(c) वस्या लोहज़िन

दुर्भाग्य से, सिस्टम प्रशासक के काम में, नहीं, नहीं, और आपको उपयोगकर्ताओं को व्यवस्थापक अधिकारों के साथ किसी भी सॉफ़्टवेयर को चलाने की अनुमति देनी होगी। सबसे अधिक बार, ये उपकरण के साथ काम करने के लिए कुछ अजीब चीनी कार्यक्रम हैं। लेकिन कुख्यात bnk.exe जैसी अन्य स्थितियां हैं।

उपयोगकर्ता व्यवस्थापक अधिकारों को समस्या को जल्दी और आसानी से हल करने के लिए देना सुरक्षा मानकों के विपरीत है। आप निश्चित रूप से, उसे एक अलग कंप्यूटर दे सकते हैं और इसे एक अलग नेटवर्क पर रख सकते हैं, लेकिन - यह महंगा है और आम तौर पर ...

आइए निर्णय लेने की कोशिश करें जो कार्यक्रम को चलाने की अनुमति देगा, और फाइनेंसर के साथ सुरक्षा अधिकारी को नाराज नहीं करेगा।

अच्छा, आप सही क्यों हैं?

एक कार्यक्रम दो मामलों में सशर्त रूप से प्रशासक के अधिकारों का अनुरोध कर सकता है:

1. जब वह "मात्र नश्वर" तक पहुँच प्राप्त करना चाहता है: उदाहरण के लिए, सिस्टम निर्देशिकाओं में फ़ाइलें बनाएँ।
2. जब कार्यक्रम को विशेष ध्वज "व्यवस्थापक अधिकारों की आवश्यकता" के साथ संकलित किया गया था।

पहले मामले के साथ, सब कुछ स्पष्ट है: हम मार्क रोसिनोविच प्रोसेस मॉनिटर का एक अद्भुत कार्यक्रम लेते हैं, यह देखें कि क्या हो रहा है और जहां कार्यक्रम में आने की कोशिश कर रहा है:

यह 7Zip कहाँ जाता है?

और अध्ययन के परिणामों के अनुसार, हम उपयोगकर्ता को वांछित निर्देशिका या रजिस्ट्री शाखा को अधिकार देते हैं।

यदि मामला क्लिनिकल है, तो यह अधिक कठिन है और अधिकारों को देना आसान नहीं है: उदाहरण के लिए, एक प्रोग्राम को सिस्टम के संचालन में मजबूत हस्तक्षेप की आवश्यकता होती है, जैसे ड्राइवर स्थापित करना। फिर आपको प्रत्येक सामूहिक खेत के साथ आना होगा, जिसकी चर्चा लेख के अंतिम भाग में की जाएगी। अभी के लिए, मैं दूसरे मामले को और अधिक विस्तार से कवर करूँगा - जब चेकबॉक्स की जाँच हो।

इसे बहुत सरल बनाने के लिए, फिर कार्यक्रम के एक विशेष प्रकटन में (वैसे, इंस्टॉलर्स भी प्रोग्राम हैं) अन्य लॉन्च विकल्प हो सकते हैं:

• Invoker । कार्यक्रम उसी अधिकार के साथ शुरू होता है जिस प्रक्रिया ने इसे उत्पन्न किया (एक नियम के रूप में, यह उपयोगकर्ता अधिकारों के साथ explorer.exe है);
• उच्चतम उपलब्ध । कार्यक्रम उपयोगकर्ता के लिए उपलब्ध अधिकतम अनुमतियों के लिए पूछेगा (व्यवस्थापक यूएसी को बढ़ाने के लिए पूछेगा एक विंडो देखेगा, उपयोगकर्ता नहीं करेगा);
• आवश्यक है । कार्यक्रम को किसी भी मामले में प्रशासक के अधिकारों की आवश्यकता होगी।

यदि डेवलपर ने दृढ़ता से प्रशासक के अधिकारों की मांग करने का फैसला किया, भले ही उनकी आवश्यकता न हो, तो आप थोड़ा खून के साथ इसे प्राप्त कर सकते हैं।

