<![CDATA[Firewall für Registry entwickeln]]>Hallo, mir ist eben eine Idee eingefallen, ich möchte eine Art Firewall für die Registry erstellen, damit soll verhindert werden das in bestimmte Schlüssel Daten reingeschrieben werden wie z.B. in:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

Das Programm müsste ganze Zeit im Hintergrund arbeiten, also als Service welcher das schreiben verhindert, hierfür würde doch eine normale Konsolenanwendung ausreichen oder?!?!

Mein Problem, wie soll verhindert werden das in ein Key reingeschrieben wird, soll das Programm bei Veränderungen handeln und wie oft soll das Programm prüfen ob was geändert wurde?

Ich bitte um Lösungsansätze 🙂

]]>https://www.c-plusplus.net/forum/topic/184375/firewall-für-registry-entwickelnRSS for NodeSun, 05 Jul 2026 18:08:23 GMTThu, 14 Jun 2007 16:55:48 GMT60<![CDATA[Reply to Firewall für Registry entwickeln on Thu, 14 Jun 2007 16:55:48 GMT]]>Hallo, mir ist eben eine Idee eingefallen, ich möchte eine Art Firewall für die Registry erstellen, damit soll verhindert werden das in bestimmte Schlüssel Daten reingeschrieben werden wie z.B. in:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

Das Programm müsste ganze Zeit im Hintergrund arbeiten, also als Service welcher das schreiben verhindert, hierfür würde doch eine normale Konsolenanwendung ausreichen oder?!?!

Mein Problem, wie soll verhindert werden das in ein Key reingeschrieben wird, soll das Programm bei Veränderungen handeln und wie oft soll das Programm prüfen ob was geändert wurde?

Ich bitte um Lösungsansätze 🙂

]]>https://www.c-plusplus.net/forum/post/1305884https://www.c-plusplus.net/forum/post/1305884Thu, 14 Jun 2007 16:55:48 GMT<![CDATA[Reply to Firewall für Registry entwickeln on Thu, 14 Jun 2007 17:14:31 GMT]]>Dann ist es keine Firewall, denn die blockiert ja, sondern ein WatchDog Prozess.

Nach deinem Ansatz muss der Wachhund bei Schichtbeginn eine Datenbank der interessierenden Keys mit ihren Inhalten haben.

Mit periodischen Abgleich mit SHGetValue wird dann gebellt, wenn der Inhalt verändert wurde.

Kenn mich jetzt nicht wirklich damit aus, aber mein Bauch sagt mir, dass dies ein ziemlich schlechter Ansatz ist.

]]>https://www.c-plusplus.net/forum/post/1305900https://www.c-plusplus.net/forum/post/1305900Thu, 14 Jun 2007 17:14:31 GMT<![CDATA[Reply to Firewall für Registry entwickeln on Thu, 14 Jun 2007 20:26:46 GMT]]>man kann doch bestimmt einen Hook setzen auf RegCreateKey oder wie die heißen usw.
Dann guckst du, ob das iO ist, was gemacht wird, und wenn ja, dann leitest du das ans os weiter.

]]>https://www.c-plusplus.net/forum/post/1306058https://www.c-plusplus.net/forum/post/1306058Thu, 14 Jun 2007 20:26:46 GMT<![CDATA[Reply to Firewall für Registry entwickeln on Fri, 15 Jun 2007 14:46:33 GMT]]>Also deinem Namen nach müsstest du doch einen (Kernel) Filtertreiber schreiben 😉

Nee also im allgemeinen ist ein Filtertreiber natürlich die "korrekteste" Methode, falls du diese "Firewall" unbedingt im Userspace implementieren willst, kannst natürlich auch einen Service _oder_ eine Konsolenanwendung schreiben (Das ist ein Unterschied!)

