[Win32] Ridurre privilegi di un servizio

[71104]

Originariamente inviato da 71104

non so se esiste un modo per ottenere quella stringa avendo solo il nome dell'account, ora provo a vedere su MSDN (chè interessa pure a me).

detto fatto:

http://msdn2.microsoft.com/en-us/library/aa446658.aspx
http://msdn2.microsoft.com/en-us/library/aa446657.aspx

[marco.r]

Originariamente inviato da tomminno

Il software in realtà cerca di suo di terminare tutto quello che è eseguibile nel pannello di controllo (e il pannello di controllo stesso) sfortunatamente quasi tutti non sono visibili come processi perciò vanno terminati in base al nome della finestra.
Inoltre il software si autonasconde dall'elenco dei processi visibile al task manager (che in ogni caso viene terminato dal programma stesso, ma questa è un'opzione disabilitabile da remoto).

Basta uno studente in tutta la scuola che sappia usare la linea di comando e il programma viene raggirato. Tempo una settimana ed e' tutto come prima.

E comunque da remoto l'interfaccia avvisa sullo stato dei client, se uno studente riavvia la macchina o tira giù il servizio si spera che qualcuno controlli.

Se e' lo stesso qualcuno che lascia l'accesso di amministratore agli studenti, ho paura che sara' fatica sprecata

Il tutto deve avere difficoltà pari ad installare il mulo, con checkbox tal tono rassicurante che ti garantiscono che lo studente non accederà ad internet, che non formatterà niente, che non userà penne USB,CDROM,... altro che configurazione dei gruppi di utenti!
Per me una vaccata (non la gestione dei gruppi).

Proprio le cose per cui sono state create le policy di gruppo. Di programmazione in ambiente windows non sono un esperto, ma la vedo piu' difficile, soprattutto perche' ci sono una marea di casi speciali da considerare: riesco ad impedire l'accesso ad internet ? Con tutti i browsers ? E se non ci riesco come faccio a garantire che i file scaricati non vengano eseguiti ? E se invece del task manager un utente usa un altro programmino dalle funzionalita' analoghe ? Si potrebbe continuare per ore.
Ripeto: secondo me la soluzione e' quella di prendere una persona competente che perda due ore a configurare come si deve una macchina, e poi le altre vengono fatte a sua immagine e somiglianza. Fatto questo non ci sara' neanche piu' bisogno di monitorarli i pc, se non stare attenti che li spengano e ti rubino i pezzi ovviamente ...

[marco.r]

Originariamente inviato da 71104

ciò premesso, pensandoci e ripensandoci, sebbene il problema non abbia soluzioni reali ed esaustive (disabiliti il Task Manager? il primo coglione che arriva che ha sentito parlare di Mark Russinovich installa il Process Explorer assieme ai tools del Windows Resource Kit e ti frega; analogamente, disabiliti regedit? il primo coglione che arriva ti installa chissà quale altra diavoleria potente il quadruplo di regedit e come sopra ti frega).

Il problema di questo approccio e' appunto che non puoi bloccare esplicitamente l'esecuzione di tutti i programmi sulla terra. Devi impedire per prima cosa di accedere a tali file. Anche supponendo di impedire ad Internet Explorer di scaricare i file eseguibili (si puo' fare probabilmente anche da API, riscrivendo in pratica quanto gia' offerto dalle policy :P), ipotizzando di eliminare la shell dei comandi per tagliare le gambe ai smanettoni, come puoi impedire che qualcuno condivida da casa una propria cartella di windows su internet () e da start->esegui scriva \\casamia.dyndns.org\programmifighi ?
Ogni post che scriviamo troviamo almeno tre modi aggiuntivi per aggirare le funzionalita' del programma. Non voglio mettere in dubbio le competenze di chi andra' a scriverlo, ma e' un lavoro immane, e soprattutto gia' fatto.

[tomminno]

Originariamente inviato da 71104

per impedire allo studente l'uso di cd rom e floppy disk è semplice!! (almeno quello...)

un po' più complicato invece per le penne USB, in quanto non sono sempre presenti come periferiche ma vengono aggiunte dinamicamente...

