CreateProcess() als SYSTEM --> Sichtbar im Desktop

Reply to CreateProcess() als SYSTEM --> Sichtbar im Desktop on Sat, 01 Apr 2006 07:36:22 GMT

mymicha — Sat, 01 Apr 2006 07:36:22 GMT

Hey ho,

ich habe eine kleine Service-Applikation geschrieben, die im Sicherheitskontext SYSTEM läuft. Dieses Programm ist Teil einer kleinen Softwareverteilung. Der Service führt bei Bedarf Installationsroutinen aus. Bisher sehe ich jedoch diese Aktionen nicht, weil keine Verlinkung mit dem Desktop vorgesehen war.

Hier der Ausschnitt aus dem Quellcode:

void ExecuteProg(AnsiString Programm)
{

    ZeroMemory( &si, sizeof(si) );
    si.cb = sizeof(si);
    ZeroMemory( &pi, sizeof(pi) );

    // Prozess starten 
    if( !CreateProcess( NULL,   // No module name (use command line).
        TEXT(Programm.c_str()), // Command line.
        NULL,             // Process handle not inheritable.
        NULL,             // Thread handle not inheritable.
        FALSE,            // Set handle inheritance to FALSE.
        0,                // No creation flags.
        NULL,             // Use parent's environment block.
        NULL,             // Use parent's starting directory.
        &si,              // Pointer to STARTUPINFO structure.
        &pi )             // Pointer to PROCESS_INFORMATION structure.
       )
     {
     // Fehler aufgetreten.
     ProcessRunning = false;

     }
    else
     {
     // Keine Fehler aufgetreten. Prozess wurde gestartet
     ProcessRunning = true;
     }

}

Nun möchte ich das Ändern und die Applikation auf dem Desktop sichtbar machen. Dabei ist mir klar, dass ich die Struktur STARTINFO nicht einfach leer übergeben darf, sondern initialisieren und mit Werten füllen muss - Mit den richtigen Werten

Ich habe auch herausgefunden, dass ich irgendwie mit lpDesktop arbeiten muss, aber es erschließt sich mir nicht wie genau.

Für Hilfe wäre ich sehr dankbar.

Reply to CreateProcess() als SYSTEM --> Sichtbar im Desktop on Sat, 01 Apr 2006 08:43:10 GMT

Jochen Kalmbach — Sat, 01 Apr 2006 08:43:10 GMT

Es ist aus Sicherheitsgründen nicht empfehlenswert Service mit dem Desktop interagieren zu lassen.
Mit Vista wird es gar nicht mehr möglich sein. Deshalb empfehle ich Dringen dieses nicht zu verwenden.

Reply to CreateProcess() als SYSTEM --> Sichtbar im Desktop on Sat, 01 Apr 2006 09:30:37 GMT

mymicha — Sat, 01 Apr 2006 09:30:37 GMT

Meinst du jetzt generell, dass Prozesse, die unter dem SYSTEM Account von Windows laufen keine Interaktionen mehr mit dem Desktop haben sollen (und bei Vista können) oder nur Prozesse, die als Service unter Windows laufen (egal, unter welchem User)?

Sonst könnte ich ja auch meinen Prozess unter einem lokalen Administratorkonto (mit Serviceberechtigung) laufen lassen. Dann wäre zumindest die Einschränkung mit dem SYSTEM Account weg (sofern es die gibt).

Welche Möglichkeiten hätte ich denn sonst dem User sehen zu lassen, was die Softwareverteilung macht? Bisher läuft das halt über Timeouts, wenn mal ein Fehler auftritt. Man sieht ja leider nix

Reply to CreateProcess() als SYSTEM --> Sichtbar im Desktop on Sat, 01 Apr 2006 09:45:46 GMT

Jochen Kalmbach — Sat, 01 Apr 2006 09:45:46 GMT

Es geht um Services und um alles was höhere Privilegien hat...
Siehe: http://security.tombom.co.uk/shatter.html

Der "normale" Weg ist, eine Normale-Mode Applikation zu schreibe, die dann "normal" mit dem Servcie kommuniziert (z.B: Named-Pipes).

Reply to CreateProcess() als SYSTEM --> Sichtbar im Desktop on Sat, 01 Apr 2006 10:02:45 GMT

mymicha — Sat, 01 Apr 2006 10:02:45 GMT

Ah Tschuldigung. Hätte ich vielleicht dazu sagen sollen. Die Softwareverteilung besteht aus einer Client.exe, die unter dem Benutzer (nur mit Benutzerrechten) läuft und natürlich auch mit dessen Desktop interagiert. Der Service managed alles im Hintergrund. Lädt neue Pakete usw. Die beiden unterhalten sich selbstverständlich fleißig.

Die wichtigste Aufgabe des Services ist es jedoch, Installationsroutinen mit höheren Rechten zu starten.

Vielleicht kann ich aber auch die Funktion "CreateUserWithLogonW" nutzen und diese aus der Client-Applikation heraus zu starten. Damit könnte mir geholfen sein. Leider muss ich dann aber einen lokalen Admin bzw. einen Domänen-User mit lokalen Adminrechten verwenden. Dies blieb mir bisher erspart.

Vielen Dank auf jeden Fall für deine Infos.