XP Manifest Dateien ignorieren

[Luckie]

Zitat von mayhem81:

Aber in einem Punkt müsst ihr mir recht geben...es ist eine verdammt große Lücke.
Denn Programme lassen sich so unbrauchbar machen oder über den Inhalt der XML Datei lassen sich böse Sachen anstellen.

Noch mal, es ist keine Lücke. Wenn ich als Administrator angemeldet bin, dann kann ich genauso wichtige Dateien lösche, unbrauchbar machen oder mit Schadcode patchen. deiner Meinung nach besteht also die Sicherheitslücke darin, dass man sich als Administrator am System anmelden kann?

Aber du hast genau den Punkt getroffen, warum man eben nicht als Administrator arbeiten sollte, sondern eben auch zu Hause als normaler Benutzer.

[mayhem81]

Hallo API

Deine Idee kam mir auch ganz kurz in den Kopf.
Habe sie dann aber ganz schnell verworfen, da man auch für diese Datei eine Manifest Datei erstellen kann

Ich habe eben nochmal in der Mittagspause darüber nachgedacht.
Es ist eigentlich kein Problem der Administration.
Microsoft hat es nur durch seine Umsetzung auf die Admins übertragen.
Es ist ja schön das es diese Manifest Dateien gibt.
Aber Microsoft hätte schon eine Möglichkeit geben sollen es den Entwicklern zu überlassen ob ein Programm darauf
reagieren soll oder nicht.
Denn wenn ich nur über Rechte darauf reagieren kann ist das für mich ein Trick um den Pfusch von Microsoft zu umgehen.

[Luckie]

Nein es ist kein Pfusch. Wenn der Entwickler kein Manifest will, dann lässt er es weg. Wenn der Anwender jetzt ein ungültiges manifest hinzufügt, dann liegt das in der Verantwortung des Anwenders und nicht in der Verantwortung von Microsoft oder dem Entwickler. Du kannst aj auch nicht Microsoft dafür verantwortliche machen, wenn der anwender mit einem Ressourceneditor dein Programmicon austauscht oder schlimmeres anstellt.

[tr909]

Zitat:

Manifest-Dateien - riskante Neulinge in Windows XP
Windows XP bringt neue Gestaltungsmöglichkeiten (Visual Styles) für den Desktop mit, aber auch neue Gefahren. Über ".manifest"-Dateien - die Windows XP für die Visual Styles braucht - lässt sich das System dauerhaft lahm legen.

..

Zitat:

In Anbetracht der aufgezeigten Mängel beim Umgang mit Manifest-Dateien ist diese Absicherung höchst fraglich. Empfehlenswert erscheint, dass Windows XP zumindest prüft, ob die Manifest-Datei gültiges XML enthält. Ist das nicht der Fall, sollte XP auf die Standard-Darstellung ohne Styles zurückgreifen.

http://www.tecchannel.de/news/themen/business/408706/ (Vom 20.07.2001)

Ich finde eigentlich auch das wenigstens auf Gültigkeit geprüft werden sollte. Wenn Programm XY abstürzt oder den Rechner lahmlegt wenn eine fehlerhafte (oder bewusst veränderte) Datei geöffnet wird schreiben sie ja auch alle nach nem BuxFix.
Toll ist ja auch das XP auch eine externe-Manifest verwendet wenn eine interne definiert ist. Ab Server2003 und Vista wird in diesem Fall das exteren ignoriert.

Gruß
DerAnkh

[mayhem81]

Danke tr909

Den Beitrag bei Tecchannel habe ich auch schon gelesen...warum ist mir nicht eingefallen den
zu posten

Genauso sehe ich das auch!!!

[QuickAndDirty]

Ihr macht wohl so ne art "PC-Wächterkarte", ja?

Du musst es wohl so wie die Virenscanner machen, anders kann ich mir das nicht vorstellen.
Am sichersten durch einfügen einer eigenen Services.Exe, MSLISA.DLL(waren das die beiden? naja auf jeden fall eben ein Rootkit), denke ich. So das es
möglichst keine Angriffspunkte gibt.

[jaenicke]

Es gibt ja eigentlich nicht viele Möglichkeiten, warum ein Manifest ungültig sein kann.