Per me è più semplice disabilitare l'USB che non CDROM e floppy, nel primo caso basta una voce di registro e le USB non vengono più montate, nel secondo caso devo gestire il messaggio WM_DEVICECHANGE.

comunque per quanto riguarda floppy e CD, il tuo programma deve semplicemente aggiungere alle rispettive periferiche (apribili tramite semplice CreateFile) delle ACE di accesso negato contro l'account in uso dallo studente.

Più semplicemente quando ricevo il comando WM_DEVICECHANGE rimuovo il volume

Se interessa la voce per disabilitare l'USB è [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\usbstor]
"Start"=dword:00000003 per USB abilitato
"Start"=dword:00000004 per USB disabilitato

[marco.r]

Originariamente inviato da 71104

il primo coglione che arriva ti installa chissà quale altra diavoleria potente il quadruplo di regedit e come sopra ti frega)

Per inciso gli bastera' in molti casi esportare le chiavi in un file .reg ed eseguirlo con un doppio clic. Nell'ipotesi che il programma provveda anche a cancellare un po' di associazioni di file pericolose (e continui a rifarlo se l'utente le reimposta) basta un "reg import" (altra cosa ancora da bloccare...)

[tomminno]

Originariamente inviato da 71104

premesso che volendo potresti fare le cose pompate in grande riempiendoti la bocca di paroloni e creando per il tuo software una procedura di installazione che provveda alla configurazione automatica di impostazioni di sicurezza decenti, creazione di account limitato in primis

Magari sapessi come si va via programma!

ciò premesso, pensandoci e ripensandoci, sebbene il problema non abbia soluzioni reali ed esaustive (disabiliti il Task Manager? il primo coglione che arriva che ha sentito parlare di Mark Russinovich installa il Process Explorer assieme ai tools del Windows Resource Kit e ti frega;

Forse sono ancora più fico ma il Process Explorer è nella lista nera dei processi insieme a PRC
E siccome di questi software ce ne sono MILLLE MILA, il programma server è personalizzabile così volendo si possono inserire nuovi processi/finestre da bloccare.

[tomminno]

Originariamente inviato da marco.r

Basta uno studente in tutta la scuola che sappia usare la linea di comando e il programma viene raggirato. Tempo una settimana ed e' tutto come prima.

cmd è bloccato, ma non posso certo fare niente per i file batch, una volta trovato il nome del servizio (però ho nascosto ad Explorer la cartella di installazione) basta il comando sc e tutto viene via.

Se e' lo stesso qualcuno che lascia l'accesso di amministratore agli studenti, ho paura che sara' fatica sprecata

Non venirlo a dire a me, la prendo più come una sfida per vedere quanto potrà resistere il mio programma che altro.

Proprio le cose per cui sono state create le policy di gruppo. Di programmazione in ambiente windows non sono un esperto, ma la vedo piu' difficile, soprattutto perche' ci sono una marea di casi speciali da considerare: riesco ad impedire l'accesso ad internet ? Con tutti i browsers ? E se non ci riesco come faccio a garantire che i file scaricati non vengano eseguiti ? E se invece del task manager un utente usa un altro programmino dalle funzionalita' analoghe ? Si potrebbe continuare per ore.

Per internet infatti imposto un firewall "remoto" in cui grazie alle iphlpapi o abilito il traffico solo verso determinati url o disabilito certi url, o disabilito tutto.
Il download invece è un casino devo andare ad hookare le chiamate fatte dai 3 browser principali, con il casino che il codice che funzionava con IE6,FF,Opera non va con IE7 perchè simpaticamente usano alcune funzioni Winsocks che non si trovano in WS2_32.DLL

Ripeto: secondo me la soluzione e' quella di prendere una persona competente che perda due ore a configurare come si deve una macchina, e poi le altre vengono fatte a sua immagine e somiglianza. Fatto questo non ci sara' neanche piu' bisogno di monitorarli i pc, se non stare attenti che li spengano e ti rubino i pezzi ovviamente ...

Il problema nasce quando devi lavorare con aule preesistenti di 120 computer, magari dalla parte opposta dell'Italia. Oltretutto nessuno ti garantisce che il tecnico di turno non decida di riformattare tutto dopo poco perchè gli girava così, già vista la scena:
-Che fine ha fatto il programma che ti avevo installato?
-Ho riformattato perchè ho installato XYZ e non andava più nulla e non ho ancora avuto tempo di rimettere tutto in piedi (3 settimane!)