नहीं, आप सही नहीं होंगे

विस्टा में, विस्टा से शुरू होकर, यूएसी सेवा दिखाई दी है, जो अन्य बातों के अलावा, उन्नयन कार्यक्रमों के अनुरोध के लिए जिम्मेदार है। सभी कार्यक्रम इस सेवा के साथ काम को "पचा नहीं" करते हैं। इसलिए, सिस्टम में एप्लिकेशन संगतता तंत्र में सुधार किया गया था, जो आपको प्रोग्राम को सीधे उसके व्यवहार को निर्धारित करने की अनुमति देता है - अधिकार के लिए पूछें या नहीं।

इस तंत्र के साथ काम करने का सबसे आसान तरीका पर्यावरण चर का उपयोग करना है।

रजिस्ट्री संपादक उदाहरण पर विचार करें। वास्तव में, व्यवस्थापक के तहत regedit.exe चल रहा है, हमें अधिकारों के उन्नयन के लिए अनुरोध प्राप्त होता है:

उन्नयन का अनुरोध करें।

यदि हम पर्यावरण के चर __COMPAT_LAYER का मान बदलने के बाद, कंसोल से रजिस्ट्री संपादक शुरू करते हैं:

set __COMPAT_LAYER=RUNASINVOKER 

तब कोई यूएसी अनुरोध नहीं होगा, साथ ही आवेदन के लिए प्रशासनिक अधिकार भी होंगे:

असंतुष्ट रजिस्ट्री संपादक।

इसका उपयोग बैच फ़ाइलों के साथ प्रोग्राम लॉन्च करके या रजिस्ट्री के माध्यम से एक संदर्भ मेनू जोड़कर किया जा सकता है। और अधिक पढ़ें कैसे करें प्रोग्राम बिना एडमिन प्रिविलेज और बायपास UAC प्रॉम्प्ट के?

इस तरह के एक अप्रिय कार्यक्रम का एक ठोस उदाहरण तब देखा जा सकता है जब RC की वेबसाइट से http://cbrates.rbc.ru/bnk/bnk.exe पर 1 सी से बैंक क्लासिफायर डाउनलोड करें। यदि क्लासिफायर का अद्यतन स्वयं उपयोगकर्ताओं के लिए छोड़ दिया गया है और bnk.zip (और आधुनिक 1C इस का समर्थन करता है) के लिए डाउनलोड को बदलने का कोई तरीका नहीं है, तो आपको बैसाखी के साथ आना होगा। आखिरकार, bnk.exe एक सेल्फ-एक्स्ट्रक्टिंग आर्काइव है, जिसमें किसी कारण से यह कहता है कि "व्यवस्थापक अधिकारों की आवश्यकता है"।

चूंकि शॉर्टकट यहां काम नहीं करेंगे, क्योंकि 1 सी खुद फ़ाइल डाउनलोड करता है और इसे लॉन्च करता है, तो आपको भारी तोपखाने का उपयोग करना होगा - Microsoft अनुप्रयोग संगतता टूलकिट।

सॉफ्टवेयर के लिए प्रलेखन, हमेशा की तरह, आधिकारिक वेबसाइट पर उपलब्ध है, आप इसे विंडोज आकलन और तैनाती किट के हिस्से के रूप में डाउनलोड कर सकते हैं। समस्या को हल करने की प्रक्रिया सरल है।

आपको उपयोगिता स्थापित करने, संगतता व्यवस्थापक चलाने और एक नए या मौजूदा डेटाबेस में एप्लिकेशन फिक्स बनाने की आवश्यकता है:

एप्लिकेशन फिक्स बनाएं।

नाम और प्रकाशक से कोई फर्क नहीं पड़ता। केवल फ़ाइल का स्थान मायने रखता है - यहां आपको वास्तविक समस्या को निर्दिष्ट करने की आवश्यकता है bnk.exe (जहां यह वास्तव में झूठ होगा - इससे कोई फर्क नहीं पड़ता)।

