[Harry M.]

TaskWatch 1.0

TaskWatch überwacht alle laufenden Prozesse Ihres PC's. Wird ein Programm gestartet,
bekommt der Anwender ein Konfigaratiosmenü in dem er wählen kann, ob dieser Prozeß
nur in dieser Sitzung, immer, oder nie ausführt werden darf.

Screenshots:
http://www.8ung.at/projetilware/TaskWatch%20(1).jpg
http://www.8ung.at/projetilware/TaskWatch%20(2).jpg

Download:
http://www.8ung.at/projetilware/TaskWatch.rar (426kb)

Hi an sich keine schlechte Idee.

Aber wenn ich einen Verbesserungsvorschlag machen darf, dann benutz bitte keinen Timer um abzufragen, ob ein neues Fenster geöffnet wurde. Das lässt sich z.B. mit Hooks viel besser lösen.

Hallo,

das Programm ist ja eine ganz interessante Sache, nur wie wird überwacht?

- Fängt das Tool den start eines Programms ab oder
- Wird das Programm gestartet und dein Tool merkt es dann ers wenn der Prozess läuft?

Beim dem zweiten genannten Fall wäre das Tool eigentlich total unnütz, wenn ich das so sagen darf, denn das (in diesem fall gehe ich von einem Bösen Programm aus) hätte ja schon längst schaden anrichten können oder dinge im System verändern.

Aber sonst wäre es wohl eine gute einsatzmöglichkeit bei Eltern auf ihrem PC um zu verhindern das Kinder irgendwelche Programme starten können.

Gruß,
Daniel

Danke für Lob und Kritik.

Zitat von perle:

Das lässt sich z.B. mit Hooks viel besser lösen.

Dann wirds aber auch koplizierter.

Zitat von static_cast:

...das Programm ist ja eine ganz interessante Sache, nur wie wird überwacht?...
- Fängt das Tool den start eines Programms ab oder
- Wird das Programm gestartet und dein Tool merkt es dann ers wenn der Prozess läuft?

Beim dem zweiten genannten Fall wäre das Tool eigentlich total unnütz, wenn ich das so sagen darf, denn das (in diesem fall gehe ich von einem Bösen Programm aus) hätte ja schon längst schaden anrichten können oder dinge im System verändern.

Also ein Timer prüft, ob alle Processe die laufen "zulässig" sind. Ich würde auch schon gerne vor dem Starten den Processes ansetzten. Aber soweit reicht es leider noch nicht. Sicher kann man bis die Abfrage geklärt ist, oder der Process automatisch beendet wird Schaden anrichten. Aber der Schutz liegt vielmehr darin "vor ständig laufenden" Programmen. Nicht für jene, die nur für einen Bruchteil einer Sek. aktiv sind.

Zitat:

Ich würde auch schon gerne vor dem Starten den Processes ansetzten

Hooks ^^ Ich glaube es sind CBT Hooks mit denen das geht.

Ansonsten durch Hooken bestimmter API's wie z.b. CreateProcess etc

Zitat von Harry M.:

Zitat von perle:

Das lässt sich z.B. mit Hooks viel besser lösen.

Dann wirds aber auch koplizierter.

...aber besser. Es ist doch besser dich ruft derjenige an, der etwas zu melden hat - als Metapher - als daß du ganz Deutschland abtelefonierst bis du denjenigen dran hast, der was zu melden hat. Oder?

Zitat von Harry M.:

Also ein Timer prüft, ob alle Processe die laufen "zulässig" sind. Ich würde auch schon gerne vor dem Starten den Processes ansetzten. Aber soweit reicht es leider noch nicht.

Dafür würden deine Möglichkeiten im Usermode auch nicht ausreichen!

Was du bräuchtest wären (alle im DDK dokumentiert):
- PsSetCreateProcessNotifyRoutine (NT3/NT4/W2K/WXP/2K3)
- PsSetCreateThreadNotifyRoutine (NT4/W2K/WXP/2K3)
- PsSetLoadImageNotifyRoutine (W2K/WXP/2K3)
... sowie mindestens eine undokumentierte API, die ich jetzt nicht im Kopf habe. Ohne diese undokumentierte API bekommst du zwar Benachrichtigungen aber kannst den Prozess nicht vor dessen Ausführung killen. Die effektivste Methode, nämlich PsSetLoadImageNotifyRoutine() kannst du erst ab Windows 2000 einsetzen. Ansonsten bliebe dir noch eine letzte Methode, die zB von TrustNoExe eingesetzt wird - SSDT-Hooking bestimmter APIs um schon beim Laden des Images auch auf NT4-Systemen anzusetzen! Um es vorwegzunehmen: nein, es reicht nicht aus NtCreateProcess*() zu hooken, da man Prozesse auch anders erstellen kann. Einzig ein Image laden muß man immer um einen Prozess auszuführen (Forking geht natürlich auch anders ...).
Fazit: nochmal neu Programmieren lernen (nämlich KM-Treiber - die sind was komplett anderes als Usermode-Programme oder auch Services)!

Zitat von Harry M.:

Sicher kann man bis die Abfrage geklärt ist, oder der Process automatisch beendet wird Schaden anrichten. Aber der Schutz liegt vielmehr darin "vor ständig laufenden" Programmen. Nicht für jene, die nur für einen Bruchteil einer Sek. aktiv sind.

... im Bruchteil einer Sekunde kann Malware schon ziemlich viel Schaden anrichten.

@perle: vergiß es ... ohne KM-Treiber kommst du da nicht sinnvoll und "ganzheitlich" weiter.

Oh danke für die vielen Wegweiser. Mal sehen was ich damit umsetzten kann.

Zitat:

nein, es reicht nicht aus NtCreateProcess*() zu hooken, da man Prozesse auch anders erstellen kann

darum steht da ja auch CreateProcess etc.

Zitat:

@perle: vergiß es ... ohne KM-Treiber kommst du da nicht sinnvoll und "ganzheitlich" Mr. Green weiter.

schon, aber besser als seine Methode ist es allemal.
Kommt auch immer auf die Skills an die jeder Mitbringt.

Zitat von perle:

darum steht da ja auch CreateProcess etc.

Statt CreateProcessA/W ist dann aber NtCreateProcess und NtCreateProcessEx (ich denke mal *Ex reicht) konsequenter, weil die Win32-APIs ja auf letzteren aufsetzen

Zitat von perle:

schon, aber besser als seine Methode ist es allemal.
Kommt auch immer auf die Skills an die jeder Mitbringt.

Das stimmt wohl.

Nachtrag: NtCreateProcessEx() existiert erst ab Windows XP!!!
Und ich habe gerade nachgeschaut (in NTDLL), die benutzen verschiedene Service-Indices, also muß man auch beide hooken. Wie's auf Kernelebene aussieht, habe ich noch nicht nachgeschaut.

Zitat:

Statt CreateProcessA/W ist dann aber NtCreateProcess und NtCreateProcessEx (ich denke mal *Ex reicht) konsequenter, weil die Win32-APIs ja auf letzteren aufsetzen Wink

sofern es ein NT-System ist.