[tomminno]

Originariamente inviato da marco.r

Il problema di questo approccio e' appunto che non puoi bloccare esplicitamente l'esecuzione di tutti i programmi sulla terra. Devi impedire per prima cosa di accedere a tali file. Anche supponendo di impedire ad Internet Explorer di scaricare i file eseguibili (si puo' fare probabilmente anche da API, riscrivendo in pratica quanto gia' offerto dalle policy :P), ipotizzando di eliminare la shell dei comandi per tagliare le gambe ai smanettoni, come puoi impedire che qualcuno condivida da casa una propria cartella di windows su internet () e da start->esegui scriva \\casamia.dyndns.org\programmifighi ?
Ogni post che scriviamo troviamo almeno tre modi aggiuntivi per aggirare le funzionalita' del programma. Non voglio mettere in dubbio le competenze di chi andra' a scriverlo, ma e' un lavoro immane, e soprattutto gia' fatto.

Dovete anche pensare che principalmente i ragazzi tendono ad installare sui computer porcai che scaricano da internet, ad usare eMule e Messenger durante le lezioni, a girare per ogni tipo di sito (ancora non ho visto un proxy installato in una scuola).
In teoria dovrebbero essere lì a studiare lingue o corsi di informatica, non è che stanno davanti a quei computer per ore.

[tomminno]

Originariamente inviato da marco.r

Per inciso gli bastera' in molti casi esportare le chiavi in un file .reg ed eseguirlo con un doppio clic. Nell'ipotesi che il programma provveda anche a cancellare un po' di associazioni di file pericolose (e continui a rifarlo se l'utente le reimposta) basta un "reg import" (altra cosa ancora da bloccare...)

Se disabiliti regedit da registro il doppio click sui file reg è disabilitato come tutte le funzioni riguardanti il registro.

[marco.r]

Originariamente inviato da tomminno

Se disabiliti regedit da registro il doppio click sui file reg è disabilitato come tutte le funzioni riguardanti il registro.

Anche l'uso di altri tool da linea di comando ? Non lo sapevo.

[tomminno]

Originariamente inviato da marco.r

Anche l'uso di altri tool da linea di comando ? Non lo sapevo.

Vengono disabilitate tutte le funzioni per il registro integrate in Windows, ma non le API che interagiscono con il registro, perciò un programma di terze parti può funzionare.

[71104]

Originariamente inviato da tomminno

Per me è più semplice disabilitare l'USB che non CDROM e floppy, nel primo caso basta una voce di registro e le USB non vengono più montate, nel secondo caso devo gestire il messaggio WM_DEVICECHANGE.

a me pare più facile aprire "\\\\.\\A:" e "\\\\.\\D:" con CreateFile e metterci le ACE, se non altro perché per ricevere WM_DEVICECHANGE devi aver creato una finestra (in un servizio poi... ); poi vedi tu...

Più semplicemente quando ricevo il comando WM_DEVICECHANGE rimuovo il volume

il problema è che per questo lavoro stai già accumulando una schifezza dopo l'altra, perciò almeno una cosa da fare in maniera lecita e semplice te la volevo suggerire

[71104]

Originariamente inviato da tomminno

[...] perchè simpaticamente usano alcune funzioni Winsocks che non si trovano in WS2_32.DLL

che ti aspettavi? mica tutti i programmi sono obbligati ad usare quella "porcata un po' migliorata" dei Windows Sockets, di conseguenza se si prevede di non dover portare un sorgente su Linux è meglio usare altre interfacce (tipo sapevo che RPC andava a chiamare direttamente AFD, e a occhio sarebbe assurdo se andasse a chiamare i sockets).

