Prozesse "Killen" und verhindern

[runger]

Hallo Luckie,

deine Aussage stimmt nicht. Ich bin hier Domänenadmin.
Sowohl als Domadmin als auch als lokaler Admin lässt sich z.B. Mcaffee nicht stoppen.
MCaffee ist als Dienst nicht vorhanden. Wenn ich ihn versuche über den Taskmanager zu beenden
habe ich das gleiche Problem.
Zonealarm und MCaffee verhalten sich gleich.

Rainer

[RavenIV]

vermutlich werden die Dienste mit den Rechten "System" gestartet.
Dann hat niemand (nicht mal der Administrator) mehr das Recht, den Dienst zu beenden.

Ist auch sinnvoll so, denn es gibt Leute, die mit dem Administrator-Account arbeiten.

[Daniel Schuhmann]

Zitat von RavenIV:

[...]denn es gibt Leute, die mit dem Administrator-Account arbeiten.

Abgesehen von "Zwangsbenutzeraccounts" in Firmen wird das zu 99,9% zutreffen. Ich persönlich kenne nicht viele Leute, die nur mit Power-User-Rechten oder noch niedriger arbeiten. Schließlich wird man bei der Installation automatisch Admin und mit Standardrechten arbeiten ist für viele auf Dauer unbequem. Die aktuellen Virenprobleme wären sicher nicht so akut, wenn mehr User mit eingeschränkten Rechten arbeiten würden...

[RavenIV]

Hier bei uns in der Firma sind nur die Entwickler "lokale Administratoren", alle anderen sind Power-User oder Standard-User.
Und wenn ich einen PC einrichte (für mich privat oder für Bekannte), dann ist der Benutzer maximal Power-User. Es gibt dann noch einen "admin", der Administrator ist. Ist halt manchmal etwas umständlich, aber sicherer.

[Neotracer64]

die Meldung zugeriff Verweigert kommt erst nach dem Hook. Der Hook sitzt garantiert tiefer. KMode vermut ich mal.

[MCQ]

Zitat von Neotracer64:

die Meldung zugeriff Verweigert kommt erst nach dem Hook. Der Hook sitzt garantiert tiefer. KMode vermut ich mal.

Wenn man schon mit Hooking arbeitet kann man auch gleich den Aufruf der API ExitProcess(0) in den entsprechenden Dienst injezieren. Mit dieser Methode kann man restlos alles killen. Oder du überschreibst die Code-Section des Dienstes mit C3-Werten (return). Das hat zur Wirkung das so lange zurückgesprungen wird bis das Programm letztendlich beendet wird. Das sind natürlich zwei sehr radikale methoden, aber wenn gar nichts hilft helfen die Methoden bestimmt bei letzten solltest du natürlich vor dem schreiben den Prozess per SespendThread anhalten und nach dem schreiben per RemoteThread wieder laufen lassen, da das Beenden sonst noch radikaler geschehen würde als es sowieso schon ist *g*