Mit Dienst Bildschirm färben

[gsh]

Hi DPler

Ich möchte mit einem Dinst den gesamten Bildschirm weiss färben. Auf dieser weisen fläache soll dann mein logo plaziert werden.

Naja bei einer normallen Anwendung ist des ja kein größeres Problem, doch ich will des ganze ja aus einem Dienst heraus machen. Nun hab ich aber gelesen des Windows des "zeichen" auf einem Bildschirm nicht zulässt.

Natürlich könnte ich jetzt eine eigene Exe dafür schreiben geht aber nicht den des darf nicht vom User aufrufbar sein.


Habt ihr irgenwelche Ideen wie ich des trotzdem lösen könnte?

[Luckie]

Da Dienste in einer anderen WindowsStation laufen, hast du so keinen Zugriff auf den DefaultDesktop der interaktiven WinSta0. Einzige Möglichkeit, dies mit einem Dienst zu währe, mit Hilfe eines interaktiven Dienstes. Da interaktive Dienste aber eine potentielle Sicherheitslücke darstellen, ist davon abzuraten. Warum muss es denn unbedibngt ein Dienst sein? Und was spricht dagegen einfach ein Hintergrundbild zu setzen?

[gsh]

es muss wegen anderen umständen ein Dienst sein
und ein hintergrundbild setzt sich nicht über die taskleiste,...

hmm fast nichts anderes übrig bleiben ein eigenes Prgramm davür zu schreiben.
Aber wie kann ich des z.b. machen des des Prog nur vom Dienst aus gestartet werden kann oder des es sich gleich beendet falls es nicht vom dienst gestartet wurde

[Luckie]

Fangen wir mal ganz von vorne an: WAS hast du vor? Was soll das werden wenn es fertig ist? Wenn du den Rechner dicht machen willst, dann regel das über Policies, nimm dieses Kiosk Programm von Microsoft, was es umsonst für Windows XP gibt oder trag dein programm als Shell ein anstatt den Explorer.

[faux]

Zitat:

Zitat von gsh

Aber wie kann ich des z.b. machen des des Prog nur vom Dienst aus gestartet werden kann oder des es sich gleich beendet falls es nicht vom dienst gestartet wurde

Am einfachsten über Parameter oder so.
Wehe es sagt jetzt jemand: "Das kann man aber leicht umgehen..." :twisted:
Dann sage ich nämlich, dass man alles leicht umgehen kann. :roll:

Grüße
Faux

[gsh]

ach gibts nicht eine Lösung die etwas sicherer ist?

[Luckie]

Ja, was willst du denn machen?!?!?? Ich habe dir eben drei sichere Möglichkeiten genannt. Und hier der heise Artikel zum Thema: http://www.heise.de/security/news/meldung/61213

Zitat:

Nach dem Start des Programms hilft ein Assistent beim Erstellen und Absichern eines neuen Kontos. Wer sich damit an das System anmeldet, darf nur noch das tun, was der Administrator ausdrücklich erlaubt hat.

[gsh]

sorry hab deinen Beitrag nicht gesehen dachte "nur" faux hat geantwortet

Also mal im Detail:
Es muss ein Dienst sein (geht nicht anderes)
Es lauft dann unter einem Benutzerkonto (ohne Adminrechte was ja eigentlich egal ist wegen des dienstes)
Es darf keine zusätzliche software benötigen.

Kennts du MasterEye?
Den MasterEye hat eben die funktion einen PC zu sperren. Da ist dann auch alles weiss nur so ein logo vom MasterEye hüpft dann rum. Sowas in der Richtung brauch ich auch.

[faux]

Zitat:

Zitat von Olli

Der korrekte Weg ist es, sich über die ACLs des Desktops und der interaktiven Fensterstation Zugriff zu verschaffen und maximal interaktive Elemente in einem eingeschränkten Kontext ([msdn]Client Impersonation [Security][/msdn]) laufen zu lassen.

Grüße
Faux

[gsh]

was?
keine Ahnung was des bedeuten soll

[faux]

Ich denke mal, dass er damit meint, dass du deinem Programm eine ACL zuweisen solltest, und somit die Rechte bekommen.

[gsh]

und was ist eine ACL?

[gsh]

*push*

Ich hab bei den Diensteigenscaften so eine nettes feld gefunden wo draufsteht: "Datenaustausch zwischen Dienst und Desktop zulassen". Was bringt sich des? Darf ich dann auf den bildschirm was zeichnen?

[Luckie]

das ist das, was mit einem interaktiven Dienst gemeint ist, dann hat der Dienst Zugriff auf den Default Desktop des Benutzers in der interaktiven WinStat0.

[gsh]

aso

und warum ist der eine potentielle sicherheitslücke?
weil man durch den Dienst adminrechte bekommen könnte?

[Luckie]

Nein, weil der Dienst im System Kontext läuft, also mit den höchsten Rechten. Dadurch, dass der Dienst direkten Zugriff auf den Desktop hat, könnte man jetzt Code einschleusen, der dann vom Dienst ausgeführt wird, da der Dienst mit den höchsten Rechten läuft...

