[Rika]

Das ist zu 0% bewiesen, denn ich verwende keine DTF und mir passiert es nicht. Was beweist, dass es ohne DTF geht. Punkt.

Beweise du erstmal, dass deine DTF immer funktioniert und das Versprochene leistet.

Schon allein an der Stelle "Vor Hackern schützen" scheitert es bereits, denn vor Hackern gibt es per Definition schon nix zu schützen.

Dieser Beitrag wurde von Rika bearbeitet: 06. Februar 2004 - 23:06

[Dimension]

Hmm netter Thread - hab zwar nicht alles durchgelesen (und werds auch nich tun ...), aber wohl bisher einer der längsten

Btw @Rika dieses Codeschnippselchen

Zitat

CALL NTDLL:InvokeKMem()
struct GDT DS:DX
LGDT DS:DX
MOV [GDT.Base],0
MOV [GDT.Count],1
MOV [GDT.Min],0
MOV [GDT.Size],-1
JMP Lilo_Loader
Und schon ist Linux Gott auf deinem System.

Was um himmels willen soll das eigentlich tun? Davon abgesehen, dass du den Descriptor nicht erst laden und dann füllen kannst, hat der nur 48 Bit (32 base und 16 limit) und LGDT ist eine privilegierte Instruktion - und wenn das in Ring0 ausgeführt wird (Treibermodul etc) dann brauchst du keine NTDLL mehr. Und Lilo läuft im Real Mode.

Aber interessanter Ansatz, je länger ich darüber nachdenke, desto mehr muss ich mal was in der Richtung versuchen

Dieser Beitrag wurde von Dimension bearbeitet: 06. Februar 2004 - 23:27

[Rika]

1. Du willst also anmerken, dass DTFs dumme User vor Fehlbedienungen bewahren können? Das können sie ja eben nicht - das ist doch der Knackpunkt. Ich erninnere nur mal an den Melissa-Wurm - den konnte auch eine DTF nicht stoppen, weil einfach das der Firewall vertrauenswürdige Programm (in diesem Falle Outlook) einfach ausgebeutet wurde. Du überschätzt die Fähigkeiten von so einem Stückl Software.

Es gibt keine einfache Lösung gegen Dummheit der User, ud auch DTFs sind nicht mal ansatzweise eine solche Lösung.

2. Und Stealth ist Pain in the Ass, macht nur Ärger ist nicht RFC-konform, sorgt für unnötig lange Wartezeiten und vergeudete Bandbreite. Und vor allem packt die Lösung das Übel nicht an der Wurzel, sondern versucht die Symptone zu kaschieren. Was bei so einer Architektur rauskommt nennt sich Internet Explorer.

3. Bei schlechter Konfiguration nach diesem Schema ist auch eine Firewall nutzlos. Was gecrackt werden kann sind offene Dienste, und die sind offen, weil sie auch in der DTF freigegeben wurden.

4. Es dauert nicht mal Sekunden!

5. Es ist prinzipiell unmöglich, einen Prozess im User-Space gegen's Gekillt-Werden zu schützen. Jeder, der sich heilwegs mit Betriebssystemarchitektur auskennt, weiß das. Frag doch mal bei Microsoft nach, die wissen es nämlich besser - müssen sie auch, sie haben das Betriebssystem programmiert!

6. Es recht kannst du es nicht damit rechtfertigen, dass einer obskuren Technologie ein noch viel obskurerer und vor allem inhaltlich bedeutungsloser Name gegeben wurde.

7. Zum wiederholten Male reißt du das Wort "Hacker" total aus dem Zusammenhang. Hacker haben absolut nicht das Geringste mit gefährlichen Einbrüchen zu tun. Wenn ZA behauptet, dass Hacker sowas tun würden, beweisen sie damit eigene Inkompetenz.

8. Deine Berichte sind ja wohl noch inhaltloser Humbug. Wenn ich ein Schloss testen will, indem ich mit 'ner Büroklammer drin rumstochere, dann sagt das genausowenig aus. Werbemüll zitieren kann ich auch.

@Dimension:
Wenn du erstmal Kernel bist, dann hast du Ring0. Und dann geht die Sau ab. Dann wird einfach alles im User-Mode, was dir nicht gefällt, einfach entfernt.

Daraus lässt sich auch ganz klar ableiten, dass wer Kernelfunktionen für's Prozessmanagement nutzen kann, auch problemlos Prozesse in Ring3 killen kann - egal wie sie sich auch zu wehren versuchen. Kernel ist Meister, Admin ist Gott befehlend den Meister.

BTW, GDT und LDT sind ab dem Pentium1 etwas umfangreicher was die Descriptoren angeht. Und man kann sie auch füllen und dann in den Realmode zurückschalten - Base und Limit bleiben für den ersten Descriptor erhalten ud werden auch umgesetzt (mit Base 0 Limit 4GB ist das der brühmt-berüchtigte Big Real Mode).

