Entdecken eines Festplatten-Scans über das Netzwerk

[Dr. Eddison]

Nen Wunderschönen wünsch ich!

Ich sags gleich vorweg: Ich hab zawr schon mit den Netzwerkkomponenten garbeitet, aber ich kann mich nur noch düster an Details erinnern. Nun aber zu meinen Sorgen:

Unser Admin auf Arbeit hat nichts besseres zu tun, als gelegentlich über's Netzwerk (ganz normale Arbeitsgruppen Komposter) auf den Festplatten rum zu stöbern. Was anderes kann er eh nicht. Seine IP ist mir bekannt. Ich kann keine Proggis installieren und hätte nun gern ein kleines Tool, das mir verrät, wenn er auf meinen Rechner zu greift, dass ich noch schnell das Netzwerkkabel kappen kann. Ich vermute nur, dass es nicht reicht nach Packeten seiner IP zu scannen, da sich die Rechner ständig mir einander unterhalten.

Ich hoffe es hat jemand von euch ne Idee/Ansatz oder sogar eine Lösung für mein "Problem".

Vielen Dank schon im Vorraus!

Dr. Eddison

[edit=Admin]Titel angepasst. :roll: Mfg, Daniel[/edit]

[Meflin]

ich kann dir nur raten: lass es. ich kenn mich zwar nicht wikrlich aus, aber ich denke doch dass euer admin jedes recht dazu hat. hast du etwas zu verbergen oder warum stört es dich wenn der admin auf deiner festplatte wühlt? wieso redest du nicht mal mit dem menschen?
vielleicht wäredas sogar ein kündigungsgrund, wenn du bewusst die arbeit deines admins manipulierst!

[Dr. Eddison]

Also da brauch ich mir keine Srgen zu machen. Er schnüffelt nur nach irgendwelchen Pausenfüller-Spielchen und, was er auf keinen Fall darf, nach Personalangelegenheiten (Ich bin Personalbearbeiter). Da er auch in einem Anderen Gebäude ist, weiß er ja nicht, ob ich nicht einfach nur den Rechner nicht an habe. Sicher, wenn er in mein Büro kommt und suchen will, muß ich ihn halt lassen, aber so kann ich wenigstens unterbinden, dass er aus reiner Langeweile schnüffeln kann...

[sakura]

Ändere bitte den Titel, so dass die Frage angedeutet wird. Danke.

...:cat:...

[kiar]

Zitat:

Ich kann keine Proggis installieren und hätte nun gern ein kleines Tool

:mrgreen:

wie soll das gehen, wenn du nichts installieren kannst. draufbeamen :mrgreen:

raik

[Tubos]

Zitat:

wie soll das gehen, wenn du nichts installieren kannst. draufbeamen

Es soll ja Programme geben die nur als EXE bzw. ohne Installation lauffähig sind ;)

[iaby]

per "netstat -ano" kannst du sehen (falls nicht gesperrt), welche verbindungen gerade stehen.
glaube die windows-freigabe benutzt port 137.
also ein program schreiben, dass die konsolenausgabe auswertet und überprüft, ob port 137 mit IP der.bös.ead.min eine verbindung aufgebaut hat ;-)

allerdings weiß ich nicht, ob der port nicht auch noch von anderen sachen benutzt wird.

gruss,
iaby

[kiar]

hallo tubos

Zitat:

Es soll ja Programme geben die nur als EXE bzw. ohne Installation lauffähig sind

und wie kriegst du die exe zum laufen? :gruebel:

raik

[PierreB]

Zitat:

Zitat von kiar

hallo tubos

Zitat:

Es soll ja Programme geben die nur als EXE bzw. ohne Installation lauffähig sind

und wie kriegst du die exe zum laufen? :gruebel:

raik

:wall: Einfach ausführen ! Ein Klick drauf! Wenn du ein "hello World"-programm machst brauchst du doch keine Installation ?

Heißt dein Admin zufällig BOfH ??

[Luckie]

Im Explorer doppelt auf die Datei klicken?

[Die Muhkuh]

Hi,

vielleicht per Doppelklick?

[edit] Letzter :cry: Aber erster von hinten :mrgreen: [/edit]

[kiar]

wie kriege ich die datei aber auf den rechner, wenn ich keine rechte habe, das ist doch die frage

[PierreB]

Zitat:

Zitat von kiar

wie kriege ich die datei aber auf den rechner, wenn ich keine rechte habe, das ist doch die frage

Per Diskette/CD/DVD rüberkopieren ??
Oder aus dem Netz laden wenns geht.

