[教學] Open source 的防毒程式 "ClamAV" 應用實例

Arnor · 究極の素還尊 註冊時間: 2001-11-07 文章: 13011 來自: TAIWAN

0. First, please set your installed antivirus to not to scan eml file. (This will let clamav can not access the virus mail file because its temp file was already processed by installed antivirus such as NAV).
Therefore, you should add exclude directory for your INBOX.

1. Install clamwin-0.35.4-setup.exe to D:\ClamWin
2. After the virus database (main.cvd) is downloaded.
3. Check an option "Store mail in original mail format without reforming" in [server settings]->[preference(2)]
4. Create an event processor in maild:
Condition:
When mail has attachment (checked)
then Execute: D:\ClamWin\bin\clamscan.exe
Parameters: -d "C:\Documents and Settings\All Users\.clamwin\db" -i --quiet -l c:\clamav.log --tempdir=d:\clamwin\temp --remove %F
(d:\clamwin\temp 這目錄要自己建並加入你其它防毒軟體的排外目錄)

The Event in RaidenMAILD.ini:
EVENT0=1;ClamAV;A=YES;D:\ClamWin\bin\clamscan.exe;-d "C:\Documents and Settings\All Users\.clamwin\db" -i --quiet -l c:\clamav.log --remove %F

BTW, dont forget enable Event Processor and check the specific event.

After above is done, when a mail is stored, event will be activated to scan the mail file.

[2004/11/9 PM 02:47:38] SMTP service connection from 127.0.0.1
[2004/11/9 PM 02:47:38] 127.0.0.1 requests SMTP service - Sender: arnor@raidenftpd.com
[2004/11/9 PM 02:47:39] 127.0.0.1 - Mail received (To:arnor@local.domain) 3765bytes (188.3 Kb/s)
[2004/11/9 PM 02:47:39] SMTP service disconnect connection from 127.0.0.1
[2004/11/9 PM 02:47:39] Save mail to <arnor> mailbox, the filename is 20041109144738-19815614-1068.eml 3866bytes
[2004/11/9 PM 02:47:40] Event condition found(ClamAV), and execute the event successfully(D:\ClamWin\bin\clamscan.exe -d "C:\Documents and Settings\All Users\.clamwin\db" -i --quiet -l c:\clamav.log --remove J:\RaidenMAILD2\Inboxes\arnor\20041109144738-19815614-1068.eml)

After the scanning is done, the report will be generated in c:\clamav.log (appending mode).
If the mail file is virus mail, it will be deleted.

--------------------------------------
Scan started: Tue Nov 9 14:47:41 2004

-- summary --
Known viruses: 50349
Scanned directories: 0
Scanned files: 1
Infected files: 0
Data scanned: 0.00 MB
I/O buffer size: 131072 bytes
Time: 3.143 sec (0 m 3 s)

For more details about clamscan.exe, please go to ClamWin\bin,
type clamscan -h to see its command line help.

Maybe ClamAV has more advanced usages, but this is what I know at present. -_-a

Hope this can help. ^_^

==============================
Download test virus file . (close your NAV file system protection first or you can not download it)
http://www.eicar.org/anti_virus_test_file.htm
attach it to a mail and send to your maild.

then you will see clamav.log logged:

J:\RaidenMAILD\Inboxes\arnor\_20050202094509-3042455-2936.eml: Eicar-Test-Signature FOUND
J:\RaidenMAILD\Inboxes\arnor\_20050202094509-3042455-2936.eml: Removed.

-- summary --
Known viruses: 51895
Scanned directories: 0
Scanned files: 1
Infected files: 1
Data scanned: 0.00 MB
I/O buffer size: 131072 bytes
Time: 3.312 sec (0 m 3 s)
_________________
*若是想問問題的話, 請務必不要塗改任何 IP, 網域資料, 您若不願貼上IP或網域, 請改以電子郵件來詢問. 謝謝您的配合.*
*若是回報疑似軟體的運行或邏輯或資料處理有誤的問題, 小弟很樂意去了解您的情況, 但請務必以最新版來做回報, 如果以郵件詢問, 請參考 http://www.raidenmaild.com/tw/feedback.html 的說明, 最好標題加個 RaidenMAILD 字樣, 才不致會遺漏了您的信唷. 謝謝您的配合^^*
*在版上發文請遵守網路禮儀, 並請持著虛心敘述問題請教他人, 凡發現違反的文, 均一律刪除為優先, 不另行通知喔.
*與使用者教學相長腦力激盪是我輩成就感的來源, 誠心希望您能不吝指教.
*雷電MAILD 知識庫文件 http://www.raidenmaild.com/tw/kb/

素還尊
Team John Long.
Email: arnor@raidenmaild.com
公司網站 http://www.raidenmaild.com/company/

jaredlu · 發表於: 星期四十一月 11, 2004 4:00 pm 文章標題:

可不可以翻成中文,謝謝 !

