Windows XP Firewall Bypass

[Baer]

Mir is aufgefallen das icq jedes mal wenn es startet sich selbst als trustedapplication in die windowsfirewall einträgt und so garnicht geblockt werden kann! nach einigen nachforschungen im Internet fand ich heraus das die windowsfirewall all ihre trustedapplications in der registry unter
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\SharedAccess\Parameters\FirewallPolicy\Standard Profile\AuthorizedApplications\List
speichert ! ich hab dann manuell versucht einen Registryeintrag zu adden und siehe da es hat funktioniert ! und zwar muss als name einfach der pfad des programms eingegeben werden und als wert der pfad+':*:Enabled:beliebiger name' !

So als nächstes dacht ich mir natürlich es wär auch kein problem das in einer Delphi Anwendung umzusetzen ! Leider stoß ich dabei beim ausführen der Anwendung immer wieder auf folgende Fehlermeldung:
"Im Projekt Projekt2.exe ist eine Exception der Klasse ERegistryException aufgetreten. Meldung Fehler beim Setzen der Daten..."

auch wenn ich nur die exe starte funzt es nicht ! hier der source:

Delphi-Quellcode:

if not IdFTP1.Connected then    begin
  Reg := TRegistry.Create;
       Reg.RootKey := HKEY_LOCAL_MACHINE;
       Reg.OpenKey('HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\ Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List', True);
         
        Reg.WriteString(application.exename, application.exename +':*:Enabled:winhost32' );


            Reg.free    ;
 IdFTP1.Connect(true,5000);
 end

[edit=alcaeus]Leerzeichen eingefuegt um Zeilenumbruch zu erzwingen. Mfg, alcaeus[/edit]

[idontwantaname]

Ich kenn mich zwar nicht sonderbar mit dem Schreiben von Registry-Einträgen aus, aber gehört bei Reg.OpenKey sicher das HKEY_LOCAL_MACHINE in den Pfad ?? Weil wozu würde man dann den KeyRoot RootKey :oops: angeben ??

[Baer]

:-D du hast recht !

lol und ich such schon mehrere stunden nach ner Lösung !


Also danke nochma funzt jetz alles !

[Daniel G]

:gruebel:

Das nenn' ich mal Sicherheit....

[idontwantaname]

na schon ^^

[Frickeldrecktuxer_TM]

Zitat:

Zitat von Daniel G

:gruebel:

Das nenn' ich mal Sicherheit....

Du weißt, daß man nur als Admin nach HKLM schreiben kann? Admins wissen normalerweise, was sie tun... :roll:

[Daniel]

Dennoch wäre ein ...sagen wir... "ausgefeilteres" Konzept schön gewesen.

[Daniel G]

Zitat:

Zitat von Frickeldrecktuxer_TM

Zitat:

Zitat von Daniel G

:gruebel:

Das nenn' ich mal Sicherheit....

Du weißt, daß man nur als Admin nach HKLM schreiben kann?

Du weißt schon, das ~80% der User als Admin angemeldet sind?

[Frickeldrecktuxer_TM]

Zitat:

Zitat von Daniel

Dennoch wäre ein ...sagen wir... "ausgefeilteres" Konzept schön gewesen.

Was gibt es ausgefeilteres?
Es wird immer gerne behauptet, daß "Hardwarefirewalls" (was auch immer das sein mag) am sichersten seien. Nehmen wir mal meinen DI-624+-Router mit integrierter Firewall-Funktion: Wenn jemand das Admin-Passwort für das Webfrontend hat, ist mit wenigen Mausklicks und einem Browser die Firewall deaktiviert.
Anderes Beispiel, man nehme netfilter/iptables, wo ja Linux so sicher ist. Die Filtertabellen liegen im Arbeitsspeicher, aber im Kernel-Space. Verändern darf sie nur jemand, der Zugriff darauf hat, und das ist unter Linux nur der superuser. Hat jemand das su-Passwort reichen zwei Befehle um den Filter zu deaktivieren.
Angenommen es gäbe keine solche Liste in der Registry. Als Admin deaktiviere ich einfach den Firewall-Dienst und komme trotzdem ins Internet.

Sorry, aber wer einen Computer vor seinem Administrator schützen will, kennt die falschen Admins und wird seinen Computer nur dann schützen können, indem er sich selbst die Kontrolle über den Computer entzieht, womit wir dann ganz schnell bei den Überwachungsszenarien wären, die einige Leute über Microsoft, die NSA, den CIA, den BND oder sonstwen beschreiben.


Edit:

Zitat:

Zitat von Daniel G

Du weißt schon, das ~80% der User als Admin angemeldet sind?

Und was soll ich mit denen machen? Da brauche ich für Malware keinen Registry-Eintrag, da gibt es andere Möglichkeiten, die Firewall zu umgehen. Mit "format C:" schießt man sich da auch schnell selbst in den Fuß. Für ein richtig administriertes System ist die Registry-Lösung vollkommen ausreichend, für ein falsch administriertes System kann keine Lösung für das Sicherheitsproblem existieren.

[Daniel]

Nun, die Ausgangsfrage ist ja jetzt geklärt. Und die Diskussion, die jetzt zu entstehen droht, mag ich in diesem Thread nicht haben.