Normales Thema Wie ermittelt der "Automatische Updates"-Dienst den Patchstatus? (Gelesen: 1877 mal)
Fred-Lumpi
WSUS Junior Member
*
Offline


I Love WSUS!

Beiträge: 13
Standort: Braunschweig
Mitglied seit: 06.10.09
Geschlecht: männlich
Wie ermittelt der "Automatische Updates"-Dienst den Patchstatus?
19.10.09 um 14:48:37
Beitrag drucken  
Hola WSUS-Admins,

entfernte Kollegen und ein McAfee-Dozent behaupten, dass der "Automatische Updates"-Dienst den Patchstand nur aus der Registry ausliest und deshalb nicht die wirkliche Wahrheit kennt.  Aber genau das kann ich nicht wirklich glauben, ich vermute, dass M$ schon weitergehende Prüfungen auch auf Dateiebene vorgesehen hat, z.B. Versionsprüfungen der vorhandenen und registrierten DLLs. Schon bei der alten WindowsUpdateSite V4 hatte ich eigentlich vermutet, dass auch hier schon die Abfrage etwas intelligenter gestaltet ist, als einfach nur das Auslesen der Reg-Daten.

Leider suche ich schon lange im Netz nach einer Antwort, und für eine Eigenanalyse hatte ich noch keine Gelegenheit. Man könnte ja z.B. die Reg-Daten selbst manipulieren und schauen ob sich der Updatemechanismus dadurch aufs Glatteis führen lässt.

Also, wie ermittelt der Update-Dienst und die Updatewebsite den Patchstatus?

Danke im Voraus…

Schönen Gruß
Tim

19.10.09 um 14:47:35
  
Zum Seitenanfang
Sunny
Microsoft MVP
*****
Offline



Beiträge: 13101
Mitglied seit: 11.02.07
Geschlecht: männlich
Re: Wie ermittelt der "Automatische Updates"-Dienst den Patchstatus?
Antwort #1 - 19.10.09 um 14:57:00
Beitrag drucken  
Genau weiß ich es auch nicht, aber ich vermute ganz schwer es werden Versionen von DLL und EXEN ausgelesen. Die dann mit den Online Versionen verglichen und dann gedownloadet.
  
Zum Seitenanfang
 
Blogster
WSUS Profi
****
Offline


I Love WSUS!

Beiträge: 391
Mitglied seit: 12.03.08
Geschlecht: männlich
Re: Wie ermittelt der "Automatische Updates"-Dienst den Patchstatus?
Antwort #2 - 21.10.09 um 10:28:02
Beitrag drucken  
Hi,
denke nicht das das so einfach geht.
Wenn das wirklich nur über Die Registrierung gehen würde, hätten die Cyberkriminellen doch längst nen Virus programmiert der dir vorgaugelt das dein PC alle benötigten Patche hat ...
  
Zum Seitenanfang
 
Fred-Lumpi
WSUS Junior Member
*
Offline


I Love WSUS!

Beiträge: 13
Standort: Braunschweig
Mitglied seit: 06.10.09
Geschlecht: männlich
Re: Wie ermittelt der "Automatische Updates"-Dienst den Patchstatus?
Antwort #3 - 21.10.09 um 10:43:21
Beitrag drucken  
Hi Blogster,

ja - das ist ein sehr gutes Argument, um die Behauptung mit der Registry zu entkräften. Die tatsächliche Vorgehensweise werde ich wohl nur von MS selbst erfahren können, mal sehen wie ich die Infos erhalten kann. Eigentlich müsste auch ein Hash-Wert geprüft werden, um eben Manipulationen zu vermeiden.

Schönen Gruß
Tim
  
Zum Seitenanfang
UMeadow
WSUS Spezialist
*****
Offline


I Love WSUS!

Beiträge: 1337
Standort: Berlin
Mitglied seit: 22.01.08
Geschlecht: männlich
Re: Wie ermittelt der "Automatische Updates"-Dienst den Patchstatus?
Antwort #4 - 21.10.09 um 10:46:18
Beitrag drucken  
Wenn Du Lust hast könntest Du den MS Baseline Security Analyzer auseinandernehmen  Zwinkernd Der benutzt wohl ähnliche Mechanismen.
  
Zum Seitenanfang
 
Sunny
Microsoft MVP
*****
Offline



Beiträge: 13101
Mitglied seit: 11.02.07
Geschlecht: männlich
Re: Wie ermittelt der "Automatische Updates"-Dienst den Patchstatus?
Antwort #5 - 21.10.09 um 11:26:15
Beitrag drucken  
UMeadow schrieb on 21.10.09 um 10:46:18:
Wenn Du Lust hast könntest Du den MS Baseline Security Analyzer auseinandernehmen  Zwinkernd Der benutzt wohl ähnliche Mechanismen. 


Der downloadet eine CAB Datei und vergleicht dann. Ich hab mir allerdings den Inhalt der CAB noch nicht angesehen.
  
Zum Seitenanfang
 
Fred-Lumpi
WSUS Junior Member
*
Offline


I Love WSUS!

Beiträge: 13
Standort: Braunschweig
Mitglied seit: 06.10.09
Geschlecht: männlich
Re: Wie ermittelt der "Automatische Updates"-Dienst den Patchstatus?
Antwort #6 - 21.10.09 um 14:59:37
Beitrag drucken  
So, ich habe mal nach ein wenig Trickserei mit dem Systemdateischutz die Datei "gdi32.dll" Version 5.1.2600.5698 gegen eine ältere "gdi32.dll" Version 5.1.2600.3159 ausgetauscht.
Sonst aber keine weiteren Veränderungen am System vorgenommen.

Und die Windows-UpdateSite hat dann danach einen entsprechenden Patch angeboten. Das ist wohl der Beweis, dass nicht nur einfach RegDaten ausgelesen werden. Und als ich einfach die Datei per BartPE-CD wiederhergestellt habe, war der Patchvorschlag von WindowsUpdate auch wieder verschwunden. Und das ist zusätzlich noch eine Bestätigung dessen.

MfG
Tim
  
Zum Seitenanfang
Bookmarks: Facebook Google Google+ Linked in Twitter Yahoo
 



Nutzungsbedingungen | Datenschutz
Kontakt | RSS | Feedback | Impressum
Facebook | News einsenden