[71104]

comunque a me sembra assurdo che con le persone che ti hanno commissionato questo lavoro tu non riesca in nessun modo a fare un ragionamento del tipo: "signori miei quello di cui avete bisogno non è un programma ma qualche oretta di configurazione con tools già esistenti in Windows, e pazientate se me ne esco in quarta a lanciare rivoluzioni quando avevate chiesto solamente un cerotto ma io sono fermamente convinto che voi non abbiate idea di cosa realmente serva a risolvere il problema, visto che questo è il mio lavoro e non il vostro, o quello di quel sedicente tecnico i cui approcci con l'elettronica di tutta la sua vita ammontano suppergiù a qualche mese di apprendista elettrauto".

se pensi di non ragionare così con loro per questioni di convenienza ("se faccio il programma mi pagano di più") allora li stai imbrogliando. ma se è quello il tuo scopo non vedo lo stesso perché rifilargli la monnezza quando potresti semplicemente farti pagare a ore passando le ore a far finta di configurare e giocando invece con PacMan: imbrogliali quanto ti pare ma almeno cerca di ripulirti la coscienza, per amor tuo!

[71104]

ah, senza contare che qualcuno di quella scuola potrebbe stare già leggendo questo thread...

[tomminno]

Originariamente inviato da 71104

a me pare più facile aprire "\\\\.\\A:" e "\\\\.\\D:" con CreateFile e metterci le ACE, se non altro perché per ricevere WM_DEVICECHANGE devi aver creato una finestra (in un servizio poi... ); poi vedi tu...

Considerando che A non esiste più sulle nuove aule e in D spesso c'è una partizione dell'HD dovrei andarmi a elencare i dispositivi presenti. Sicuramente ci ritornerò sopra, ma adesso con la consegna imminente non ho tempo per ritoccare questa funzionalità.

Non che cambi molto ma il servizio serve solo per lanciare l'applicativo e monitorare che sia sempre attivo, come conseguenza il programma gira sotto l'account SYSTEM.
In ogni caso una minimale interfaccia grafica è richiesta (notifica sulla taskbar e messaggistica)

il problema è che per questo lavoro stai già accumulando una schifezza dopo l'altra, perciò almeno una cosa da fare in maniera lecita e semplice te la volevo suggerire

schifezza o meno, non ho trovato altre soluzioni per risolvere il problema. Magari ci saranno pure state, ma in 2 mesi di sviluppo nel tempo libero non è che avessi tanto tempo per documentarmi meglio sulle funzionalità di Windows.

Ripeto non è pensabile di configurare adeguatamente gli utenti in quanto se fosse possibile, programmi come questo non sarebbero richiesti (e non ridere se ti dico che al momento è in previsione l'installazione su 1500 computer)

[tomminno]

Originariamente inviato da 71104

comunque a me sembra assurdo che con le persone che ti hanno commissionato questo lavoro tu non riesca in nessun modo a fare un ragionamento del tipo: "signori miei quello di cui avete bisogno non è un programma ma qualche oretta di configurazione con tools già esistenti in Windows, e pazientate se me ne esco in quarta a lanciare rivoluzioni quando avevate chiesto solamente un cerotto ma io sono fermamente convinto che voi non abbiate idea di cosa realmente serva a risolvere il problema, visto che questo è il mio lavoro e non il vostro, o quello di quel sedicente tecnico i cui approcci con l'elettronica di tutta la sua vita ammontano suppergiù a qualche mese di apprendista elettrauto".

Si vede che non hai molto a che fare con i commerciali.
Il loro scopo è vendere qualunque cosa purchè porti denaro contante.
T'immagini se si presenta dal cliente e gli dice:
"Voi non avete bisogno del software che noi vendiamo, vi basta solo un tecnico con un livello di conoscenza di Windows superiore alla mediocrità."
Il cliente direbbe "Oh ma è vero, grazie non abbiamo più bisogno di voi".

Lo scopo di questo software è per l'appunto quello di rimpiazzare un altro software che viene venduto attualmente dalla ditta che mi ha commissionato il lavoro, consentendo così margini più ampi.

se pensi di non ragionare così con loro per questioni di convenienza ("se faccio il programma mi pagano di più") allora li stai imbrogliando. ma se è quello il tuo scopo non vedo lo stesso perché rifilargli la monnezza quando potresti semplicemente farti pagare a ore passando le ore a far finta di configurare e giocando invece con PacMan: imbrogliali quanto ti pare ma almeno cerca di ripulirti la coscienza, per amor tuo!