अगला, फिक्स की सूची से RunAsInvoker चुनें।

इच्छित फिक्स का चयन करें।

हम बाकी को डिफ़ॉल्ट रूप से छोड़ देते हैं, डेटाबेस को बचाते हैं। यह कुछ इस तरह दिखना चाहिए:

Bnk.exe के लिए ठीक किया गया।

उसके बाद, उस पर राइट-क्लिक करके और इंस्टॉल का चयन करके डेटाबेस को स्थापित करने के लिए पर्याप्त होगा। अब यूजर्स खुद बैंक क्लासिफायर लोड कर सकेंगे।

यदि एप्लिकेशन को वास्तव में व्यवस्थापक अधिकारों की आवश्यकता है तो यह बदतर हो जाता है। तब सिस्टम ऑब्जेक्ट्स और सुधारों के अधिकारों को जोड़ना मदद नहीं करता है।

ठीक है रख लो

ऐसा लगता है कि हमारे अजीब सॉफ़्टवेयर को लॉन्च करने का सबसे स्पष्ट समाधान अंतर्निहित रूनास उपयोगिता का उपयोग करना है। दस्तावेज़ Microsoft वेबसाइट पर उपलब्ध है।

खैर, देखते हैं क्या होता है।

टीम:

 runas /savecred /user: "C:\Program Files\7-Zip\7zFM.exe" 

दरअसल, रनर्स एडमिनिस्ट्रेटर विशेषाधिकारों के साथ 7zip चलाएगा, पासवर्ड मांगेगा और इसे याद रखेगा। फिर ऐसी लॉन्च लाइन के साथ एक शॉर्टकट प्रश्न के बिना प्रशासक के तहत 7zip लॉन्च करेगा।

)

पासवर्ड डालें।

एक महत्वपूर्ण कमी है: सिस्टम स्तर पर पासवर्ड को याद किया जाता है, और अब, रनस कमांड का उपयोग करके, आप बिल्कुल किसी भी प्रोग्राम को शुरू कर सकते हैं। यह सीधे कर्मचारियों को व्यवस्थापक अधिकार देने के विपरीत नहीं है, इसलिए आपको इस समाधान का उपयोग नहीं करना चाहिए।

लेकिन रनस तब उपयोगी हो सकता है जब कोई कर्मचारी व्यवस्थापक पासवर्ड जानता है, लेकिन एक सीमित खाते के तहत काम करता है (सिद्धांत रूप में, प्रत्येक सिस्टम व्यवस्थापक को ऐसा करना चाहिए)।

यदि हमने कंसोल कमांड के साथ शुरुआत की है, तो हम उच्च-स्तरीय स्क्रिप्ट पर आगे बढ़ेंगे। एक दिलचस्प समाधान " प्लैंकटन विंडोज " लेख में प्रस्तावित किया गया था, जहां उपर्युक्त रूनास एक जेएस स्क्रिप्ट के साथ बंधा हुआ था और एक ओबफ्यूसेटर से गुजरता था। समाधान में एक स्पष्ट माइनस है - स्क्रिप्ट को डिकोड किया जा सकता है।

2k20 में थोड़ा और दिलचस्प तरीका है पॉवरशेल फीचर और पासवर्ड के साथ इसका काम। आप " पासवर्ड सुरक्षा और एन्क्रिप्शन में PowerShell लिपियों में " लेख में और अधिक पढ़ सकते हैं।

संक्षेप में: PS में, पासवर्ड के साथ काम एक विशेष सिक्योरस्ट्रिंग डेटा प्रकार और एक PSCredential ऑब्जेक्ट के माध्यम से किया जाता है। उदाहरण के लिए, आप पासवर्ड को अंतःक्रियात्मक रूप से दर्ज कर सकते हैं:

 $Cred = Get-Credential 

फिर पासवर्ड को एन्क्रिप्टेड रूप में फ़ाइल में सहेजें:

 $Cred.Password | ConvertFrom-SecureString | Set-Content c:\pass.txt 

और अब इस फाइल को गैर-संवादात्मक कार्य के लिए उपयोग करें:

 $username = "Domain\" $pass = Get-Content C:\pass.txt | ConvertTo-SecureString $creds = New-Object -TypeName System.Management.Automation.PSCredential -ArgumentList $username, $pass 

