[Superia]

Zitat (Rika: 03.02.2004, 12:38)

Das ist doch die einzige Funktion, die bei DTFs wirklich vielversprechend ist: Applikationskontrolle. Und genau die funktioniert aus obengenannten Gründen nicht.

Ach nein? (Nach der Installation des letzten MSIE-Patches)

Zitat

Alles andere wie Portfilter ist doch sinnlos - was zu ist, bleibt zu, was offen ist, bleibt trotz DTF weiterhin offen.
Jede Version von Outpost hat dieses Problem

Und woher weist Du dass?
Du hast doch wohl noch nie mit Outpost Pro gearbeitet!?

[Rika]

Du willst es offensichtlich nicht kapieren:

1. Avant Browser soll offensichtlich Zugriff zum Netz haben - aber die Firewall vergeutet deine Zeit mit einer zusätzlichen Nachfrage.
2. Trojaner XYZ soll keinen Zugriff haben - die Firewall wird aber entweder einfach beendet oder die Abfrage automatisch vom Trojaner beantwortet.
3. Anwendungd SpyABC will Zugriff auf's Internet, soll ihn aber nicht bekommen. Statt die Firewall das ganze blockieren zu lassen, solltest du dich eher fragen, warum du SpyABC überhaupt verwendest.
4. Ich habe Outpost ebenfalls getestet und musste feststellen, dass sowohl FIN-Scans als auch XMAS-Scans problemlos erkennen können, welche Ports offen und welche geschlossen sind. Egal wie sehr sie blockiert wurden.
5. Ebenso ist dein toller Beitrag bezüglich DLL-Injection vollkommen sinnfrei, denn gegen Mehrfach-DLL-Injection (a.dll -> b.dll -> c.dll -> Wirtsprogramm) nützt das gar nix - wenn sich der Trojaner überhaupt die Mühe macht, die Firewall nicht selbst zu manipulieren, sondern sich nur dran vorbeischmuggeln will.
6. Ebenfalls nützt das nix gegen Shell-Aufrufe anderer Programme - so wie z.B. der RealPlayer einfach eine temporäre HTML-Datei erzeugt, diese aufruft und alle Daten in der URL rausschmuggelt. Mit DNS-Abfragen ist das noch viel interessanter und geschickter.
7. Und warum nicht einfach einen eigenen TCP/IP-Stack mitbringen und alles direkt an die Netzwerktreiber schicken? Tja, da kann auch Outpost nichts nachprüfen, weil es umgangen wird. Sowas ist shcon längst Standardrepoirtoire von Trojanern.

Und mal was für dich zum Lesen: http://home.arcor.de...ustricksen.html

[Meltdown]

Nebenbei: Ich denke das das Tool doch vorher aufschreien sollte -
bevor die DLL-Datei ausgetauscht wird. Und nicht hinterher
"Meldung machen"...

[Legin]

Also kann ich als Resümme dieses Threats sehen dass ich meine DTF besser deinstalliere? (Norton, ja ich schäme mich!!!!!)

Soll ich dann ohne irgenteinen "Schutz" durchs internet streifen? Ich hätte ja noch die "Firewall" (kann man das so nennen?) im Router, nur die ordentlich zu konfigurieren, so dass alles läuft was laufen soll, ist mir (noch) nicht gelungen....

Legin

Dieser Beitrag wurde von Legin bearbeitet: 03. Februar 2004 - 21:23

[Rika]

1. Wenn kein Programm läuft, das Internetzugriff benötigt, sollte höchstens nur genau ein Port offen sein: 135 -> wenn nicht: checken, was läuft, deaktivieren

2. Der RPC-Service am Port 135 wartet nur auf Anfragen, verschickt aber selber nix. Ergo, wenn dort ein Angriffspunkt existiert, dann muss die Verbindung von außen initiiert werden. Das verhindert aber bereits das NAT im Router. Extra Blockier-Regeln sind relativ sinnlos.

3. Eine Firewall taugt nicht zur Kontrolle ausgehender Verbindungen - hab ich ja gezeigt. Sie taugt nur mäßig zur Kontrolle eingehender Verbindungen - aber das übernimmt ja ohnehin der Router. Wozu dann denn überhaupt 'ne extra Firewall? Das bringt doch nix.

4. Nächster Punkt: Was ist denn überhaupt die Aufgabe einer Firewall? Sie trennt ein sicheres von einem unsicheren Netz. Wenn der Rechner direkt am Netz hängt, wo soll sie da denn was trennen? Bzw. wenn er im lokalen Netz hängt, dann doch nur am Router, aber doch nicht auf dem Rechner - zumal der Router bereits genau das macht.

