Entdecken eines Festplatten-Scans über das Netzwerk

[f4_tim]

Eigentlich ist das "eher" unwichtig, oder?

Zitat:

-o Displays the owning process ID associated with each connection.

[Chris1986]

Man kann mit der Win API auch ganz einfach alle IPs anzeigen lassen, mit denen zur Zeit kommuniziert wird. Ob das mit eingeschränkten Rechten auch geht weiß ich aber nicht. Qt ist im Anhang. Ich hab das irgendwann mal anhand einer Demo nachgebaut, die ich im Inet gefunden hab. Quelle weiß ich leider nichtmehr. Falls sich jemand angesprochen fühlt setze ich die Quellenangabe gerne noch in den Code.

MfG
Christian

[Dr. Eddison]

Danke Radioactive, dass du erstmal wieder ür Ordnung gesorgt hast. Ich habe nämlich auch schon alle anderen Wege probiert um die Sorge aus der Welt zu schaffen. Aber egal.

Das Problem an netstat ist halt nur, dass, wenn der admin einmal drauf war die Verbindung existiert und sich ab da die Rechner mit einander unterhalten, ich nicht ablesen kann, ob er gerade aktiv auf meinem Rechner ist oder nur pings hin und her geschickt werden. Jedoch will ich genau das wissen! *grbl*

[emsländer]

schau mal unter system32 (lesender und ausführender Weise kommst Du dort hin).

suche nach : compmgmt.msc (und mach Dir ne Verknüpfung auf den Desktop oder so)


Siehe Anhang: dort kannst Du genau sehen, was aktuell passiert. Brauchst keine Delphi Proggi und nix

Nur ab und an mal "Refresh" !

(beim deutschen XP ist das nat. in Deutsch)


Gruss

EL

[Dr. Eddison]

Uuhhh! Der Tipp ist schon sehr gut!!!! Gibt's da ne API-Routine mit der ich das selbst auslesen kann?

[Kernel32.DLL]

Jetzt könnte man ja auch nach der API-Funktion suchen, mit dessen Hilfe diese Daten gewonnen werden...

Dann könnte man 'nen Programm schreiben, dass checkt, ob "DerGemeineAdmin" gerade eine Verbindung aufbaut...

[Edit1]Ups, da war ich wohl zu langsam....[/Edit]

[emsländer]

Zitat von Dr. Eddison:

Uuhhh! Der Tipp ist schon sehr gut!!!! Gibt's da ne API-Routine mit der ich das selbst auslesen kann?

Schau Dir mal Deine Windows.pas an. Dort findest Du einige Dinge, die genau in die Richtung gehen.

Hier mal ein Ausschnitt der Funktionen, die auf die Pipes zugreifen:

Delphi-Quellcode:

function CreatePipe(var hReadPipe, hWritePipe: THandle;
  lpPipeAttributes: PSecurityAttributes; nSize: DWORD): BOOL; stdcall;
{$EXTERNALSYM CreatePipe}
function ConnectNamedPipe(hNamedPipe: THandle; lpOverlapped: POverlapped): BOOL; stdcall;
{$EXTERNALSYM ConnectNamedPipe}
function DisconnectNamedPipe(hNamedPipe: THandle): BOOL; stdcall;
{$EXTERNALSYM DisconnectNamedPipe}
function SetNamedPipeHandleState(hNamedPipe: THandle; var lpMode: DWORD;
  lpMaxCollectionCount, lpCollectDataTimeout: Pointer): BOOL; stdcall;
{$EXTERNALSYM SetNamedPipeHandleState}
function GetNamedPipeInfo(hNamedPipe: THandle; var lpFlags: DWORD;
  lpOutBufferSize, lpInBufferSize, lpMaxInstances: Pointer): BOOL; stdcall;
{$EXTERNALSYM GetNamedPipeInfo}
function PeekNamedPipe(hNamedPipe: THandle; lpBuffer: Pointer; nBufferSize: DWORD;
  lpBytesRead, lpTotalBytesAvail, lpBytesLeftThisMessage: Pointer): BOOL; stdcall;
{$EXTERNALSYM PeekNamedPipe}
function TransactNamedPipe(hNamedPipe: THandle; lpInBuffer: Pointer; nInBufferSize: DWORD;
  lpOutBuffer: Pointer; nOutBufferSize: DWORD; var lpBytesRead: DWORD;
  lpOverlapped: POverlapped): BOOL; stdcall;
{$EXTERNALSYM TransactNamedPipe}

Gruss

EL

[Daniel]

Zitat von Radioactive:

Da diskutiert ihr ewig um die Sch***, ob er die Datei jetzt ausführen kann oder nicht, etc. anstatt mal die Frage zu beantworten.

Angenommen, die Rechte wären sehr restriktiv verteilt, so könnte es durchaus sein, dass sich weitere Überlegungen erübrigen, da er sein Programm erst gar nicht ausführen könnte. Deine Wortwahl wirst Du künftig bitte ändern und drängeln mag ich erst recht nicht. Also: Bitte die Bälle flach halten.

@Dr. Eddison: Du wurst vor Längerem gebeten, Deinem Thread einen aussagekräftigen Titel zu verpassen.

[emsländer]

Zitat von Daniel:

Zitat von Radioactive:

Da diskutiert ihr ewig um die Sch***, ob er die Datei jetzt ausführen kann oder nicht, etc. anstatt mal die Frage zu beantworten.

Angenommen, die Rechte wären sehr restriktiv verteilt, so könnte es durchaus sein, dass sich weitere Überlegungen erübrigen, da er sein Programm erst gar nicht ausführen könnte. Deine Wortwahl wirst Du künftig bitte ändern und drängeln mag ich erst recht nicht. Also: Bitte die Bälle flach halten.

@Dr. Eddison: Du wurst vor Längerem gebeten, Deinem Thread einen aussagekräftigen Titel zu verpassen.

Hallo Daniel,

da muss ich Dich leider enttäuschen und Dir widersprechen. Er wird eine exe in seiner Umgebung immer ausführen können. Da er auch lesenden Zugriff auf \windows und \windows\system32 hat kann er auch auf die entsprechenden Management Proggies zugreifen. Wenn auch der Zugriff auf die Systemsteuerung vielleicht durch Domainpolicies verboten ist, manuell kann er drauf zu greifen. Nat. kann es sein, das entsprechende cpls/msc´s gelöscht worden sind. Aber dann kann er immer noch auf die Netzwerkfunktionen der API zugreifen. Denn sonst würde er keine Netzwerkverbindung zu den Servern bekommen.

Gruss

EL

[kiar]

hallo ems....,

habe mal deine Variante probiert, hatte keinen zugriff auf diesen Ordner , bin als normaler User angemeldet. als admin war das kein problem, was ja auch logisch ist. also compmgmt.msc kann mann so einfach den doch nicht nutzen.


raik

edit W2k sp4