दुर्भाग्य से, यह फ़ाइल केवल उस पीसी पर उपयोग की जा सकती है जिस पर इसे बनाया गया था। इससे बचने के लिए, आप एक अलग एन्क्रिप्शन कुंजी बना सकते हैं। उदाहरण के लिए, इस तरह:

 $AESKey = New-Object Byte[] 32 [Security.Cryptography.RNGCryptoServiceProvider]::Create().GetBytes($AESKey) $AESKey | out-file C:\password_aes.key 

अब, इस कुंजी का उपयोग करके, पासवर्ड एन्क्रिप्ट किया जा सकता है:

 $Cred.Password| ConvertFrom-SecureString -Key (get-content C:\password_aes.key )| Set-Content C:\pass.txt 

और डिक्रिप्ट:

 $pass = Get-Content C:\pass.txt | ConvertTo-SecureString -Key (get-content C:\password_aes.key) 

दुर्भाग्य से, चीजें बस सुरक्षा से दुखी हैं: यदि आपके पास एन्क्रिप्शन कुंजी और एन्क्रिप्टेड पासवर्ड वाली फ़ाइल तक पहुंच है, तो पासवर्ड को निकालना मुश्किल नहीं है। हां, आप आवश्यक फाइलों के साथ-साथ .ff में उद्धरण जोड़ सकते हैं और स्क्रिप्ट संकलित कर सकते हैं। लेकिन आपको यह समझने की जरूरत है कि ये आधे उपाय हैं।

एक समय में, मैंने इस तरह की समस्याओं को हल करने के लिए अपने पसंदीदा AutoIt का उपयोग किया, जहां मैंने RunAs टीम के साथ एक स्क्रिप्ट संकलित की और आनन्दित ... जब तक मुझे पता चला कि AutoIt (विशेष रूप से पुराने संस्करण) एक या दो बार decompiles।

एक और दिलचस्प विकल्प असाइन किए गए कार्यों का उपयोग हो सकता है - यदि आप व्यवस्थापक खाते से एक निर्धारित कार्य बनाते हैं, तो उपयोगकर्ता को केवल इसे शुरू करने की आवश्यकता होगी। दुर्भाग्य से, यह समाधान आवेदन के साथ इंटरैक्टिव काम के लिए उपयुक्त नहीं है।

दुनिया में समस्या को हल करने के लिए डिज़ाइन किए गए कई तृतीय-पक्ष समाधान हैं। मैं उनमें से कुछ पर ध्यान केन्द्रित करूंगा।

शायद सबसे प्रसिद्ध उपयोगिताओं में से एक AdmiLink है , जिसे परमाणु भौतिकी की जरूरतों के लिए अलेक्सई क्यूरकिन द्वारा विकसित किया गया है। इसके काम के कार्यक्रम और सिद्धांतों को आधिकारिक वेबसाइट पर वर्णित किया गया है । मैं, हमेशा की तरह, अपने आप को एक संक्षिप्त विवरण की अनुमति देता हूं।

कार्यक्रम में तीन मॉड्यूल होते हैं। AdmiLink एक ग्राफिकल विंडो है, जहाँ आप इच्छित एप्लिकेशन का शॉर्टकट बना सकते हैं (सिद्धांत रूप में, कुछ मामलों में, केवल यह पर्याप्त है)।

कार्यक्रम की मुख्य खिड़की।

सीधे शॉर्टकट बनाने के लिए (और हां, UAC अनुरोध भी दबाया जा सकता है), सुरक्षा नीतियों के लिए कैलकुलेटर, टर्मिनल और सुविधाजनक सेटिंग्स जैसे अतिरिक्त कार्य हैं। कार्यक्रम की सभी विशेषताओं के साथ, पाठक को स्वतंत्र रूप से इसका पता लगाने के लिए आमंत्रित किया जाता है।

