[marsteini]

Hallo!

Hier mal an alle Windows-Freaks:
Mir is beim herumspielen mit der Hosts-Datei unter WINDOWS/system32/drivers/etc/ aufgefallen, dass sich dadurch einzene Seiten wie google.de umleiten lassen, wenn ich das gleiche aber mit Adressen wie microsoft.com oder update.microsoft.com versuche, er das gar nicht beachtet.

Ist das Absicht aus Sicherheitsgründen? Gibts da ne andere Möglichkeit das zu ändern?


Danke im Voraus!

[Spiderman]

Das ist Absicht von MS, die sagen aus Sicherheitsgründen, es werden aber auch Domains umgeleitet die nix mit Sicherheit zu tun haben.

Außerdem löst das nicht das Problem, wenn ein Virus/Trojaner z.B. dyndns.com, sparkasse.de, oder Server für Virensignatur Updates umleiten kann, aber microsoft.com nicht.

Man könnte die zuständige dll (%WINDIR%\system32\dnsapi.dll) patchen oder die von SP1 verwenden, dann gehen wieder alle URL zu blocken.

Infos: http://archive.cert.uni-stuttgart.de/bugtr...4/msg00291.html

Gruß
Spiderman

[Spiderman]

Hier mal meine hosts Datei:

127.0.0.1 localhost
#
# blocke MS
127.0.0.1 www.msdn.com
127.0.0.1 msdn.com
127.0.0.1 www.msn.com
127.0.0.1 msn.com
127.0.0.1 go.microsoft.com
# 127.0.0.1 msdn.microsoft.com
127.0.0.1 office.microsoft.com
127.0.0.1 microsoftupdate.microsoft.com
127.0.0.1 wustats.microsoft.com
127.0.0.1 support.microsoft.com
127.0.0.1 www.microsoft.com
127.0.0.1 microsoft.com
127.0.0.1 update.microsoft.com
# 127.0.0.1 download.microsoft.com
127.0.0.1 microsoftupdate.com
127.0.0.1 windowsupdate.com
127.0.0.1 windowsupdate.microsoft.com
#
# blocke WMP Tracker/Online Shops
127.0.0.1 img.od2.com
127.0.0.1 redir.metaservices.microsoft.com
127.0.0.1 images.metaservices.microsoft.com
#
# blocke Lycos Werbung
127.0.0.1 ads.tripod.lycos.de
#
# blocke RedSheriff / ImrWorldWide
127.0.0.1 redsheriff.com
127.0.0.1 imrworldwide.com
127.0.0.1 www.redsheriff.com
127.0.0.1 www.imrworldwide.com
127.0.0.1 devfw.imrworldwide.com
127.0.0.1 fe-au.imrworldwide.com
127.0.0.1 fe1-au.imrworldwide.com
127.0.0.1 fe1-fi.imrworldwide.com
127.0.0.1 fe1-it.imrworldwide.com
127.0.0.1 fe2-au.imrworldwide.com
127.0.0.1 fe3-au.imrworldwide.com
127.0.0.1 fe3-gc.imrworldwide.com
127.0.0.1 fe3-uk.imrworldwide.com
127.0.0.1 fe4-uk.imrworldwide.com
127.0.0.1 lycos-eu.imrworldwide.com
127.0.0.1 ninemsn.imrworldwide.com
127.0.0.1 rc-au.imrworldwide.com
127.0.0.1 secure-au.imrworldwide.com
127.0.0.1 secure-jp.imrworldwide.com
127.0.0.1 secure-uk.imrworldwide.com
127.0.0.1 secure-us.imrworldwide.com
127.0.0.1 server-au.imrworldwide.com
127.0.0.1 server-br.imrworldwide.com
127.0.0.1 server-by.imrworldwide.com
127.0.0.1 server-de.imrworldwide.com
127.0.0.1 server-dk.imrworldwide.com
127.0.0.1 server-ee.imrworldwide.com
127.0.0.1 server-fi.imrworldwide.com
127.0.0.1 server-fr.imrworldwide.com
127.0.0.1 server-hk.imrworldwide.com
127.0.0.1 server-it.imrworldwide.com
127.0.0.1 server-jp.imrworldwide.com
127.0.0.1 server-lt.imrworldwide.com
127.0.0.1 server-lv.imrworldwide.com
127.0.0.1 server-no.imrworldwide.com
127.0.0.1 server-nz.imrworldwide.com
127.0.0.1 server-pl.imrworldwide.com
127.0.0.1 server-ru.imrworldwide.com
127.0.0.1 server-se.imrworldwide.com
127.0.0.1 server-sg.imrworldwide.com
127.0.0.1 server-stockh.imrworldwide.com
127.0.0.1 server-ua.imrworldwide.com
127.0.0.1 server-uk.imrworldwide.com
127.0.0.1 server-us.imrworldwide.com
127.0.0.1 telstra.imrworldwide.com
#

Die dnsapi.dll ist gepatcht, daher kann ich alles blocken, von den 18 MS URL erlaube ich nur 2.

Ich blocke aber auch z.B. Google, durch PF und externer Firewall, ich erlaube bei Google nur wenige Server, eben für die Google Suche.

Gruß
Spiderman

Dieser Beitrag wurde von Spiderman bearbeitet: 20. November 2008 - 09:11

[marsteini]

Hallo,

danke für deine Antwort. Ich hatte noch nie näheres mit den Systemdateien zu tun sprich patchen etc. Wie macht man das? Hab grad kurz gekuckt und rausgefunden, dass man DLLs mit nem Hexeditor öffnen kann. Aber die DLLs sind ja so unübersictlih dass ich kein eintrag zum patchen des problems finde...

Kann man ihm auch sagen, dass er alles blocken soll oder muss man da zwangsläufig jede URL+IP eintragen?

[Stefan_der_held]

Zitat (marsteini: 20.10.2008, 14:38)

Ich hatte noch nie näheres mit den Systemdateien zu tun sprich patchen etc. Wie macht man das? Hab grad kurz gekuckt und rausgefunden, dass man DLLs mit nem Hexeditor öffnen kann. Aber die DLLs sind ja so unübersictlih dass ich kein eintrag zum patchen des problems finde...

Dann lasse das bitte jemand machen der sich damit auskennt und weis wie man Handeln muss wenn doch was schiefgehen sollte.
Nicht dass dein System hinterher im eimo ist

Ich selbst halte z.B. nix davon in den Files unter

Windows\System32\Drivers\etc

rumzufrickeln wenn es nicht wirklich erforderlich ist.

Gruß,

Stefan

[Spiderman]

Ja, das habe ich mit einen Hexeditor gemacht.

[attachment=29116:dnsapi.jpg]

Aus msn.com wurde msn.xom, so einfach ist das.
Man darf nur überschreiben(overwrite), keine Bytes löschen oder hinzufügen.

Man macht vorher eine Sicherheits Kopie der Datei, für alle Fälle.

Dann braucht man ein Tool, dass den Systemdatei Schutz kurz deaktiviert.
Wenn der Schutz aus ist, tauscht man in Sytem32 und dllcache Ordner die Datei, Neustart und man kann jede URL blocken.

Man sollte die hosts Datei aber besser schützen, also Schreibschutz, und nur mit eingeschränkten Rechten arbeiten, das ist sicherer.

Um alles zu blocken, zieht man einfach den Stecker, oder blockt im Router, oder entfernt das Gateway in TCP/IP.

Gruß
Spiderman