Hallo liebe Community, ja ich bins nochmal :3

Ich habe gerade einen Vorschlag bekommen, ein Tool von mir zu verbessern indem ich bestimmte Prozesse nicht via Startparameter und ProzessID beenden lasse.

Bisher werden bestimmte Prozesse nur via Prozessnamen beendet, da man die aber sehr leicht umgehen kann, indem man den Prozessnamen einfach ändert, versuche ich eine neue Möglichkeit, dabei dachte ich an der ProzessID.

Ich bin mir aber auch nicht ganz sicher ob das sicherer ist, daher würd ich gerne mal von euch hören wie man das sicherer machen könnte.

2.
Wie kann ich einen bestimmten Prozess über den Startparameter erknennen?
Zum Beispiel ein Programm hat den Startparameter "start" , wie kann ich dann dieses Programm über den Startparameter erkennen und beenden lassen?

Hoffe auf Hilfe!
mfG.
Dustin

Dustin schrieb:

wie kann ich dann dieses Programm über den Startparameter erkennen

Gar nicht, weil das System diese(n) Wert(e) nur übergibt, aber nicht speichert.

Die ProzessID wird vom System dynamisch vergeben. Ihr Wert für einen bestimmten Prozess ist nicht vorhersagbar, sodass du auch darüber keinen Prozess vor dem Start identifizieren kannst.

Hm mist :x
Gibt es vllt. eine sicherere Möglichkeit anstatt getProcessesByName?
Denn dabei kann man den Prozess einfach umbennenen und schon wird nichts mehr erkannt.

Klar - benutze ein Hashverfahren, z.B. MD5. Errechne im Vorfeld den Hash der ausführbaren Datei und speichere deren Größe. Soll der Prozess beendet werden, gehst du die Prozessliste durch und überprüfst die Dateigrößen der geladenen Hauptmodule. Passt eine, errechnest du den Hash der passenden Datei. Wenn der Vergleich passt, hast du die (eventuell umbenannte) Datei identifiziert und weißt, welcher Prozess beendet werden muss. Natürlich kann auch dieser Schutz leicht ausgehebelt werden, vor allem, da die Methode in diesem Post beschrieben steht.
Bei einem erfahrenen Programmierer (oder Cracker) wird dein Prozess höchstens zwei mal beendet: Einmal, wenn er es bemerkt, und einmal für die 5-minütige Analyse. Jedoch werden die meisten möchtegern-Scriptkiddies wohl davon abgehalten, das zu beendende Programm weiter zu verwenden.

Steht der md5hash nicht im Programm fest?

Dustin schrieb:

Steht der md5hash nicht im Programm fest?

Was soll das heißen?