• Der Anwender hat ein ungültiges Manifest zu der Anwendung ins Verzeichnis gelegt
  --> Fehlerhafte Konfiguration der Benutzerrechte bzw. wenns der PC-Besitzer selbst ist selbst schuld. Ein Anwender mit Admin-Rechten muss wissen was er tut und das auch dürfen, ansonsten hat er in einer Mehrbenutzerumgebung fälschlicherweise diese Rechte.
• Der Anwender hat ein Manifest absichtlich ungültig gemacht oder erzeugt.
  --> Wenn es eine Mehrbenutzerumgebung ist gilt das selbe, der Admin hat keine Ahnung und hat die Rechte fehlerhaft konfiguriert. Wenn es der PC-Besitzer ist, selbst schuld.
• Eine heruntergeladene oder anderweitig kopierte Datei ist defekt
  --> Wenn das Transportmedium fehlerhaft ist, muss man sich ohnehin eine neue Kopie holen

Deshalb sehe ich bei korrekter PC-Konfiguration hier kein Problem. Dass XP standardmäßig Admin-Rechte gibt ist an einem Einzelbenutzer-PC ein Problem, aber um diese PCs gehts ja hier grad auch nicht.
(Und nebenbei schimpfen jetzt in Foren überall Leute auf Vista, weil das da endlich anders ist, da sieht man mal wieder wieviele keine Ahnung haben...)

Klar könnte man eine Prüfung einbauen ob das Manifest gültig ist. Und man hätte auch die Meldung, die kommt, wenn es ungültig ist, deutlicher verfassen können, denn mit der Meldung kann ein Laie ja nix anfangen.
Aber bei korrekter Konfiguration eines Mehrbenutzer-PCs bzw. einem Benutzer, der keinen Blödsinn auf seinem eigenen PC machen will, sehe ich da auch kein Problem so wie es jetzt ist. Dies ist das erste Mal, dass mir dieses Problem unterkommt.

Weder in der Uni noch in der Schule (wo ich das Netzwerk jahrelang administriert habe) wären derlei Sachen möglich gewesen. Dies haben die fehlenden Rechte verhindert. Und wie auch schon gesagt wurde: Wenn ich als Benutzer ein Manifest zu einer sicherheitsrelevanten Anwendung legen kann, dann kann ich das System auch auf 1000 andere Arten lahmlegen oder austricksen.

[QuickAndDirty]

@jaenicke:
Seine Software wäre ja unnötig wenn die Schüler nur User wären und die Admins ahnung hätten.
Soweit ich das erinnere leistet mir eine PC-Wächterkate das ich Admin am System bin und alles machen.
Die Wächterkarte verfolgt alle Handlungen und wenn das System neu starte sieht es so aus als wäre da nie einer
dran gewesen.

Also ein Spielplatz um Admin zu lernen....

[Kroko1999]

Zitat von QuickAndDirty:

@jaenicke:
Seine Software wäre ja unnötig wenn die Schüler nur User wären und die Admins ahnung hätten.
Soweit ich das erinnere leistet mir eine PC-Wächterkate das ich Admin am System bin und alles machen.
Die Wächterkarte verfolgt alle Handlungen und wenn das System neu starte sieht es so aus als wäre da nie einer
dran gewesen.

Also ein Spielplatz um Admin zu lernen....

Der Wächterkarte ist es egal, ob Du Admin oder User bist, sie leitet alle überwachten HDD-Zugriffe um und "patch" es bei Systemstart wieder auf "Anfang", wenn sie an ist.
[edi]
Schaltest Du sie ab, werden alle Änderungen übernommen, man lernt nichts über Admin!

[jaenicke]

Bei der Hardwarelösung kann man am PC machen was man möchte, da ist es auch egal wer welche Rechte hat, das stimmt schon. Und die steckt auch in einem Teil der PCs in meiner alten Schule drin.
Trotzdem gibt es Benutzerrechte, und trotzdem ist es nicht sinnvoll, dass jeder Admin-Rechte hat und alles darf. Und bei einer Softwarelösung gibt es sowieso keinen 100%igen Schutz, egal was man anstellt, insbesondere wenn die Benutzer zu viele Rechte haben.