Prozess unter Win2000/XP vor dem Taskmanager verstecken (??)

[HeikoAdams]

Hallo,
ist es möglich, unter Windows 2000/XP einen Prozess vor dem Taskmanager zu verstecken (wenn ja, wie) oder geht das nur unter Win9x/ME??

Gruss

Heiko

[Luckie]

Nein ist nicht möglich. warum sollte man einen Prozess auch verstecken wollen? Ich wüßte nur einen Grund und dafür wirst du hier keine Unterstützung finden.

[noch_ein_hannes]

Hi Luckie,

das würde ich auch nicht unterstützen! Aber ich habe mir vor kurzem genau die gleiche Frage gestellt, ob es vielleicht möglich ist einen Prozess zu verbergen. In meinem Fall ging es um eine Art Kindersicherung. Ich kann ja schon recht einfach einen Task verbergen, aber wenn mein Kind dann einfach den Prozess killt ist das Ganze ziemlich wirkungslos.

Man könnte ja vielleicht das Prog als Dienst laufen lassen, aber soweit ich weiss können Dienste keine Oberfläche besitzen bzw. Sounds abspielen - oder liege ich da falsch? Gibt es vielleicht sonst einen Weg ein Prog. recht sicher vor dem Beenden zu schützen, ohne dass man z.B. dem User den Taskmanager verweheren muss? (letzteres finde ich blöd, denn der Taskmanager sollte für Notfälle immer im Zugriff des Users bleiben)

bis denne,
Hannes

[Luckie]

Zitat:

Zitat von noch_ein_hannes

das würde ich auch nicht unterstützen! Aber ich habe mir vor kurzem genau die gleiche Frage gestellt, ob es vielleicht möglich ist einen Prozess zu verbergen. In meinem Fall ging es um eine Art Kindersicherung. Ich kann ja schon recht einfach einen Task verbergen, aber wenn mein Kind dann einfach den Prozess killt ist das Ganze ziemlich wirkungslos.

Das zu braucht man kein Prozess verstecken.

Zitat:

Man könnte ja vielleicht das Prog als Dienst laufen lassen,

Genau so macht man es. Dienste können nur von Benutzern mit Administratorenrechten gestartet und beendet werden.

Zitat:

aber soweit ich weiss können Dienste keine Oberfläche besitzen bzw. Sounds abspielen - oder liege ich da falsch?

Doch, es gibt interaktive Prozesse. Nur schaffen sie ein künstliches Sicherheitsloch. Da man über die Oberfläche Code einschleusen kann, der dann im Kontext des Systemkontos augeführt wird.

Zitat:

Gibt es vielleicht sonst einen Weg ein Prog. recht sicher vor dem Beenden zu schützen, ohne dass man z.B. dem User den Taskmanager verweheren muss?

Nein, der einzig professionelle Weg führt über einen Dienst.

Zitat:

(letzteres finde ich blöd, denn der Taskmanager sollte für Notfälle immer im Zugriff des Users bleiben)

Vernünftige Einstellung.

[alcaeus]

Du koenntest eine Art Watchdog-System bauen: 2 Prozesse kontrollieren, ob sie laufen. Falls einer weg ist, dann wird dieser einfach neu gestartet.
Du musst dir dann eben ein gutes System einfallen lassen, um beide abschiessen zu koennen ;)

Greetz
alcaeus

[SubData]

Es ist möglich Prozesse zu verstecken...

Ich sag als Stichwort dazu nur Root-Kit ^^

[noch_ein_hannes]

Die Idee mit den 2 Prozessen die sich Gegenseitig kontrollieren finde ich nett und für mein Vorhaben auch absolut ausreichend.