[kiar]

viele frgaen und noch nicht geklärt, ob er die rechte hat, das mann eine datei zb mit doppelklick öffnet ist mir schon klar, aber gestattet der admin es auch auf die festpaltte im system zu kopieren, darauf wollte ich hinaus.

raik

[Luckie]

Irgendwo muss er ja ein Verzeichnis haben, wo er seinen Kram speichern kann und da kann er auch die Exe ablegen.

[PierreB]

Zitat:

Er schnüffelt nur nach irgendwelchen Pausenfüller-Spielchen und, was er auf keinen Fall darf

Warum gehst du dann nicht einfach zu deinem Vorgesetzten und beschwerst dich ?
Selbst wenn du solch ein Programm hättest, könnte der Admin bevor du es ausführst das Programm schon wieder löschen !
Warum so umständlich wenns auch einfach geht ?

[Radioactive]

Da diskutiert ihr ewig um die Sch***, ob er die Datei jetzt ausführen kann oder nicht, etc. anstatt mal die Frage zu beantworten. Mich interessiert die nämlich. Also ich kann euch euch versichern, es gibt einen Weg, wie man die Datei auf die Platte bekommt, und man kann sie dann auch ausführen (allerdings nur mit seinen Rechten, die aber reichen), glaubt mir. Nun aber bitte zurück zum Thema.

Es geht ja hier auch darum, wie man das in Delphi programmiert (natürlich ist es auch eine Lösung, mit dem Admin zureden, aber wir sind hier nicht im Psychologie-Forum). Die Idee mit netstat -ano war ja schon ganz gut. Also: wer weiß, welchen Port die Dateifreigabe benutzt und wie liest man die ergebnisse dieses Befehls aus?

[Tubos]

Zitat:

Also ich kann euch euch versichern, es gibt einen Weg, wie man die Datei auf die Platte bekommt, und man kann sie dann auch ausführen (allerdings nur mit seinen Rechten, die aber reichen)

%userprofile%

[f4_tim]

Kann man "netstat -ano" auch ausführen ohne höhere Rechte? Sonst könnte man die Konsolenausgabe doch umleiten und auswerten lassen, wie hier schon vorgeschlagen wurde...

MfG, Tim

[glkgereon]

moment mal, netstat -ano gibt es bei mir nicht (bzw die option o gibt es nicht)

ich hab win2k sp4....

was macht das o?

[f4_tim]

Eigentlich ist das "eher" unwichtig, oder? :)

Zitat:

-o Displays the owning process ID associated with each connection.

[Chris1986]

Man kann mit der Win API auch ganz einfach alle IPs anzeigen lassen, mit denen zur Zeit kommuniziert wird. Ob das mit eingeschränkten Rechten auch geht weiß ich aber nicht. Qt ist im Anhang. Ich hab das irgendwann mal anhand einer Demo nachgebaut, die ich im Inet gefunden hab. Quelle weiß ich leider nichtmehr. Falls sich jemand angesprochen fühlt setze ich die Quellenangabe gerne noch in den Code.

MfG
Christian

[Dr. Eddison]

Danke Radioactive, dass du erstmal wieder ür Ordnung gesorgt hast. Ich habe nämlich auch schon alle anderen Wege probiert um die Sorge aus der Welt zu schaffen. Aber egal.

Das Problem an netstat ist halt nur, dass, wenn der admin einmal drauf war die Verbindung existiert und sich ab da die Rechner mit einander unterhalten, ich nicht ablesen kann, ob er gerade aktiv auf meinem Rechner ist oder nur pings hin und her geschickt werden. Jedoch will ich genau das wissen! *grbl*

[emsländer]

schau mal unter system32 (lesender und ausführender Weise kommst Du dort hin).

suche nach : compmgmt.msc (und mach Dir ne Verknüpfung auf den Desktop oder so)


Siehe Anhang: dort kannst Du genau sehen, was aktuell passiert. Brauchst keine Delphi Proggi und nix

Nur ab und an mal "Refresh" !

(beim deutschen XP ist das nat. in Deutsch)


Gruss

EL

[Dr. Eddison]

Uuhhh! Der Tipp ist schon sehr gut!!!! Gibt's da ne API-Routine mit der ich das selbst auslesen kann?

[Kernel32.DLL]

Jetzt könnte man ja auch nach der API-Funktion suchen, mit dessen Hilfe diese Daten gewonnen werden...

Dann könnte man 'nen Programm schreiben, dass checkt, ob "DerGemeineAdmin" gerade eine Verbindung aufbaut...

[Edit1]Ups, da war ich wohl zu langsam....[/Edit]

[emsländer]

Zitat:

Zitat von Dr. Eddison

Uuhhh! Der Tipp ist schon sehr gut!!!! Gibt's da ne API-Routine mit der ich das selbst auslesen kann?