Dieser Beitrag wurde von Rika bearbeitet: 06. Februar 2004 - 23:40

[Dimension]

Zitat (Rika: 06.02.2004, 23:33)

@Dimension:
Wenn du erstmal Kernel bist, dann hast du Ring0. Und dann geht die Sau ab. Dann wird einfach alles im User-Mode, was dir nicht gefällt, einfach entfernt.

Das schon, aber die GDT (zumindest in Systemen die nicht mit Segmenting arbeiten) hat damit nix zu tun, das System wird durch Interrupts gesteuert ... ich würde mal folgendes vorschlagen:

CLI
LIDT $0
JMP WhateverYouWant

@simcard: Wie Rika schon erwähnt hat, ein Hacker installiert keine Schädlinge

Dieser Beitrag wurde von Dimension bearbeitet: 06. Februar 2004 - 23:47

[Rika]

1. Schon mal an die Leute gedacht, die vorher deine dyn-IP hatten und einen Server betrieben haben? Jetzt kommen Leute und wollen auf diesen Server zugreifen... der DNS-Eintrag zeigt aber noch auf deinen Rechner.

Jetzt hockt der arme andere User zwei Minuten lang bis zu einem Timeout... statt kurz und bündig eine Ablehnung zu bekommen.

Von den ewig vielen Forenbeiträgen zu Konfigurationsproblemen mit ZA aufgrunde der Stealth Ports mal ganz abgesehen...

2. Auch nicht mit 'ner DTF zu retten. Ha!

3. Ja, und wer es freigibt und in der DTF freigibt ist eine genauso großes Opfer wie einer der es ohne DTF freigibt. Eine DTF schützt vor grundlegenden Bedienfehlern nicht.

4. Noch mal falsche Verwendung: Hacker

5. Der Kernel darf alles, er läuft auf Ring0. ZA läuft auch Ring3. Da zwingt der Prozessor höchstpersönlich! Lerne Prozessorarchitektur! Was ZoneLabs da behauptet, entspricht nicht den Tatsachen - egal wie oft sie es behaupten. Egal wie viele ihnen nachplappern.

6. siehe 5.

7. Er könnte sehr wohl.

8. Noch a bissl mehr...

CLI
XOR EAX,EAX
PUSH EAX
POPFE (zum Löschen des VI-Flags)
LIDT $0
OUT 70h,00h
IN 71h,AH
AND AH,10000000b
OUT 70h,00h
OUT 71h,AH (löscht NMIs)
JMP Whateveryouwant

Aber wenn man ohnehin Admin-Rechte hat und jede Funktion invoken kann...

Dieser Beitrag wurde von Rika bearbeitet: 06. Februar 2004 - 23:56

[Rika]

1. Du hast die Diskussion gemäß den Laws schon längst verloren und beendet, wolltest aber trotzdem weiterdiskutieren.

2. Wenn du micht gehackt hast, dann kaufe ich ZA. Wenn nicht, dann beweist das, dass es nicht nötig ist.

Die Grundannahme ist übrigens, dass es NICHT nötig ist und dass es erst BEWIESEN werden muss, DASS ES BENÖTIGT WIRD.

3. Du bringst keine Argumente in die Diskussion, schlußfolgerst nicht logisch und kommst ständig mit fetter Schrift. Werfe mir nicht vor, dass ich die Diskussion ruinieren würde!

4. Wenn ZA gekillt wird, dann
4.1. bleibt das Icon so lange bestehen, bsi du mal mit dem Mauscursor drüberfährst.
4.2. kann die Malware dir jederzeit das Icon wieder dahinsetzen, wo du es vermutest.
4.3. hat die Malware längst deinen Rechner vereinnahmt und dann nützt dir auch ein Neustart nix mehr.

5. Zum allerletzten Mal: Das es mit ZA geht beweist nicht im Geringsten, dass es benötigt wird. Dass es ohne geht beweist, dass es nicht benötigt wird.

Dieser Beitrag wurde von Rika bearbeitet: 07. Februar 2004 - 00:15

[Stulle]

Zitat (simcard: 06.02.2004, 22:50)

Wieso Werbeversprechen? Das ist hundertfach bewießen!
Ich fange jetzt nicht wieder an, alles aufzuzählen, dass mache ich dann wenn du meinen PC gehackt hast                 

Das heißt, Du forderst Rika auf, Straftaten zu begehen!!! und machst Dich damit selbst strafbar.

Rika ist etwas schlauer als Du, also laß die Diskussion, die eh zu nix führt.

[Stulle]

Zitat (simcard: 07.02.2004, 10:56)

Zitat

Das heißt, Du forderst Rika auf, Straftaten zu begehen!!! und machst Dich damit selbst strafbar.
Rika ist etwas schlauer als Du, also laß die Diskussion, die eh zu nix führt.

Schleim weiter
Ich fordere den "schlauen" Rika zu garnix auf!
Im Gegensatz zu ihm, bin ich belehrbar und bleibe nicht Stur auf meiner Anti-Firewall Haltung!

simcard

Du bist ermüdend.

GÄÄÄÄÄÄÄÄÄÄÄÄHHHHHHHHHHHNNNNNNNN.