Ansonsten könnte man das Prog ja auch "svchost.exe" oder "rundll32.exe" nennen ... :-)
(Das würde zumindest bei 'vorsichtigen Usern' klappen)

Grüsse,
Hannes

[alcaeus]

Zitat:

Zitat von noch_ein_hannes

Ansonsten könnte man das Prog ja auch "svchost.exe" oder "rundll32.exe" nennen ... :-)
(Das würde zumindest bei 'vorsichtigen Usern' klappen)

Und bei mir gegen die Wand knallen. Als "Umgehungsmassnahme" könntest du folgendes machen. Falls ein Prozess abgeschossen ist, siehst du nach ob in C:\Windows (jedenfalls ein Verzeichnis, wo nur Admins reinschreiben können), eine Datei mit einem gewissen Inhalt ist. Wenn ja, löscht der Watchdog die Datei und beendet sich ebenfalls. So können nur Admins einen Prozess beenden, der unter irgendeinem Userkonto läuft :cool:

Greetz
alcaeus

[Luckie]

Zitat:

Zitat von SubData

Es ist möglich Prozesse zu verstecken...

Ich sag als Stichwort dazu nur Root-Kit ^^

Geht das etwas genauer bitte?

[SubData]

Ich wollte dabei eigentlich nicht zu genau werden, da man es wie gesagt auch für "ganz fiese" Sachen missbrauchen kann.
Es gibt Root-Kits, die die System Prozesse überlagern und bestimmte Dateinamen einfach rausfiltern.
Diese sind dann weder auf der Festplatte, noch in den Systemdiensten und auch nicht unter den Prozessen sichtbar.
Selbst wenn man den genauen Pfad mit Dateinamen kennt, kann Windows die Datei nicht finden, da der Systemeigene Dienst meldet, dass die Datei nicht existiert.
Auf die gleiche Weise kann man auch Internet-Verbindungen komplett ausblenden und für die ganzen Viewer und Spy Utilities unsichtbar machen.

[pjuk]

also die idee mit dem svchost.exe werd ich aufgreifen, super idee vorallem weil eben die meisten Nutzer nicht sicher sind was diese Datei beinhaltet ;)

[static_cast]

Da steht sehr gut beschrieben was es ist und wie es umgangen bzw. ausfindig gemacht werden kann ;)

http://www.sysinternals.com/ntw2k/fr...itreveal.shtml

[alcaeus]

Zitat:

Zitat von pjuk

also die idee mit dem svchost.exe werd ich aufgreifen, super idee vorallem weil eben die meisten Nutzer nicht sicher sind was diese Datei beinhaltet ;)

Da würde ich vorsichtig sein, denn AFAIR gibt es aber schon einige Virenscanner, die zuschlagen falls eine svchost.exe aus einem Verzeichnis anders als C:\Windows\system32 läuft. Diese Sache ist v.a. bei Virenprogrammierern beliebt, um das Abschießen der Viren zu verhindern ;)

Greetz
alcaeus

[HeikoAdams]

Zitat:

Zitat von Luckie

Nein ist nicht möglich. warum sollte man einen Prozess auch verstecken wollen? Ich wüßte nur einen Grund und dafür wirst du hier keine Unterstützung finden.

Falls Du Ad/Spyware meinst: Nein, das habe ich nicht vor. Ich soll für nen Freund nen Programm schreiben, das dafür sorgt, das seine Kinder maximal 60 Minuten am Stück vor dem PC hocken. Aber da die Kiddies von heute nicht blöd sind, wäre es hilfreich, wenn ich den Prozess verstecken könnte.
Die Lösung das ganze als Dienst zu realisieren ist aber auch nicht schlecht. Werd's mir mal durch den Kopf gehen lassen.

Gruss

Heiko

[Luckie]

Zitat:

Zitat von pjuk

also die idee mit dem svchost.exe werd ich aufgreifen, super idee vorallem weil eben die meisten Nutzer nicht sicher sind was diese Datei beinhaltet ;)

Die svchost Prozesse laufen immer unter dem Systemkonto. Gerade am Samstag habe ich das System von meiner Freundin von Viren befreit. Das erste, was ich gemacht habe war, ich habe mir die Benutzer der Prozesse anzuzeigen lassen. Das geht mit dem Taskmamanger von XP. Der Taskmanager von Windows2000 kann dies leider nicht, aber es gibt andere Prozessbetrachter, die das auch unter Windows2000 können. Ein svchost Prozess, der nicht unter dem Systemkonto läuft, ist also sofort verdächtig.

