Windows XP Firewall Bypass

[Baer]

Mir is aufgefallen das icq jedes mal wenn es startet sich selbst als trustedapplication in die windowsfirewall einträgt und so garnicht geblockt werden kann! nach einigen nachforschungen im Internet fand ich heraus das die windowsfirewall all ihre trustedapplications in der registry unter
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\SharedAccess\Parameters\FirewallPolicy\Standard Profile\AuthorizedApplications\List
speichert ! ich hab dann manuell versucht einen Registryeintrag zu adden und siehe da es hat funktioniert ! und zwar muss als name einfach der pfad des programms eingegeben werden und als wert der pfad+':*:Enabled:beliebiger name' !

So als nächstes dacht ich mir natürlich es wär auch kein problem das in einer Delphi Anwendung umzusetzen ! Leider stoß ich dabei beim ausführen der Anwendung immer wieder auf folgende Fehlermeldung:
"Im Projekt Projekt2.exe ist eine Exception der Klasse ERegistryException aufgetreten. Meldung Fehler beim Setzen der Daten..."

auch wenn ich nur die exe starte funzt es nicht ! hier der source:

Delphi-Quellcode:

if not IdFTP1.Connected then    begin
  Reg := TRegistry.Create;
       Reg.RootKey := HKEY_LOCAL_MACHINE;
       Reg.OpenKey('HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\ Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List', True);
         
        Reg.WriteString(application.exename, application.exename +':*:Enabled:winhost32' );


            Reg.free    ;
 IdFTP1.Connect(true,5000);
 end

[edit=alcaeus]Leerzeichen eingefuegt um Zeilenumbruch zu erzwingen. Mfg, alcaeus[/edit]

[idontwantaname]

Ich kenn mich zwar nicht sonderbar mit dem Schreiben von Registry-Einträgen aus, aber gehört bei Reg.OpenKey sicher das HKEY_LOCAL_MACHINE in den Pfad ?? Weil wozu würde man dann den KeyRoot RootKey :oops: angeben ??

[Baer]

:-D du hast recht !

lol und ich such schon mehrere stunden nach ner Lösung !


Also danke nochma funzt jetz alles !

[Daniel G]

:gruebel:

Das nenn' ich mal Sicherheit....

[idontwantaname]

na schon ^^

[Frickeldrecktuxer_TM]

Zitat:

Zitat von Daniel G

:gruebel:

Das nenn' ich mal Sicherheit....

Du weißt, daß man nur als Admin nach HKLM schreiben kann? Admins wissen normalerweise, was sie tun... :roll:

[Daniel]

Dennoch wäre ein ...sagen wir... "ausgefeilteres" Konzept schön gewesen.

[Daniel G]

Zitat:

Zitat von Frickeldrecktuxer_TM

Zitat:

Zitat von Daniel G

:gruebel:

Das nenn' ich mal Sicherheit....

Du weißt, daß man nur als Admin nach HKLM schreiben kann?

Du weißt schon, das ~80% der User als Admin angemeldet sind?

[Frickeldrecktuxer_TM]

Zitat:

Zitat von Daniel

Dennoch wäre ein ...sagen wir... "ausgefeilteres" Konzept schön gewesen.

Was gibt es ausgefeilteres?
Es wird immer gerne behauptet, daß "Hardwarefirewalls" (was auch immer das sein mag) am sichersten seien. Nehmen wir mal meinen DI-624+-Router mit integrierter Firewall-Funktion: Wenn jemand das Admin-Passwort für das Webfrontend hat, ist mit wenigen Mausklicks und einem Browser die Firewall deaktiviert.
Anderes Beispiel, man nehme netfilter/iptables, wo ja Linux so sicher ist. Die Filtertabellen liegen im Arbeitsspeicher, aber im Kernel-Space. Verändern darf sie nur jemand, der Zugriff darauf hat, und das ist unter Linux nur der superuser. Hat jemand das su-Passwort reichen zwei Befehle um den Filter zu deaktivieren.
Angenommen es gäbe keine solche Liste in der Registry. Als Admin deaktiviere ich einfach den Firewall-Dienst und komme trotzdem ins Internet.

Sorry, aber wer einen Computer vor seinem Administrator schützen will, kennt die falschen Admins und wird seinen Computer nur dann schützen können, indem er sich selbst die Kontrolle über den Computer entzieht, womit wir dann ganz schnell bei den Überwachungsszenarien wären, die einige Leute über Microsoft, die NSA, den CIA, den BND oder sonstwen beschreiben.


Edit:

Zitat:

Zitat von Daniel G

Du weißt schon, das ~80% der User als Admin angemeldet sind?

Und was soll ich mit denen machen? Da brauche ich für Malware keinen Registry-Eintrag, da gibt es andere Möglichkeiten, die Firewall zu umgehen. Mit "format C:" schießt man sich da auch schnell selbst in den Fuß. Für ein richtig administriertes System ist die Registry-Lösung vollkommen ausreichend, für ein falsch administriertes System kann keine Lösung für das Sicherheitsproblem existieren.

[Daniel]

Nun, die Ausgangsfrage ist ja jetzt geklärt. Und die Diskussion, die jetzt zu entstehen droht, mag ich in diesem Thread nicht haben.

[Luckie]

Zitat:

Zitat von Daniel

Dennoch wäre ein ...sagen wir... "ausgefeilteres" Konzept schön gewesen.

Irgendwo muss Windows ja eine Liste führen. Und ob dies nun in der Registry passiert oder in einer Datei bleibt sich gleich. Und das Problem ist nicht die Liste, sondern der Benutzer, der als Administrator am Rechner arbeitet, denn wie schon bemerkt wurde, nur Administratoren haben eben das Recht in diesen Schlüssel zu schreiben.

[Sascha L]

D.h. aber, dass die Firewall absolut nutzlos ist, da ja fast jeder Windows-User leider als Admin angemeldet ist. Denn so kann doch jedes schadhafte Programm einfach die Firewall umgehen. z.B. Trojaner (unabhängig davon, dass ein Antivirenprogramm installiert sein sollte und dieses den Trojaner auch erkennen sollte). Es gibt ja Leute, die kein Antivirenprogramm haben. Auf jeden Fall ist eine Firewall nutzlos, wenn jedes Programm sie einfach umgehen kann.

[Luckie]

Das ist aber kein Problem von Windows, sondern von denjenigen, die eben als Administratoren an ihrem Windows Rechnern arbeiten. Aber warum empfindest du es also so schlimm, dass ein Programm den Firewall so einfach umgehen kann? Jedes andere schlimme Programm könnte dir deine Windowsinstallation unbrauchbar machen (durch löschen, Registry verändern oder sonstige Aktionen) oder sonstige schädliche Software installieren und im System verstecken. Das scheint dich irgendwie nicht zu stören. Obwohl es die gleiche Ursache hat: Es wird als Administrator am Rechner gearbeitet.

[Daniel]

Ihr könnt die 597. Diskussion zum Thema "Arbeiten mit Admin-Rechten" gerne in K&T eröffnen, aber nicht hier.
:!:

[Baer]

Ich bin der Meinung das windows wenigstens die einträge verschlüsseln könnte !

[SirThornberry]

Da die eigentliche Frage geklärt ist und anscheinend niemand die Aufforderung liest vom OT fern zu bleiben mach ich hier mal zu. Wenn das OT-Thema so interessant ist macht einfach einen Thread (wie vorgeschlagen) in K&T auf.

*** LOCKED ***