[Black-Luster]

Meines wissens kannst die Integritäts Level nur bearbeiten wenn du Admin bist. D.h. ein UAC Prompt ist dazwischen. Insofern ist das schon sicher, da wiegesagt, eine UAB Abfrage vor der änderung dabei ist. Dass ein authenifizierter Administrator dann alles machen kann sollte klar sein - ist ja bei Linux und Mac nicht anders, wenn man sich als Root anmeldet.
Und.. ein authentifizierter Administrator hat dann dass Admintoken nur solange, wie er mit der als Administrator ausgeführten Anwendungen arbeitet. Andere Anwendungen läufen mit dem "normalen" Token weiter.
Und was daran verkehrt sein soll, einen Prozess abschießen zu können der als Administrator ausgeführt wurde mit dem nicht-Admin Task Manager, frage ich mich gerade. Letzendlich wurde dem Prozess nur gestattet höhere Rechte anzufordern - dennoch läufter unter meinem Benutzerkontext. Da ist es okay, wenn ich den einfach mit dem Task Manager abschießen kann.

[slurp]

Zitat (Black-Luster: 02.09.2010, 15:28)

Meines wissens kannst die Integritäts Level nur bearbeiten wenn du Admin bist. D.h. ein UAC Prompt ist dazwischen. Insofern ist das schon sicher, da wiegesagt, eine UAB Abfrage vor der änderung dabei ist. Dass ein authenifizierter Administrator dann alles machen kann sollte klar sein - ist ja bei Linux und Mac nicht anders, wenn man sich als Root anmeldet.
Und.. ein authentifizierter Administrator hat dann dass Admintoken nur solange, wie er mit der als Administrator ausgeführten Anwendungen arbeitet. Andere Anwendungen läufen mit dem "normalen" Token weiter.
Und was daran verkehrt sein soll, einen Prozess abschießen zu können der als Administrator ausgeführt wurde mit dem nicht-Admin Task Manager, frage ich mich gerade. Letzendlich wurde dem Prozess nur gestattet höhere Rechte anzufordern - dennoch läufter unter meinem Benutzerkontext. Da ist es okay, wenn ich den einfach mit dem Task Manager abschießen kann.

Wozu schreibst du überhaupt? Kommt doch eh nur "nein, ist falsch, weil lest meinen Artikel" zurück

[Black-Luster]

Zitat (slurp: 02.09.2010, 15:39)

Wozu schreibst du überhaupt? Kommt doch eh nur "nein, ist falsch, weil lest meinen Artikel" zurück

Mir war grad langweilig.

[MacMark]

Zitat (MagicAndre1981: 02.09.2010, 15:23)

es ist nur möglich wenn man den Regler auf der Standardeinstellung lässt! UNTER Vista (wie auch bei Windows 7 wenn der Regler auf der Höchsten Stufe steht) kannst du niemals von Programmen mit niedriger IL eine Anwendung mit höhere IL kompromittieren.…

Falsch. Das geht unter anderem über Shared Memory Objekte, weil der niedrigere Prozeß mit dem höheren Prozeß in der gleichen User-Session läuft. (Das hat nichts mit der White-List zu tun.) Siehe Mark Russinovich vom Microsoft Technet (über Vistas UAC).

Zitat (Black-Luster: 02.09.2010, 15:28)

… ein authentifizierter Administrator hat dann dass Admintoken nur solange, wie er mit der als Administrator ausgeführten Anwendungen arbeitet. Andere Anwendungen läufen mit dem "normalen" Token weiter.

Der "geschützte" Admin hat immer beide Token in seiner Session. Immer.

Zitat (Black-Luster: 02.09.2010, 15:28)

… Und was daran verkehrt sein soll, einen Prozess abschießen zu können der als Administrator ausgeführt wurde mit dem nicht-Admin Task Manager, frage ich mich gerade. …

Alles ist daran verkehrt. Ein unprivilegierter Prozeß hat einem privilegierten nichts anhaben zu können. Sonst kann man sich die Privilegien ganz schenken.