[Luckie]

Zitat:

Zitat von HeikoAdams

Zitat:

Zitat von Luckie

Nein ist nicht möglich. warum sollte man einen Prozess auch verstecken wollen? Ich wüßte nur einen Grund und dafür wirst du hier keine Unterstützung finden.

Falls Du Ad/Spyware meinst: Nein, das habe ich nicht vor. Ich soll für nen Freund nen Programm schreiben, das dafür sorgt, das seine Kinder maximal 60 Minuten am Stück vor dem PC hocken. Aber da die Kiddies von heute nicht blöd sind, wäre es hilfreich, wenn ich den Prozess verstecken könnte.

Dann leg für die Kinder einen Benutzer an und weiß mit dem Benutzer Zeiten zu, an dem er sich im System einloggen kann. So was bringt Windows schon von haus aus mit. Eventuell kann man sogar nur die Dauer einstellen, anstatt feste Uhrzeiten.

Zitat:

Die Lösung das ganze als Prozess zu realisieren ist aber auch nicht schlecht. Werd's mir mal durch den Kopf gehen lassen.

Diese Aussage zeigt mir, dass du ehrlich gesagt nicht weißt, was ein Prozess ist oder meinst du einen Dienst?

[Phoenix]

Das einfachste wird sein, einen Dienst zu erstellen.
Der Dienst wird beim Hochfahren vom Systemkonto gestartet, liest seine Konfiguration geschickterweise aus einer .ini - Datei in einem Verzeichnis, das nur für den Admin schreibrechte bereithält und gut ist.

Ein normaler User darf den Dienst-Prozess nicht abschiessen. Konfigurieren lässt sich der Dienst über die .ini.

Und dann gibt es immer noch die Option, einen Client für den Dienst zu schreiben, der z.B. über TCP/IP mit dem Dienst kommuniziert und so eine Oberfläche für den Dienst bereitstellt.

Ich denke, das ist die sauberste Variante.

[noch_ein_hannes]

Hey, war der Smiley hinter meinem Tip "svchost.exe" nicht deutlich genug? Das habe ich gar nicht so ernst gemeint ...

Ich hatte auch mal nach RootKit geforscht und bin dann hier (incl. Delphi-Source) gelandet. Das Tool scheint recht gut zu sein. Dieser Weg funktioniert aber nur, wenn man es selbst auf dem Zielrechner einrichtet bzw. einrichten darf.

[HeikoAdams]

Zitat:

Zitat von Luckie

Diese Aussage zeigt mir, dass du ehrlich gesagt nicht weißt, was ein Prozess ist oder meinst du einen Dienst?

Ich meinte einen Dienst. Hatte mich verschrieben, den Beitrag aber schon geändert - Du warst einfah zu schnell für mich :thumb:

Gruss

Heiko

[perle]

[vorsichtigsei]du könntest auch die TerminateProcessApi hooken und damit verhindern , dass im TM überhaupt ein Programm beendet wird....Oder du sperrst den Taskmanager ganz (geht ja recht komfortabel über die Registry)
[/vorsichtigsei]

[SubData]

Dann gibs aber noch die kill.exe :)
Bzw. diverse Tools mit denen man die Prozesse beenden kann... SysInternals zum Beispiel :>

[Luckie]

Zitat:

Zitat von perle

[vorsichtigsei]du könntest auch die TerminateProcessApi hooken und damit verhindern , dass im TM überhaupt ein Programm beendet wird....Oder du sperrst den Taskmanager ganz (geht ja recht komfortabel über die Registry)
[/vorsichtigsei]

Sehr schön. Eine Notbremse hat schon seine Daseinsberechtigung.

[kalmi01]

Hi Luckie,

Zitat:

Nein ist nicht möglich. warum sollte man einen Prozess auch verstecken wollen?
Ich wüßte nur einen Grund und dafür wirst du hier keine Unterstützung finden.

ich wüßte mehr als nur einen Grund ein Prg./Dienst/Verzeichniss vor dem Anwender zu verstecken.