Arnor · 發表於: 星期四十一月 11, 2004 4:20 pm 文章標題:

ClamAV 主網站
http://www.clamav.net/

ClamWin 網站
http://www.clamwin.net/

0. 先設定您原本已安裝的防毒軟體把 MAILD 的 INBOX 目錄加進"不掃瞄的目錄" (Exclude directory)
1. 首先到 Download 區下載 clamwin 安裝程式 ( http://belnet.dl.sourceforge.net/sourceforge/clamwin/clamwin-0.35.4-setup.exe )
2. 安裝 clamwin-0.35.4-setup.exe 到 D:\ClamWin
3. 安裝完後, 它會開啟一個更新程式去下載病毒資料庫 (main.cvd, daily.cvd).
這兩個檔在 ClamAV 首頁也有得下載, 下載後擺到 C:\Documents and Settings\All Users\.clamwin\db 目錄 (這路徑不一定, 看你的系統)
4. 勾選[伺服器設定]->[偏好設定(二)]-> [存進信箱的信件以原型格式儲存, 不多做格式處理]
5. 在 Maild 的事件處理器, 建立如下的事件:
條件:
當信有附加檔案時打勾
執行: D:\ClamWin\bin\clamscan.exe
參數: -d "C:\Documents and Settings\All Users\.clamwin\db" -i --quiet -l c:\clamav.log --remove %F

相對的事件在 RaidenMAILD.ini 會是這樣的資料(參考用)
EVENT0=1;ClamAV;A=YES;D:\ClamWin\bin\clamscan.exe;-d "C:\Documents and Settings\All Users\.clamwin\db" -i --quiet -l c:\clamav.log --tempdir=d:\clamwin\temp --remove %F
(d:\clamwin\temp 這目錄要自己建並加入其他防毒軟體的排外目錄)

增加好這樣的事件後, 別忘了在啟用事件處理器打勾, 並在該事件前也要打勾.
等上述的做好後, 當一封有附件的信存下來時, 就會去觸發該事件執行病毒檢查.

[2004/11/9 PM 02:47:38] SMTP service connection from 127.0.0.1
[2004/11/9 PM 02:47:38] 127.0.0.1 requests SMTP service - Sender: arnor@raidenftpd.com
[2004/11/9 PM 02:47:39] 127.0.0.1 - Mail received (To:arnor@local.domain) 3765bytes (188.3 Kb/s)
[2004/11/9 PM 02:47:39] SMTP service disconnect connection from 127.0.0.1
[2004/11/9 PM 02:47:39] Save mail to <arnor> mailbox, the filename is 20041109144738-19815614-1068.eml 3866bytes
[2004/11/9 PM 02:47:40] Event condition found(ClamAV), and execute the event successfully(D:\ClamWin\bin\clamscan.exe -d "C:\Documents and Settings\All Users\.clamwin\db" -i --quiet -l c:\clamav.log --remove J:\RaidenMAILD2\Inboxes\arnor\20041109144738-19815614-1068.eml)

當檢查完畢, 報告會產生在 c:\ClamAV.log (端看你的command line 參數如何下)
例:

--------------------------------------
Scan started: Tue Nov 9 14:47:41 2004

-- summary --
Known viruses: 50349
Scanned directories: 0
Scanned files: 1
Infected files: 0
Data scanned: 0.00 MB
I/O buffer size: 131072 bytes
Time: 3.143 sec (0 m 3 s)

若你對 Clamscan.exe 有興趣的話, 想知道它更多的參數說明,
請到 ClamWin\bin 目錄, 執行 clamscan -h 來看它的指令參數說明.

更多實例:
到 http://www.eicar.org/anti_virus_test_file.htm 下載病毒範例檔
(先要停用NAV 的File system protection)
把它夾進信件寄到你的Server...
clamav 就會記錄下述內容

Scan started: Wed Feb 2 09:58:11 2005

J:\RaidenMAILD\Inboxes\arnor\_20050202095810-3822978-3520.eml: Eicar-Test-Signature FOUND
J:\RaidenMAILD\Inboxes\arnor\_20050202095810-3822978-3520.eml: Removed.