Um dann zu "merken" wann ein Programm etwas in der Registry verändern will, müsstest du alle Programme hooken.
Da gibt es auch wieder verschiedene Möglichkeiten:

Da wäre das Verändern des Import Table der Programmes (mir fällt der exakte Name dafür gerade nicht mehr ein), das ist aber relativ unsicher, da deine Firewall z.B. umgangen wird, wenn das Programm die Funktionen über LoadLibrary + GetProAddress holt.
Zum anderen gibt es auch noch das Verändern des Export Table der Dll die die Funktionen exportiert. Nachteil ist das selbe Problem, wenn das Programm die Funktionen _bevor_ deine Firewall geladen wurde = die Dll gepatched hat.
Die beste Lösung wäre wahrscheinlich das überschreiben der ersten 5 Bytes der betroffenen Funktionen in der Dll like z.B. "detours".

Neuer AVs haben solche Ansätze übrigens auch schon implementiert...

]]>https://www.c-plusplus.net/forum/post/1306637https://www.c-plusplus.net/forum/post/1306637Fri, 15 Jun 2007 14:46:33 GMT<![CDATA[Reply to Firewall für Registry entwickeln on Fri, 15 Jun 2007 16:04:20 GMT]]>http://wiki.hackerboard.de/index.php/Windows_API#API-Hooking

]]>https://www.c-plusplus.net/forum/post/1306708https://www.c-plusplus.net/forum/post/1306708Fri, 15 Jun 2007 16:04:20 GMT<![CDATA[Reply to Firewall für Registry entwickeln on Sat, 16 Jun 2007 11:06:47 GMT]]>Dieser Thread wurde von Moderator/in Korbinian aus dem Forum Projekte in das Forum Rund um die Programmierung verschoben.

Im Zweifelsfall bitte auch folgende Hinweise beachten:
C/C++ Forum :: FAQ - Sonstiges :: Wohin mit meiner Frage?

Dieses Posting wurde automatisch erzeugt.

]]>https://www.c-plusplus.net/forum/post/1307122https://www.c-plusplus.net/forum/post/1307122Sat, 16 Jun 2007 11:06:47 GMT<![CDATA[Reply to Firewall für Registry entwickeln on Sat, 16 Jun 2007 11:17:49 GMT]]>Dieser Thread wurde von Moderator/in rüdiger aus dem Forum Rund um die Programmierung in das Forum WinAPI verschoben.

Im Zweifelsfall bitte auch folgende Hinweise beachten:
C/C++ Forum :: FAQ - Sonstiges :: Wohin mit meiner Frage?

Dieses Posting wurde automatisch erzeugt.

]]>https://www.c-plusplus.net/forum/post/1307134https://www.c-plusplus.net/forum/post/1307134Sat, 16 Jun 2007 11:17:49 GMT<![CDATA[Reply to Firewall für Registry entwickeln on Sat, 16 Jun 2007 14:40:41 GMT]]>Vielleicht ist ja alles viel einfacher : RegNotifyChangeKeyValue
🙂

]]>https://www.c-plusplus.net/forum/post/1307263https://www.c-plusplus.net/forum/post/1307263Sat, 16 Jun 2007 14:40:41 GMT<![CDATA[Reply to Firewall für Registry entwickeln on Sat, 16 Jun 2007 18:17:42 GMT]]>Im Programm muss doch ein Timer laufen, welcher in einem bestimmten Intervall mit der Funktion RegNotifyChangeKeyValue prüft ob was verändert wurde, das ist so mein Gedanke. Ist dieser Lösungsansatz in Ordnung?

]]>https://www.c-plusplus.net/forum/post/1307388https://www.c-plusplus.net/forum/post/1307388Sat, 16 Jun 2007 18:17:42 GMT<![CDATA[Reply to Firewall für Registry entwickeln on Sun, 17 Jun 2007 18:08:52 GMT]]>kernel64 schrieb:

damit soll verhindert werden das in bestimmte Schlüssel Daten reingeschrieben werden wie z.B. in:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

Wenn man sich etwas mit der Windows-Sicherheit und vorallem da etwas mit der Benutzerverwaltung beschäftigen würde, dann wüsste man, dass Microsoft schon entsprechende Vorkehrungen getroffen hat. Man muss sie nur anwenden. Dann brauch man sich keine Gedanken über solchen überflüssigne Programme zu machen.

]]>https://www.c-plusplus.net/forum/post/1307926https://www.c-plusplus.net/forum/post/1307926Sun, 17 Jun 2007 18:08:52 GMT