Systemprozess von nicht Systemprozess unterscheiden

[Delphi-Laie]

Zitat von rollstuhlfahrer:

also mit dem First32Process o.ä. geht das mit dem Parameter szexepath leider nicht so einfach. Dieser gibt nur den absoluten Dateinamen an, ohne den Pfad zu der Exe.

Warum gab ich wohl den Modulschnappschuß an?

Zitat von rollstuhlfahrer:

An diesen kommt man über die Kommandozeile inkl. Parameter

Es geht doch hier um ein Programm und nicht um die (manuelle!) Bedienung einer Textkonsole!

Zitat von rollstuhlfahrer:

Wodurch sich Systemprozesse noch von anderen Prozessen unterscheiden ist, dass der Firmenname auf "Microsoft Coporation" steht. Ich glaube auch, dass die Systemprozesse alle digital signiert sind und die meisten der frei rumlaufenden Viren/Trojaner/Bots nun eben mal nicht.

Also: Ein wirklich gutes Alleinstellungsmerkmal ist das Prüfen auf ein digitales Zertifikat und die Prüfung dieses Zertifikats. Wie man das allerdings anstellt, weiß ich nicht.

Ein wirklich gutes? Was ist mit den Diensten? Die müssen keinesfalls alle von Mikroweich stammen (kann man schließlich auch selbst programmieren), doch nach meinem Wissen laufen die regelmäßig im Kernelmodus! Müssenn die wirklich digital signiert sein?

Ein nach meiner Beobachtung eindeutiges Unterscheidungsmermal ist z.B., daß die Kernelmodusprozesse - im Gegensatz zu den Usermodusprozessen - den Modulschnappschuß nicht a priori erlauben, sondern erst nach explizter Privileganforderung. Allerdings weiß ich nicht, wie man Modulanzahl 0 (eigentlich gar nicht möglich, die Exe muß als 1 Modul eigentlich immer zurückgeliefert werden) von einem abgewiesenen Modulschnappschuß unterscheiden kann.

[Assarbad]

Zitat von gandime:

Das ganze funktioniert auch alles schon blos das doofe ist, das der Prozess smss.exe heisst.

SMSS == Session Manager Subsystem

Das ist eines der Kernsubsysteme von Windows und wird aus dem Kernel heraus gestartet. Wird dieser Prozess beendet, gibt es einen Bluescreen. Würdest du csrss.exe (Client Server Subsystem) beenden, würde im besten Fall ein Bluescreen kommen und im schlimmsten Fall würden Win32-Prozesse sich merkwürdig verhalten, weil csrss.exe das Win32-Subsystem implementiert. Ja, Win32 ist eigentlich auf der NT-Plattform nur ein Subsystem, wenn auch mehr oder weniger das zentrale ...

Selbstverständlich kann sich auch ein bösartiger Prozess mit diesen Namen tarnen, aber dann könnte man wiederum Signaturen überprüfen (siehe Bernhards Vorschlag). Dennoch, bei diesem Mangel an Grundkenntnissen mag dein Ziel durchaus ehrenwert sein, aber bitte lasse es lieber sein. Du kannst damit Leute und deren Daten in die Bredouille bringen.

Zitat von Delphi-Laie:

Ein wirklich gutes? Was ist mit den Diensten? Die müssen keinesfalls alle von Mikroweich stammen (kann man schließlich auch selbst programmieren), doch nach meinem Wissen laufen die regelmäßig im Kernelmodus!

Wie Sven schon schrieb, im KM laufen nur der Kernel und Treiber, wobei die Threads in den "normalen" Prozessen natürlich ab und an einen Ausflug in den KM machen um bspw. Dateien zu lesen, Ereignisse zu erstellen uns so weiter und so weiter. Treiber sind im Übrigen eher mit DLLs vergleichbar als mit Programmen, wenn man denn schon einen Vergleich benötigt um es sich zu verbildlichen ...