Warum unterstellt Ihr generell etwas böses, wenn jemand nach etwas Außergewöhnlichen fragt ?
Ich könnte auch mit einer extra angespitzten Schere jemanden umbringen; tu es aber nicht.

Versteckte Prg's sind z.B. zu Überwachungszwecken sehr brauchbar.
Ich kann (leider) nicht jedem Anwender "die Krallenstutzen", aber ich weiß gern, wenn er Aktionen ausführt, die er eigentlich unterlassen sollte.
Z.B. wenn User A Prg's installieren darf, heißt das noch lange nicht, daß das auch für Spiele gilt.

Wenn solche Sachen nachvollziehbar sind, erleichtert es die Fehlersuch doch arg.

Oder z.B. Schutz von patentrechtlich relevanten Daten, bzw. Nachweis des Missbrauchs.

Gruß
Michael

[Luckie]

Zitat:

Zitat von kalmi01

Zitat:

Nein ist nicht möglich. warum sollte man einen Prozess auch verstecken wollen?
Ich wüßte nur einen Grund und dafür wirst du hier keine Unterstützung finden.

ich wüßte mehr als nur einen Grund ein Prg./Dienst/Verzeichniss vor dem Anwender zu verstecken.

Ich wüßte keinen.

Zitat:

Warum unterstellt Ihr generell etwas böses, wenn jemand nach etwas Außergewöhnlichen fragt ?
Ich könnte auch mit einer extra angespitzten Schere jemanden umbringen; tu es aber nicht.

Ich unterstelle nichts böses. Mir ist nur ein böser Grund bekannt, warum man das wollen könnte.

Zitat:

Versteckte Prg's sind z.B. zu Überwachungszwecken sehr brauchbar.

Ein Dienst geht da nicht?

Zitat:

Ich kann (leider) nicht jedem Anwender "die Krallenstutzen", aber ich weiß gern, wenn er Aktionen ausführt, die er eigentlich unterlassen sollte.
Z.B. wenn User A Prg's installieren darf, heißt das noch lange nicht, daß das auch für Spiele gilt.

Oder z.B. Schutz von patentrechtlich relevanten Daten, bzw. Nachweis des Missbrauchs.

Installieren dürfen nur Administratoren und wenn du deinen Administratoren nicht vertraust kannst, dann kannst gleich vergessen.

[kalmi01]

Zitat:

Zitat:

ich wüßte mehr als nur einen Grund ein Prg./Dienst/Verzeichniss vor dem Anwender zu verstecken

Versteckte Prg's sind z.B. zu Überwachungszwecken sehr brauchbar.


Ein Dienst geht da nicht?

Hat ich ja im vorhergehenden Zitat schon mit aufgeführt.

Zitat:

Installieren dürfen nur Administratoren und wenn du deinen Administratoren nicht vertraust kannst, dann kannst gleich vergessen

Geht ja nicht nur um Installation.
Leider gibt es aber Software, die nur funktioniert, wenn der Anwender (zumindest teilweise) Admin-Rechte hat.

Zitat:

Schutz von patentrechtlich relevanten Daten, bzw. Nachweis des Missbrauchs

Wer bei uns eine bestimmte Software außerhalb des Netzwerkes benutzen will, erklärt sich mit einer unsichtbaren Protokolierung einverstanden oder er bekommt nicht die Möglichkeit zur offline-Nutzung.
Ist für beide Seiten von Vorteil.
Im Streitfall ist für Nutzer und Arbeitgeber nachweisbar das kein Datenmissbrauch stattgefunden hat, z.B. bei Wechsel des Mitarbeiters zu einem Mitbewerber.
Die Log-Daten können natürlich nur von AN+AG gemeinsam eingesehen werden, der Einzelne hat keinen Zugriff.

[c113plpbr]

Nochmals zu Luckies erstem Post:

Zitat:

Zitat von Luckie

Nein ist nicht möglich.