Siehe dazu auch Shatter attack.

[gsh]

ok dann ich habs eingesehen des es nicht geht

wie kann ich dann des mit zwei programmen machen aber es sollte halt möglichst sicher sein. Also nicht wenn der User doppelt auf die exe klickt der bildschirm weiss wird. Es sollten auch keine parameter sein

[phXql]

Zitat:

Zitat von gsh

ok dann ich habs eingesehen des es nicht geht

wie kann ich dann des mit zwei programmen machen aber es sollte halt möglichst sicher sein. Also nicht wenn der User doppelt auf die exe klickt der bildschirm weiss wird. Es sollten auch keine parameter sein

Mutex kreieren, Programm starten. Wenn das programm keinen mutex findet, dann programm beenden. ansonsten bildschirm weiss machn...

[gsh]

hmm klingt nicht sclecht

ich weiss wie ich ihn erzeuge und abfrage
aber wie sieht es da mit der Sicherheit aus?
wenn man den Mutex namen kennt muss man ihn nur erstellen und kann dann schon die exe ausführen
so jetzt ist die Frag wie kann man den Mutexnamen herausfinden (außer exe nach dem String durchsuchen)

[phXql]

Zitat:

Zitat von gsh

hmm klingt nicht sclecht

ich weiss wie ich ihn erzeuge und abfrage
aber wie sieht es da mit der Sicherheit aus?
wenn man den Mutex namen kennt muss man ihn nur erstellen und kann dann schon die exe ausführen
so jetzt ist die Frag wie kann man den Mutexnamen herausfinden (außer exe nach dem String durchsuchen)

wenn du schon mit sowas anfängst, dann häng die exe-datei an den dienst verschlüsselt in einer ressource dran, entschlüssel dass ding und führs dann aus..

[gsh]

Zitat:

Zitat von phXql

wenn du schon mit sowas anfängst, dann häng die exe-datei an den dienst verschlüsselt in einer ressource dran, entschlüssel dass ding und führs dann aus..

Vieleicht später mal
Ich glaube daweil reicht mir die Sicherheit
Ich wollte doch nur wissen wie sicher des ist

[Vjay]

"Sehen" sich Mutexe Winstationübergreifend?

[Luckie]

Zitat:

Zitat von Vjay

"Sehen" sich Mutexe Winstationübergreifend?

Ganz spontan würde ich "nein" sagen. Da es im Endeffekt auch nur Handles sind und diese sind an die Windows Station gebunden.

[Vjay]

Vermute ich nämlich auch, somit wird er nicht viel Erfolg haben.

[gsh]

hmm ich hab es bis jetzt erfolgreich gestetet
aber wahrscheinlich auch nur weil ich beim service des Prog. mit ShellExecute aufgerufen haben und des prog somit unter system lief.
Des wär ja nicht schlimm wenn er was anzeigen würde aber nein nichts.
Wie kann ich den sagen des er es unter dem aktuellen Benutzer ausführen soll? ohne des ich des pw davon weiss

[phXql]

Zitat:

Zitat von gsh

hmm ich hab es bis jetzt erfolgreich gestetet
aber wahrscheinlich auch nur weil ich beim service des Prog. mit ShellExecute aufgerufen haben und des prog somit unter system lief.
Des wär ja nicht schlimm wenn er was anzeigen würde aber nein nichts.
Wie kann ich den sagen des er es unter dem aktuellen Benutzer ausführen soll? ohne des ich des pw davon weiss

so weit ich weiss gar nich, das wär ja noch schöner wenn ich das könnte ^^

[Tyrael Y.]

Zitat:

Zitat von phXql

Zitat:

Zitat von gsh

hmm ich hab es bis jetzt erfolgreich gestetet
aber wahrscheinlich auch nur weil ich beim service des Prog. mit ShellExecute aufgerufen haben und des prog somit unter system lief.
Des wär ja nicht schlimm wenn er was anzeigen würde aber nein nichts.
Wie kann ich den sagen des er es unter dem aktuellen Benutzer ausführen soll? ohne des ich des pw davon weiss

so weit ich weiss gar nich, das wär ja noch schöner wenn ich das könnte ^^

...ich habe sowas schon gemacht und sage daher, es ist möglich, ist bissel haarig aber möglich, daß man aus einem Service heraus einen neuen Prozess startet mit den Rechten des eingeloggten Benutzers

...habe hier leider den dazugehörigen Source nicht liegen, habe es damals privat gemacht udn bin grad auf der Arbeit, irgendwo in meinen Datensammlungen ist das Projekt noch...

...bissel Googeln und mit den entsprechenden API-Funtionen mal rumspielen, dann wirst du es finden, hab ich damals auch so gemacht..

[gsh]

kannst du mir den Code bitte schicken wenn du ihn findest

[gsh]

falls des nicht klappen sollte hat dann jemand noch eine andere idee außer Mutex :?:

[gsh]

*push*