La richiesta era:
Abbiamo bisogno di rimpiazzare un software di terze parti che attulamente vendiamo con uno di nostra proprietà, sei in grado di realizzare un software che abbia queste funzionalità?
Credi che non glielo abbia detto che secondo me è un software inutile?
Chiaramente chi mi ha commissionato il lavoro era perfettamente d'accordo con me, solo che lo scopo è quello di vendere vendere vendere.
Triste verità che ha ben altre valenze in casi diversi da questo.

PS forse non era chiaro non è stata una scuola a commissionarmi il lavoro, altrimenti è chiaro che la soluzione non sarebbe stata quella presente.

[tomminno]

Originariamente inviato da 71104

ah, senza contare che qualcuno di quella scuola potrebbe stare già leggendo questo thread...

Quale delle tante?

[71104]

Originariamente inviato da tomminno

Si vede che non hai molto a che fare con i commerciali.

infatti per niente: faccio ancora l'università; però che dire, mi sembra una situazione piuttosto assurda
poi ci si lamenta che Microsoft ci rifila merda, quando invece la prima merda... vabbè va', hai capito.

Il loro scopo è vendere qualunque cosa purchè porti denaro contante.
T'immagini se si presenta dal cliente e gli dice:
"Voi non avete bisogno del software che noi vendiamo, vi basta solo un tecnico con un livello di conoscenza di Windows superiore alla mediocrità."
Il cliente direbbe "Oh ma è vero, grazie non abbiamo più bisogno di voi".

controrisposta: "no? e dove lo trovate il tecnico?"

Credi che non glielo abbia detto che secondo me è un software inutile?
Chiaramente chi mi ha commissionato il lavoro era perfettamente d'accordo con me, solo che lo scopo è quello di vendere vendere vendere.
Triste verità che ha ben altre valenze in casi diversi da questo.

in effetti chi doveva far capire l'errore alla base della richiesta non eri tu ma chi ha ricevuto la richiesta stessa da parte di persone incompetenti nel settore. tuttavia possiamo ancora interpretarla come una richiesta valida: quello che i presidi vogliono è soltanto un generico qualcosa che impedisca agli studenti di fare determinate cose, e non uno specifico software che glielo impedisca con sporche tecniche da trojan (e per sporche intendo che il tuo software potrebbe non funzionare più già su Vista). tu anziché reinventare la ruota con strumenti il più possibile inadatti avresti potuto creare un software con minime funzionalità di controllo, che nella procedura di installazione creasse configurazioni di sicurezza robuste. prima chiedevi come creare un account da programma. ora sinceramente non lo so, però penso che le API necessarie siano sicuramente documentate.

la prossima volta cerca di ragionare in questi termini, ed ovviamente è un consiglio del tutto disinteressato.

PS forse non era chiaro non è stata una scuola a commissionarmi il lavoro, altrimenti è chiaro che la soluzione non sarebbe stata quella presente.

si, adesso ho capito.

[71104]

Originariamente inviato da tomminno

Considerando che A non esiste più sulle nuove aule e in D spesso c'è una partizione dell'HD dovrei andarmi a elencare i dispositivi presenti.

dicevo A e D per dire; per elencare le unità disco presenti e conoscere di che tipo sono:

GetLogicalDrives
GetDriveType

Non che cambi molto ma il servizio serve solo per lanciare l'applicativo e monitorare che sia sempre attivo, come conseguenza il programma gira sotto l'account SYSTEM.
In ogni caso una minimale interfaccia grafica è richiesta (notifica sulla taskbar e messaggistica)

solitamente far girare sotto SYSTEM un programma interattivo è una pessima idea... questo articolo spiega i modi migliori per rendere interattivo un servizio: http://msdn2.microsoft.com/en-us/library/ms683502.aspx

Ripeto non è pensabile di configurare adeguatamente gli utenti in quanto se fosse possibile, programmi come questo non sarebbero richiesti

visto che gli elettrauto non sanno configurare gli utenti Windows potrebbe farlo il tuo programma al posto loro.

(e non ridere se ti dico che al momento è in previsione l'installazione su 1500 computer)

se avessi invertito la frase ("ti dico che è in previsione l'installazione su 1500 computers, ma non ridere") mi avresti messo di fronte al fatto compiuto