Es ist sehr wohl möglich. Solange es "nur" der Windows Taskmanager ist, sollte dies kein Problem darstellen. Das ganze könnte man z.B. über API/Function-Hooking realisieren.
Ich hab das mal zu Forschungszwecken gemacht. ^^
Es ist auch kein Problem anderes zu "verstecken", wie z.B. Dateien, Registrierungsschlüssel, Prozesse ... rein theoretisch kann man jegliche Art von Parametern und Rückgabewert jeder Funktion nach beliben verändern.

Allerdings würde ich es nicht richtig finden, für eine Kindersicherung zu derartigen "unsauberen" Methoden zu greifen, ich denke, dass ein Dienst (wie schon vorgeschlagen) da wirklich völlig ausreicht.

Noch etwas: Warum sollte dies illegal sein, wenn man es auf seinem *eigenen* Computer praktiziert? Oder darf ich etwa mit meinem Computer nicht das machen was ich will?

ciao, Philipp

[alcaeus]

Hallo Philipp,

Zitat:

Zitat von c113plpbr

Noch etwas: Warum sollte dies illegal sein, wenn man es auf seinem *eigenen* Computer praktiziert? Oder darf ich etwa mit meinem Computer nicht das machen was ich will?

bei solchen Sachen besteht natuerlich gleich der Drang, es zu irgendwas "anderem" zu nutzen, was nicht mehr auf dem eigenen Rechner laeuft. Ausserdem, warum willst du etwas vor dir selbst verstecken? :gruebel:

Greetz
alcaeus

[jim_raynor]

Wenn du in Windows einen Benutzer mit eingeschränkten Rechten machst, dann sieht er normalerweise nicht die Prozesse der anderen Benutzer und kann diese nicht abschiessen. Da die Kinder sowieso nur ein Konto mit eingeschränkten Rechten kriegen dürfen kannst du einfach einen Dienst erstellen, der unter SYSTEM läuft. Und schon hat das Kid eigentlich keine Chance irgendwas dagegen zu unternehmen.

[c113plpbr]

Zitat:

Zitat von alcaeus

bei solchen Sachen besteht natuerlich gleich der Drang, es zu irgendwas "anderem" zu nutzen, was nicht mehr auf dem eigenen Rechner laeuft.

Verstehe ich ja ...

Zitat:

Zitat von alcaeus

Ausserdem, warum willst du etwas vor dir selbst verstecken? :gruebel:

Nein, ich meinte, vor den "eigenen" (hab ja [noch] keine ;) ) Kids nen Programm verstecken, dass kann einem doch keiner verbieten, oder? (Mir ist bewusst, dass es sauberere und bessere Lösungen dafür gibt)
Mir ging es nur darum, weil es diverse leute gibt, die dann gleich wieder was böses vermuten ...

... als ich das gemacht hatte, ging es mir eigentlich auch nur um die "Forschung", wie sowas möglich wäre, und wie ich mich evtl. auch dagegen schützen könnte ... oder wie war das gleich wieder?: "increasing security by breaking security" ;)

ciao, Philipp

[Mephistopheles]

Zitat:

Zitat von HeikoAdams

Ich soll für nen Freund nen Programm schreiben, das dafür sorgt, das seine Kinder maximal 60 Minuten am Stück vor dem PC hocken. Aber da die Kiddies von heute nicht blöd sind, wäre es hilfreich, wenn ich den Prozess verstecken könnte.

Wie wäre es mit einer Ersatz-MSGINA? Erstens kann man einen unauthorisierten Zugriff verhindern (z.B. Benutzer X nur bis 10:00) und außerdem kannst du einen Logoff forcieren. Muß man sich allerdings etwas reinlesen in die Materie. Dafür ist es dann aber (je nachdem wie du programmierst) mindestens genauso sicher wie die Windows-MSGINA.

Zitat:

Zitat von noch_ein_hannes

Ich hatte auch mal nach RootKit geforscht und bin dann hier (incl. Delphi-Source) gelandet. Das Tool scheint recht gut zu sein. Dieser Weg funktioniert aber nur, wenn man es selbst auf dem Zielrechner einrichtet bzw. einrichten darf.

Usermode-Rootkits kannst du wegwerfen. Oder hast du schonmal einen Kernelmode-Treiber mit Delphi geschrieben?

