the "&H:" directive.  Example:
  152.        
  153.        ;This is a comment for a sample HEX signature...  &H:4142430F
  154.        
  155.        ...Would find the string "ABC".
  156.        
  157.        
  158.        
  159.        Running ESDSCAN:
  160.        
  161.        Usage: ESDSCAN [ /P ]
  162.          Where: /P - Expand COM and EXE files processed with PKLITE
  163.                      before scanning.
  164.                 /B - Batch mode, don't display or write the report.
  165.                 /H - The help screen.
  166.                 
  167.        ESDSCAN will, by default, scan all the files in the current
  168.  
  169.  
  170.                                       3                                         
  171.  
  172.  
  173.                      ESD Trojan - Virus Scanning Utility                        
  174.  
  175.  
  176.  
  177.  
  178.        sub-directory.  COM and EXE files will be checked for the
  179.        presence of the PKLITE copyright string.  If one is found, the
  180.        message "PKLITE Detected" will show next to the file being
  181.        scanned, and a message suggesting that you re-scan using the /P
  182.        option will be displayed.
  183.        
  184.        If any file tests postive for a signature match, ESDSCAN will
  185.        beep with each hit, and a message will be displayed tell you of a
  186.        positive match, possibly a trojan/virus in your files.  A report
  187.        will be created in memory, (30 hits, maximum).  The program will
  188.        prompt you to display and optionally print "ESDSCAN.RPT" to disk,
  189.        in the default sub-directory.  The DOS errorlevel will be set to
  190.        1.
  191.        
  192.        Use a file viewer to futher examine the suspected files.  If you
  193.        feel you must execute any of the suspected programs, try using a
  194.        hard disk write protect program ahead of time.
  195.        
  196.        If an error occurs, the DOS errorlevel will be set to 2.
  197.        
  198.        If no signatures are found, the DOS errorlevel will be set to 0.
  199.        
  200.        Using batch mode, the program will perform as usual, except that
  201.        the user will not be able to view the report, and it will not be
  202.        written to disk.  This mode is of benefit to SYSOP's who perform
  203.        automated scans of files, and write the calling batch file such
  204.        that it takes action based on returned errorlevels.
  205.        
  206.        
  207.        
  208.        Running BATPROC:
  209.        
  210.        Usage: BATPROC [ /P /M /A ]
  211.          Where: /P - Expand COM and EXE files processed with PKLITE 
  212.                      before scanning.  
  213.                 /M - Scan using McAffee's as well as ESDSCAN.
  214.                 /A - Scan only the archives having the archive attribute
  215.                      set, and reset it.
  216.        
  217.        BATPROC will create a sub-directory called SCAN_TMP under the
  218.        default sub-directory.  Files in the default sub-directory with
  219.        the extensions ZIP, ARC, LZH, ARJ will be un-archived in the
  220.        SCAN_TMP sub-directory, using external archivers PKUNZIP, PKXARC,
  221.        LHA, ARJ, which must reside in a sub-directory in the PATH.
  222.        
  223.        ESDSCAN will be called to scan all the files in the SCAN_TMP
  224.        sub-directory.  A log file called BATPROC.LOG will be appended to
  225.  
  226.  
  227.                                       4                                         
  228.  
  229.  
  230.                      ESD Trojan - Virus Scanning Utility                        
  231.  
  232.  
  233.  
  234.  
  235.        in the root directory of the default drive, noting the results of
  236.        the scan process.  BATPROC will return an errorlevel of 1 for
  237.        trojan/virus found, errorlevel 2 if an error, and 0 if no
  238.        trojans/viruses found.
  239.        
  240.        Note that BATPROC automatically calls ESDSCAN using the /Batch
  241.        option.
  242.        
  243.        Optionally, McAffee's SCAN can be called in addition to ESDSCAN,
  244.        for additional protection, by specifying the /M switch.  SCAN.EXE
  245.        must also reside in a sub-directory in the PATH.
  246.        
  247.        The /A option is useful to SYSOPs who allow uploads to their
  248.        downloading sub-directory.  Using this option, all the archives
  249.        that have the archive attribute set will be scanned, then the
  250.        archive attribute will be reset.  The next time BATPROC is run
  251.        using the /A switch, BATPROC will scan only the new uploads.
  252.        
  253.        If you do not wish all archives to be scanned initially, but
  254.        rather only have new uploads scanned, then you must first reset
  255.        the archive attributes on all files.  An example:
  256.        
  257.        CD\BBS\FILES
  258.        ATTRIB -A *.*
  259.        
  260.        You may elect to have BATPROC scan all new uploads using the
  261.        techniques described above, to be performed automatically during
  262.        your BBS's nighttime batch procedure.
  263.        
  264.        About ESDSCAN:
  265.        
  266.        ESDSCAN was written in Microsoft Professional Development System
  267.        7.1 using routines written in Assembler and linked with PDQ by
  268.        Crescent Software, by Robert Schoolfield.  It was written as a
  269.        tool to benefit people who download software from BBS's.  ESDSCAN
  270.        is distributed as shareware, which simply means if you care to
  271.        support our programming efforts, please register your copy.
  272.        
  273.        For personal or BBS use, on up to three computers: $5.00, (US).
  274.        For academic use, on up to twenty-five computers: $15.00, (US).
  275.        For corporate, business, or commercial use, unlimited site
  276.        license: $25.00, (US).
  277.        
  278.        You will be pleased to know your unregistered copy ESDSCAN is
  279.        fully functional, and there are no timed messages, counted
  280.        executions, or annoying reminders in this software.  Can I count
  281.        on your registration?
  282.  
  283.  
  284.                                       5                                         
  285.  
  286.  
  287.                      ESD Trojan - Virus Scanning Utility                        
  288.  
  289.  
  290.  
  291.  
  292.        
  293.        The latest version will be mailed to registered users, on request
  294.        for $5.00 additional to cover postage and handling, (US), or can
  295.        be downloaded from Propriety Business Systems, (PBS:), or
  296.        CompuServe.
  297.        
  298.        The user agrees to hold harmless Electronic Systems Design for
  299.        any loss or damage incurred in using this software.  There are no
  300.        warranties expressed or implied.  As with all downloaded
  301.        software, use at your own risk.
  302.        
  303.        Your check may be mailed to: Robert Schoolfield, Electronic
  304.        Systems Design, P.O. Box 26431, Colorado Springs, CO 80936.
  305.        Support is provided by Robert Schoolfield, email to either:
  306.        
  307.        SYSOP: PBS: (719) 550-1696 8N1 300-2400 bps, 24 hours.
  308.        
  309.        - or -
  310.        
  311.        Robert Schoolfield: CompuServe: 70404, 3430
  312.  
  313.  
  314.  
  315.  
  316.  
  317.  
  318.  
  319.  
  320.  
  321.  
  322.  
  323.  
  324.  
  325.  
  326.  
  327.  
  328.  
  329.  
  330.  
  331.  
  332.  
  333.  
  334.  
  335.  
  336.  
  337.  
  338.  
  339.  
  340.  
  341.  
  342.                                       6                                         
  343.  
  344.