[Meltdown]

..."ein Kampf der Ideologien"...



Meine Güte, was für'n Threadtitel...

(Die Mods haben nicht nur den Thread geteilt, sondern anscheinend auch
Zensur betrieben. Wenn ich mir die 1. Seite so anschaue, fehlt da auch
was...)

Dieser Beitrag wurde von Meltdown84 bearbeitet: 03. Februar 2004 - 21:58

[Meltdown]

Zitat (simcard: 03.02.2004, 23:27)

So, musste erstmal suchen, wo der Thread hinverfrachtet wurde.
Wer sich den Titel ausgedacht hat  

Das er verfrachtet wurde, war wohl notwendig.

Ich mußte auch erstmal suchen. Da will man sich austauschen,
und wird dann einfach umgeleitet...



Sowas auch...

[Rika]

1. Ein Cookie ist nix weiter als eine Textdatei und dient normalerweise dazu, Session-IDs zwischenzuspeicher - was wesentlich sicherer als ständiges Transferen in der URL ist.

Wenn das Cookie-Management schlecht und die Webseite datengeirig ist, dann liessen sich theoretisch Bewegungsprofile erstellen. Extrem unwahrscheinlich, praktisch nie angewendet - Cookies sind ungefährlich.

Auf keinen Fall jedoch können sie Code ausführen.

2. Bockwurst hat hinter dem w vier Zeichen, nicht drei.

3. PestPatrol taugt nix.

4. Theoretisch sind immer noch Angriffe über Fehler in der TCP/IP-Implementierung des Betriebssystems möglich. Nur sind diese Zeiten schon längst passe und wenn doch noch so ein Fehler auftritt, kann einen eine Firewall davor nicht schützen. Im Gegenteil, meist ist es die Firewall, die dann gegen solche Fehler anfällig ist.

5. Insgesamt sei zu sagen: Präventives und umsichtiges Handeln ist immer besser als reaktives Handeln. Insofern sollten Spybot, AdAware etc. nur der eigenen Überprüfung dienen - wenn sie was finden, dann sollte man sich vor allem überlegen, was man falsch gemacht hat. Das darf nämlich kein Dauerzustand werden.

[Rika]

Die Rechte vom Template "eingeschränkter Benutzer" sind so in etwa das Minimum, damit man die Funktionen zum Killen nicht mehr benutzen kann. Die Rechteprüfung erfolgt übrigens intern und führt zu keiner Passwortabfrage.

Der zweite Teil ist übrigens nicht ganz korrekt: Der Trojaner-Scanner TDS3 erkennt solche Manipulationen, z.B. wenn das ganze Programm einen BorlandDelphi-Stub enthält, aber mit Microsoft VCC ausgegeben wird - aber der ist auch wirklich der einzige, der sowas überhaupt prüft.

[Rika]

1. Deshalb informiert man sich ja vorher, was Spyware enthält.
2. Was PestPatrol behauptet, und was unabhängige Tests mit gecrypteter Malware angeht, divergiert sehr stark. Halt typische Bloathware, möglichst gleich alles auf einmal versprechen und jedne Teil halbherzig umsetzen.
3. JavaScript ist per Spezifikation sicher. Solange 1. keine echten Bugs in der Implementierung auftreten (vor allem IE!) und 2. solange keine zusätzliche sicherheitsumgehenden Funktionen beigefügt werden (IE!).
4. ActiveX ist wie ein ganz normales Programm - kann einfach alles machen.
5. AdAware ist sehr gut im Finden von vorhandener Adware. Keine Adware, kein Suchergebnis. Bei Spybot das gleiche. Außer einem zusätzlichen Eintrag für die XML DSO-Lücke im IE (seit dem Novermber Cumulative gepatcht) und der WMP User-ID bietet er normalerweise auch nix an.
6. Dataminer sind einfach nur Cookies, von denen die Herkunftswebseiten als vertrauensunwürdig eingeschötzt werden und damit die Cookies möglicherweise zur Erstellung von Bewegungsprofilen dienen. Aber wenn man sich den INhalt der Cookies mal anschaut, merkt man, dass das auch nur Panikmache ist.

[Meltdown]

Zitat (Rika: 03.02.2004, 23:55)

2. Bockwurst hat hinter dem w vier Zeichen, nicht drei.

Aaah ah so...