Schau Dir mal Deine Windows.pas an. Dort findest Du einige Dinge, die genau in die Richtung gehen.

Hier mal ein Ausschnitt der Funktionen, die auf die Pipes zugreifen:

Delphi-Quellcode:

function CreatePipe(var hReadPipe, hWritePipe: THandle;
  lpPipeAttributes: PSecurityAttributes; nSize: DWORD): BOOL; stdcall;
{$EXTERNALSYM CreatePipe}
function ConnectNamedPipe(hNamedPipe: THandle; lpOverlapped: POverlapped): BOOL; stdcall;
{$EXTERNALSYM ConnectNamedPipe}
function DisconnectNamedPipe(hNamedPipe: THandle): BOOL; stdcall;
{$EXTERNALSYM DisconnectNamedPipe}
function SetNamedPipeHandleState(hNamedPipe: THandle; var lpMode: DWORD;
  lpMaxCollectionCount, lpCollectDataTimeout: Pointer): BOOL; stdcall;
{$EXTERNALSYM SetNamedPipeHandleState}
function GetNamedPipeInfo(hNamedPipe: THandle; var lpFlags: DWORD;
  lpOutBufferSize, lpInBufferSize, lpMaxInstances: Pointer): BOOL; stdcall;
{$EXTERNALSYM GetNamedPipeInfo}
function PeekNamedPipe(hNamedPipe: THandle; lpBuffer: Pointer; nBufferSize: DWORD;
  lpBytesRead, lpTotalBytesAvail, lpBytesLeftThisMessage: Pointer): BOOL; stdcall;
{$EXTERNALSYM PeekNamedPipe}
function TransactNamedPipe(hNamedPipe: THandle; lpInBuffer: Pointer; nInBufferSize: DWORD;
  lpOutBuffer: Pointer; nOutBufferSize: DWORD; var lpBytesRead: DWORD;
  lpOverlapped: POverlapped): BOOL; stdcall;
{$EXTERNALSYM TransactNamedPipe}

Gruss

EL

[Daniel]

Zitat:

Zitat von Radioactive

Da diskutiert ihr ewig um die Sch***, ob er die Datei jetzt ausführen kann oder nicht, etc. anstatt mal die Frage zu beantworten.

Angenommen, die Rechte wären sehr restriktiv verteilt, so könnte es durchaus sein, dass sich weitere Überlegungen erübrigen, da er sein Programm erst gar nicht ausführen könnte. Deine Wortwahl wirst Du künftig bitte ändern und drängeln mag ich erst recht nicht. Also: Bitte die Bälle flach halten.

@Dr. Eddison: Du wurst vor Längerem gebeten, Deinem Thread einen aussagekräftigen Titel zu verpassen. :!:

[emsländer]

Zitat:

Zitat von Daniel

Zitat:

Zitat von Radioactive

Da diskutiert ihr ewig um die Sch***, ob er die Datei jetzt ausführen kann oder nicht, etc. anstatt mal die Frage zu beantworten.

Angenommen, die Rechte wären sehr restriktiv verteilt, so könnte es durchaus sein, dass sich weitere Überlegungen erübrigen, da er sein Programm erst gar nicht ausführen könnte. Deine Wortwahl wirst Du künftig bitte ändern und drängeln mag ich erst recht nicht. Also: Bitte die Bälle flach halten.

@Dr. Eddison: Du wurst vor Längerem gebeten, Deinem Thread einen aussagekräftigen Titel zu verpassen. :!:

Hallo Daniel,

da muss ich Dich leider enttäuschen und Dir widersprechen. Er wird eine exe in seiner Umgebung immer ausführen können. Da er auch lesenden Zugriff auf \windows und \windows\system32 hat kann er auch auf die entsprechenden Management Proggies zugreifen. Wenn auch der Zugriff auf die Systemsteuerung vielleicht durch Domainpolicies verboten ist, manuell kann er drauf zu greifen. Nat. kann es sein, das entsprechende cpls/msc´s gelöscht worden sind. Aber dann kann er immer noch auf die Netzwerkfunktionen der API zugreifen. Denn sonst würde er keine Netzwerkverbindung zu den Servern bekommen.

Gruss

EL

[kiar]

hallo ems....,

habe mal deine Variante probiert, hatte keinen zugriff auf diesen Ordner , bin als normaler User angemeldet. als admin war das kein problem, was ja auch logisch ist. also compmgmt.msc kann mann so einfach den doch nicht nutzen.


raik

edit W2k sp4

[Daniel]

Wir haben bei einem Kunden WinXP-Laptops, auf denen ein User nur eine Handvoll vorher definierte EXE-Dateien ausführen kann. Ohne erweiterte Rechte ist es sehr umständlich, hier eigenen Programme ausführen zu wollen - aufgrund der dortigen Konfiguraiton ist es (leider) nicht unmöglich, eigene Programme zu starten, die Hürde wurde jedoch recht hoch gehängt.

