Идентификация программного модуля

Проверка соответствия программы некоторому эталону устанавливает факты внесения изменений в исполняемый модуль. Это могут быть последствия работы вирусов и закладок либо попытки взлома, т.е. отключения программной защиты. Программный модуль представляет собой последовательность двоичных кодов. Для идентификации программы можно подсчитать контрольную сумму файла или его фрагмента, частоту использования в файле некоторых кодов и т.д.

Размещение специальной кодовой последовательности за границей файла не обнаруживается привычными средствами и не копируется программой COPY.

Пример. Файлы на диске хранятся в виде последовательность кластеров. Кластеры – это блоки по 512 байт на дискете и по 4 килобайта на винчестере.

Информация о том, какие файлы из каких кластеров состоят, хранится в FAT.Если последний кластер в цепочке не полностью занят файлом, оставшееся место не используется и не копируется командойCOPY.Туда и можно записать метку.

Диск:

цепочка кластеров, образующих файл 27, 25, 28, 29