Zitat:

Zitat von kalmi01

Warum unterstellt Ihr generell etwas böses, wenn jemand nach etwas Außergewöhnlichen fragt ?
Ich könnte auch mit einer extra angespitzten Schere jemanden umbringen; tu es aber nicht.

Ein guter Admin hat nichts zu verbergen (schon garnicht vor seinen Benutzern).

Zitat:

Zitat von kalmi01

Versteckte Prg's sind z.B. zu Überwachungszwecken sehr brauchbar.

BDSG sagt dir was?

Zitat:

Zitat von kalmi01

Ich kann (leider) nicht jedem Anwender "die Krallenstutzen", aber ich weiß gern, wenn er Aktionen ausführt, die er eigentlich unterlassen sollte.
Z.B. wenn User A Prg's installieren darf, heißt das noch lange nicht, daß das auch für Spiele gilt.

Dafür gibt es Kernelmodelösungen!

Zitat:

Zitat von c113plpbr

Nochmals zu Luckies erstem Post:
Es ist sehr wohl möglich. Solange es "nur" der Windows Taskmanager ist, sollte dies kein Problem darstellen. Das ganze könnte man z.B. über API/Function-Hooking realisieren.
Ich hab das mal zu Forschungszwecken gemacht. ^^
Es ist auch kein Problem anderes zu "verstecken", wie z.B. Dateien, Registrierungsschlüssel, Prozesse ... rein theoretisch kann man jegliche Art von Parametern und Rückgabewert jeder Funktion nach beliben verändern.

Der Teufel fragt: welche APIs hookst du denn? Viele Wege führen nach Rom.

Zitat:

Zitat von c113plpbr

Noch etwas: Warum sollte dies illegal sein, wenn man es auf seinem *eigenen* Computer praktiziert? Oder darf ich etwa mit meinem Computer nicht das machen was ich will?

Ist es nicht. Es ist auch nicht schlimm (außer vielleicht unmoralisch) auf dem eigenen Rechner illegale oder nicht gekaufte Programme zu betreiben. Allerdings wäre eine Anleitung sehr wohl illegal. Und hier haben wir das Problem. Am besten du versuchst mal Medizingerät nach Iran zu liefern ... viel Spaß beim Verklagtwerden vonwegen Dual-Use.

Zitat:

Zitat von jim_raynor

Und schon hat das Kid eigentlich keine Chance irgendwas dagegen zu unternehmen.

Es sei denn, es ist clever. Und dann sollte man es in seinem Drange wohl unterstützen.

[Miroku]

Also wenn ihr wirklich nur wollt das die Kiddies nur eine variable Zeit am Computer dürfen könntet ihr ja wie folgt vor gehen:

Lösungen

- Windows Taskmanager per Regedit sperren (Ja bei WinXP)
- Windows Taskmanager beim Aufruf wieder schließen

oder meine Alternative Billig Lösung:

Delphi-Quellcode:

Do
Kill taskmgr.exe
DoEvents
Loop

Naja ist jetzt VB aber vom Prinzip ist es ja klar.. (klappt auch XD)
Ok und dann eben Regedit auch sperren.

Außerdem gibt es ja eine vielzahl von Programmen die das schon
erledigen.

[Luckie]

Zitat:

Zitat von Miroku

Also wenn ihr wirklich nur wollt das die Kiddies nur eine variable Zeit am Computer dürfen könntet ihr ja wie folgt vor gehen:

Lösungen

- Windows Taskmanager per Regedit sperren (Ja bei WinXP)
- Windows Taskmanager beim Aufruf wieder schließen

oder meine Alternative Billig Lösung:

Delphi-Quellcode:

Do
Kill taskmgr.exe
DoEvents
Loop

Naja ist jetzt VB aber vom Prinzip ist es ja klar.. (klappt auch XD)
Ok und dann eben Regedit auch sperren.

Außerdem gibt es ja eine vielzahl von Programmen die das schon
erledigen.

Öhm, du hast das gelesen: http://www.delphipraxis.net/internal...=331856#331856 ?