-- summary --
Known viruses: 51895
Scanned directories: 0
Scanned files: 1
Infected files: 1
Data scanned: 0.00 MB
I/O buffer size: 131072 bytes
Time: 2.994 sec (0 m 2 s)
_________________
*若是想問問題的話, 請務必不要塗改任何 IP, 網域資料, 您若不願貼上IP或網域, 請改以電子郵件來詢問. 謝謝您的配合.*
*若是回報疑似軟體的運行或邏輯或資料處理有誤的問題, 小弟很樂意去了解您的情況, 但請務必以最新版來做回報, 如果以郵件詢問, 請參考 http://www.raidenmaild.com/tw/feedback.html 的說明, 最好標題加個 RaidenMAILD 字樣, 才不致會遺漏了您的信唷. 謝謝您的配合^^*
*在版上發文請遵守網路禮儀, 並請持著虛心敘述問題請教他人, 凡發現違反的文, 均一律刪除為優先, 不另行通知喔.
*與使用者教學相長腦力激盪是我輩成就感的來源, 誠心希望您能不吝指教.
*雷電MAILD 知識庫文件 http://www.raidenmaild.com/tw/kb/

素還尊
Team John Long.
Email: arnor@raidenmaild.com
公司網站 http://www.raidenmaild.com/company/

Arnor · 發表於: 星期四十一月 11, 2004 4:26 pm 文章標題:

為何對這個有興趣.
因為它有指明對 mail file 有用..

所以要勾"偏好設定" 的"對郵件不多做格式處理".
_________________
*若是想問問題的話, 請務必不要塗改任何 IP, 網域資料, 您若不願貼上IP或網域, 請改以電子郵件來詢問. 謝謝您的配合.*
*若是回報疑似軟體的運行或邏輯或資料處理有誤的問題, 小弟很樂意去了解您的情況, 但請務必以最新版來做回報, 如果以郵件詢問, 請參考 http://www.raidenmaild.com/tw/feedback.html 的說明, 最好標題加個 RaidenMAILD 字樣, 才不致會遺漏了您的信唷. 謝謝您的配合^^*
*在版上發文請遵守網路禮儀, 並請持著虛心敘述問題請教他人, 凡發現違反的文, 均一律刪除為優先, 不另行通知喔.
*與使用者教學相長腦力激盪是我輩成就感的來源, 誠心希望您能不吝指教.
*雷電MAILD 知識庫文件 http://www.raidenmaild.com/tw/kb/

素還尊
Team John Long.
Email: arnor@raidenmaild.com
公司網站 http://www.raidenmaild.com/company/

jaredlu · 發表於: 星期四十一月 11, 2004 5:08 pm 文章標題:

十分感謝 ! 有這樣軟體 for free 實在實惠.
ps:clamav不用特別設定什麼嗎?

Arnor · 發表於: 星期四十一月 11, 2004 6:09 pm 文章標題:

jaredlu · 發表於: 星期四十一月 11, 2004 7:18 pm 文章標題:

我已經設好了,正在測試中,Thanks.
我想,乾脆把它整合到我們的雷電MAILD裏面來,如此就十全十美.

Arnor · 發表於: 星期四十一月 11, 2004 8:00 pm 文章標題:

kiner · 發表於: 星期四十一月 11, 2004 10:19 pm 文章標題:

請教一下

這樣跟用 Norton Antivirus 去查毒有甚麼差別嗎?

Arnor · 發表於: 星期四十一月 11, 2004 10:47 pm 文章標題:

kiner · 發表於: 星期四十一月 11, 2004 10:49 pm 文章標題:

Enterprise · 發表於: 星期五十一月 12, 2004 1:57 am 文章標題:

還有好像 NV 只可以刪除有毒的 attachment
不過 ClamAV 可以整封 eml 檔刪了
好用得多

Arnor · 發表於: 星期五十一月 12, 2004 8:09 am 文章標題:

Oudie · 發表於: 星期五十一月 12, 2004 10:19 am 文章標題:

如果和KASPERSKY一起安裝會不會出問題？
_________________
# 版本 RaidenFTPD 2.4.3460、RaidenMAILD 1.9.14、RaidenHTTPD 2.0.19、RaidenTunes 1.0.4
# 作業系統 WinXP
# 是否使用 NAT 是 , 是否知道如何設定是 , 廠牌 Netscreen 5XT
# 是否使用防毒軟體是, 廠牌 Avira AntiVir PersionalEdition
# 使用網路 ADSL 8M/640K、光纖 5M/5M

Enterprise · 發表於: 星期六十一月 13, 2004 7:55 pm 文章標題:

不過這種病毒信好像擋不到