Aber irgendwie kommen wir jetzt vom Thema ab. ;-)

[emsländer]

Zitat:

Zitat von kiar

hallo ems....,

habe mal deine Variante probiert, hatte keinen zugriff auf diesen Ordner , bin als normaler User angemeldet. als admin war das kein problem, was ja auch logisch ist. also compmgmt.msc kann mann so einfach den doch nicht nutzen.


raik

edit W2k sp4

Bist Du in einer Domäne oder in einer Workgroup?

Gruss

EL

[kiar]

El... :mrgreen:

bin in einer workgroup

[emsländer]

Zitat:

Zitat von Daniel

Wir haben bei einem Kunden WinXP-Laptops, auf denen ein User nur eine Handvoll vorher definierte EXE-Dateien ausführen kann. Ohne erweiterte Rechte ist es sehr umständlich, hier eigenen Programme ausführen zu wollen - aufgrund der dortigen Konfiguraiton ist es (leider) nicht unmöglich, eigene Programme zu starten, die Hürde wurde jedoch recht hoch gehängt.

Aber irgendwie kommen wir jetzt vom Thema ab. ;-)

Noch ein OT: Dann haben die die Policies aber arg verbogen!

Gruss

EL

[Dr. Eddison]

@Daniel: Danke ür die Änderung des Titels. Ich hab den Hinweis ür die Änderung sicher über lesen und erstrecht nicht gewußt, wie ich den ändere...

[emsländer]

Zitat:

Zitat von kiar

El... :mrgreen:

bin in einer workgroup

Wundert mich jetzt aber doch. Denn mit dem Management Tool kannst Du lesenderweise nix anrichten.

In meiner Domain hier kann jeder User lesend drauf zugreifen. Nur halt keine Pipes trennen.

Gruss

EL

[f4_tim]

Zitat:

Zitat von emsländer

Zitat:

Zitat von Daniel

Wir haben bei einem Kunden WinXP-Laptops, auf denen ein User nur eine Handvoll vorher definierte EXE-Dateien ausführen kann. Ohne erweiterte Rechte ist es sehr umständlich, hier eigenen Programme ausführen zu wollen - aufgrund der dortigen Konfiguraiton ist es (leider) nicht unmöglich, eigene Programme zu starten, die Hürde wurde jedoch recht hoch gehängt.

Aber irgendwie kommen wir jetzt vom Thema ab. ;-)

Noch ein OT: Dann haben die die Policies aber arg verbogen!

Warum verbogen? Bei uns in der Schule mussten wir auch solche Restriktionen einführen, da eine Lehrer seine Rechte nutzte sich ICQ zu installieren. Jetzt ist *icq*.exe ausführen verboten für die Lehrer.

Da sich die Policy nur auf Dateinamen bezieht, könnte man sein eigenes Programm WINWORD.EXE nennen und der PC glaubt Word auszuführen. Trotz der Policy...

[Dr. Eddison]

Also ich habe "compmgmt.msc" mal ausprobiert. Ich habe nicht genügend Rechte um "Session/Sitzungen" zu lesen. Brauch dann also doch ne andere Lösung. Vielen Dank für die rege Anteilnahme an diesem "Problem"!

[emsländer]

Zitat:

Zitat von Dr. Eddison

Also ich habe "compmgmt.msc" mal ausprobiert. Ich habe nicht genügend Rechte um "Session/Sitzungen" zu lesen. Brauch dann also doch ne andere Lösung. Vielen Dank für die rege Anteilnahme an diesem "Problem"!

Idee: Kopiere Dir dieses compmgmt.msc mal um in xyz.msc in Deinen Ordner.... Auch mal umbenennen als Word.exe..

Wenn alles nicht hilft: Eigenes Proggi, welches auf die API zugreift.... und dann word.exe oder excel.exe nennen


Gruss

EL

[Sharky]

Zitat:

Zitat von Dr. Eddison

...nach Personalangelegenheiten (Ich bin Personalbearbeiter). ..

Hai,
in diesem Fall würde ich kurzer Hand zum Datenschutzbeauftragen oder Betriebsrat gehen. Denn das darf auch ein Administrator nicht machen. Das installieren von Software welches das wiederrum verhindert kann dich allerdings in Schwierrigkeiten bringen.
Darum mein Tipp: Nutze einfach die legalen Möglichkeiten aus das Verhalten eures Admins zu unterbinden.