दूसरे मॉड्यूल को AdmiRun कहा जाता है और यह एक कंसोल यूटिलिटी है। वह जानती है कि एडमीलिंक के माध्यम से बनाए गए स्ट्रिंग में से एक पैरामीटर के रूप में प्राप्त करते हुए, प्रशासक की ओर से आवेदन कैसे चलाना है। उपयोगकर्ता नाम और पासवर्ड को लाइन में एन्क्रिप्ट किया गया है, और प्रोग्राम के लिए पथ भी शामिल है।

पहली नज़र में, सब कुछ सुरक्षित दिखता है, लेकिन, दुर्भाग्य से, प्रोग्राम कोड बंद है, और आप डेवलपर पर कितना भरोसा कर सकते हैं यह एक सवाल है।

तीसरा मॉड्यूल - AdmiLaunch - अलग-अलग मोड में विंडोज़ लॉन्च करने के लिए जिम्मेदार है, और यदि आप AdmiLink के माध्यम से शॉर्टकट बनाते हैं तो AdmiRun लॉन्च करने के लिए इसका उपयोग किया जाता है।

सामान्य तौर पर, समाधान को घरेलू सिस्टम प्रशासकों के वर्षों और पीढ़ियों पर परीक्षण किया गया है। लेकिन मैं विदेश से एक विकल्प जोड़ूंगा।

RunAsRob जर्मन डेवलपर ओलिवर हेसिंग द्वारा लिखी गई बहुत ही रोचक सॉफ्टवेयर है। AdmiLink के विपरीत, सॉफ़्टवेयर को एक विशेषाधिकार प्राप्त खाते (व्यवस्थापक या सिस्टम) के तहत चलने वाली सेवा के रूप में स्थापित किया गया है। नतीजतन, तैयार शॉर्टकट सेवा को संदर्भित करता है, जो पहले से ही निर्दिष्ट सॉफ़्टवेयर लॉन्च करता है।

कार्यक्रम की एक विशेषता यह है कि यह न केवल कार्यक्रमों को अधिकृत करना संभव है, बल्कि फ़ोल्डर्स (नेटवर्क फ़ोल्डर्स सहित) भी है। और रजिस्ट्री में सेटिंग्स को संग्रहीत करने से समूह नीति टेम्पलेट जोड़ना संभव हो गया, जैसा कि हमने लेख " डाइविंग इन टेम्प्लेट्स और टैमिंग विंडोज जीपीओ " में लिखा था। इसके लिए धन्यवाद, यदि आवश्यक हो, तो सेटिंग्स सीधे सक्रिय निर्देशिका से लागू की जा सकती हैं।

कार्यक्रम की मुख्य खिड़की।

कार्यक्रम आधिकारिक वेबसाइट पर बड़े पैमाने पर प्रलेखित है।

इस लेखक के पास एक RunAsSpc कार्यक्रम भी है जो आपको किसी अन्य उपयोगकर्ता के अधिकारों के तहत निष्पादन योग्य फ़ाइलों को चलाने की अनुमति देता है, एक एन्क्रिप्टेड फ़ाइल के माध्यम से क्रेडेंशियल्स को स्थानांतरित करता है।

मैं केवल यह जोड़ सकता हूं कि यह सॉफ्टवेयर केवल व्यक्तिगत उपयोग के लिए मुफ्त है।

लेकिन ध्यान रखें कि प्रशासनिक अधिकारों के तहत चल रहे एक कार्यक्रम से, आप शरारत कर सकते हैं। उदाहरण के लिए, फ़ाइल - ओपन डायलॉग के माध्यम से एक विशेषाधिकारित कमांड कंसोल लॉन्च करें।

सीधे cmd.exe को रजिस्ट्री संपादक से चलाएँ।

संदर्भ मेनू और अन्य कार्य प्रबंधकों को निषिद्ध करने के लिए नीतियां, जिनमें से कुछ AdmiLink को कॉन्फ़िगर कर सकते हैं, खुद को थोड़ा बचाने में मदद करेंगे। लेकिन किसी भी मामले में, आपको सावधान रहना चाहिए।

क्या आपने कभी अजीब बैसाखी बनाई है? मैं टिप्पणियों में कहानियों को साझा करने का सुझाव देता हूं।