Dieser Beitrag wurde von MacMark bearbeitet: 02. September 2010 - 16:33

[slurp]

Siehste, wusste ich es doch.. Alles falsch was man sagt

[MacMark]

Ich könnte mich gar nicht entscheiden zwischen den diversen Möglichkeiten: Shared Memory Objects, Command-line Arguments, Laden von DLLs (ist grad "in"), Öffnen von Daten-Files oder Kompromittierung bei der Kommunikation mit anderen Prozessen. Ich glaub, Mark könnte sich auch nicht entscheiden.

Aber die Mühe muß man sich gar nicht machen, denn die Integrity Level funktionieren nicht übers Netzwerk. Das heißt: Ein Normal-Level-Programm des "geschützten" Admins hat Zugriff auf System-Resourcen eines Remote-Rechners, auf dem der Admin ebenfalls Admin ist. Das kannst Du ja mal ausprobieren. Dann hast Du sogar eine Remote-Privileg-Eskalation.

[slurp]

...und ansonsten lies einfach mal das, was Mark Russinovich vom Microsoft Technet schreibt oder den Artikel von MacMark *fg*

Dieser Beitrag wurde von slurp bearbeitet: 02. September 2010 - 19:33

[bluefisch200]

Zitat (MagicAndre1981: 02.09.2010, 22:43)

belege deine Sprüche oder lass es.

MacMark wird es nicht belegen...er kann es nicht belegen...

[MacMark]

Zitat (MagicAndre1981: 02.09.2010, 22:43)

belege deine Sprüche oder lass es.

Großer Irrtum: Es sind nicht "meine Sprüche", sondern Microsofts. Du möchtest einen "Exploit" für offiziell von Microsoft dokumentierte Windows-Features? Warum? Weil Du Microsofts eigener Dokumentation und Mark Russinovich nicht glaubst?

Wenn Du da wirklich Zweifel hast, ist der Lerneffekt am größten, wenn Du es selbst machst.

[slurp]

Ich muss hier echt lachen... wie einfach manche Leute doch gestrickt sind. Ich wusste doch, dass statt einer Erklärung nur (mal wieder) das hier kommt:

Zitat (slurp: 02.09.2010, 20:32)

...und ansonsten lies einfach mal das, was Mark Russinovich vom Microsoft Technet schreibt oder den Artikel von MacMark *fg*

Dieser Beitrag wurde von slurp bearbeitet: 03. September 2010 - 09:05

[Binabik]

Langsam komme ich mir hier vor wie bei Heise im Freitagsthema - ach wir haben ja Freitag .

Don't feed the troll...

[MacMark]

Zitat (Gong: 13.10.2008, 19:14)

Also ich finde die UAC ist eines der besten Sicherheitsfutures die Microsoft eingeführt hat.

Die UAC ist kein Sicherheitsfeature:
"It’s important to be aware that UAC elevations are conveniences and not security boundaries." - Mark Russinovich, Microsoft Technet
"Because elevations and ILs don’t define a security boundary, potential avenues of attack, regardless of ease or scope, are not security bugs." - Mark Russinovich, Microsoft Technet

Zitat (Gong: 13.10.2008, 19:14)

In Linux ist dass schon sehr lange Standard …

Nichts dergleichen! Denn bei Linux und den Unices laufen keine unterschiedlich privilegierten Prozesse gemischt unter demselben User.
Bei UAC können sowohl Adminstrator-Approval-Mode-Prozesse als auch Over-The-Shoulder-Elevations von "niedrigeren" Prozessen kompromittiert werden, weil sie in der gleichen Logon-Session laufen:
"Elevated AAM processes are especially susceptible to compromise because they run in the same user account as the AAM user’s standard-rights processes and share the user’s profile." - Mark Russinovich, Microsoft Technet
"Even processes elevated from standard user accounts can conceivably be compromised because of shared state. All the processes running in a logon session share the internal namespace where Windows stores objects such as events, mutexes, semaphores, and shared memory." - Mark Russinovich, Microsoft Technet