bcdedit per Batch-Datei ausführen

Ich habe XP und Vista auf einem Rechner installiert. Zur einfachen Änderung
des Default-Eintrages im Bootmenu habe ich mir folgende Batchdatei
erstellt:

c:\windows\system32\bcdedit.exe /default {VISTA-GUID}
f:\windows\system32\shutdown.exe -r -t 03

C: ist die Vista-Partition, auf F: ist XP installiert.
Dadurch wird Vista als Default Start BS ausgewählt und der Rechner neu
gestartet. Diese Batch-Datei unter XP ausgeführt funktioniert prächtig.

Für Vista habe ich folgende Batchdatei:
c:\windows\system32\bcdedit.exe /default {XP-GUID}
c:\windows\system32\shutdown.exe -r -t 03

Dies unter Vista ausgeführt, sollte eigentlich der Rechner neu mit XP
starten.
Das mit dem Neustart funktioniert auch, allerdings wird die Default-GUID
nicht geändert, so daß erneut Vista startet. Anscheinend scheitert bcdedit
an der Vista UAC.
Wie schaffe ich es nun, daß ein normaler User ohne Admin-Rechten eine
Verknüpfung auf diese Batchdatei ausführt und die Befehle ohne weitere
Eingabe ausgeführt werden?

Gruß Patrick

Patrick Denke schrieb:

> Ich habe XP und Vista auf einem Rechner installiert. Zur einfachen Änderung
> des Default-Eintrages im Bootmenu habe ich mir folgende Batchdatei
> erstellt:
>
> c:\windows\system32\bcdedit.exe /default {VISTA-GUID}
> f:\windows\system32\shutdown.exe -r -t 03
>
> [...]
>
> Dies unter Vista ausgeführt, sollte eigentlich der Rechner neu mit XP
> starten.
> Das mit dem Neustart funktioniert auch, allerdings wird die Default-GUID
> nicht geändert, so daß erneut Vista startet. Anscheinend scheitert bcdedit
> an der Vista UAC.
> Wie schaffe ich es nun, daß ein normaler User ohne Admin-Rechten eine
> Verknüpfung auf diese Batchdatei ausführt und die Befehle ohne weitere
> Eingabe ausgeführt werden?

Gar nicht.
bcdedit.exe ist nur durch einen Administrator aufrufbar.
Du kannst zwar per Skript UAC triggern (Google hilft hier), aber sofern der
Nutzer nicht in der Gruppe "Administratoren" ist oder ein Admin-Kennwort
kennt, hat er keine Chance.


--
Grüße,
Thomas

Am Mon, 4 Aug 2008 11:32:48 +0200 schrieb Thomas D.:

> Patrick Denke schrieb:
>
>> Ich habe XP und Vista auf einem Rechner installiert. Zur einfachen Änderung
>> des Default-Eintrages im Bootmenu habe ich mir folgende Batchdatei
>> erstellt:
>>
>> c:\windows\system32\bcdedit.exe /default {VISTA-GUID}
>> f:\windows\system32\shutdown.exe -r -t 03
>>
>> [...]
>>
>> Dies unter Vista ausgeführt, sollte eigentlich der Rechner neu mit XP
>> starten.
>> Das mit dem Neustart funktioniert auch, allerdings wird die Default-GUID
>> nicht geändert, so daß erneut Vista startet. Anscheinend scheitert bcdedit
>> an der Vista UAC.
>> Wie schaffe ich es nun, daß ein normaler User ohne Admin-Rechten eine
>> Verknüpfung auf diese Batchdatei ausführt und die Befehle ohne weitere
>> Eingabe ausgeführt werden?
>
> Gar nicht.
> bcdedit.exe ist nur durch einen Administrator aufrufbar.
> Du kannst zwar per Skript UAC triggern (Google hilft hier), aber sofern der
> Nutzer nicht in der Gruppe "Administratoren" ist oder ein Admin-Kennwort
> kennt, hat er keine Chance.

Du meinst über die Aufgabenplanung? Wäre eine Möglichkeit und der Admin
könnte das Passwort voreinstellen. Aber kann man denn dort den Trigger so
einstellen, daß der Task, z.B. durch Doppelklick auf eine Verknüpfung auf
dem Desktop, ausgelöst wird?

Gruß Patrick

Am
> Du meinst über die Aufgabenplanung? Wäre eine Möglichkeit und der Admin
> könnte das Passwort voreinstellen. Aber kann man denn dort den Trigger so
> einstellen, daß der Task, z.B. durch Doppelklick auf eine Verknüpfung auf
> dem Desktop, ausgelöst wird?
>
>
Hab's gefunden.
Einfach einen Task so erstellen, daß er mit höchsten Privilegien meine
Batchdatei ausführt. Die Triggeroption läßt man leer.
Dann kann man den Taskplaner direkt aufrufen und den Taskname als Parameter
übergeben. Z.B. so: 'F:\Windows\System32\schtasks.exe /RUN /TN "BootXP".
BootXP ist mein Taskname. Es kommt hier keine UAC Abfrage mehr!
Von hinten durch die Brust ins Auge, aber es funktioniert.
Auf selben Wege kann man jedes Programm an der UAC vorbei mit Admin-Rechten
ausführen.

Gruß Patrick

Patrick Denke schrieb:

>> Du meinst über die Aufgabenplanung?

Nein, daran dachte ich jetzt nicht.


> Von hinten durch die Brust ins Auge, aber es funktioniert.
> Auf selben Wege kann man jedes Programm an der UAC vorbei mit Admin-Rechten
> ausführen.

Sorge dafür das die hinterlegte Batchdatei nicht durch jeden Nutzer
verändert werden kann. Eigentlich sollten nur System und wenn überhaupt
Administratoren darauf zugriff haben.

Andernfalls kann ein Nutzer deines Systems dort seinen Code eintragen und
zur Ausführung bringen.


--
Grüße,
Thomas

Am Mon, 4 Aug 2008 19:02:07 +0200 schrieb Thomas D.:

> Patrick Denke schrieb:
>
>>> Du meinst über die Aufgabenplanung?
>
> Nein, daran dachte ich jetzt nicht.
Woran dann? Google mit den Stichwörtern 'Trigger' und 'Vista' bestückt gibt
hauptsächlich die Aufgabenplanung aus.

>
> Sorge dafür das die hinterlegte Batchdatei nicht durch jeden Nutzer
> verändert werden kann. Eigentlich sollten nur System und wenn überhaupt
> Administratoren darauf zugriff haben.
>
> Andernfalls kann ein Nutzer deines Systems dort seinen Code eintragen und
> zur Ausführung bringen.
Na ja, ist in diesem Fall ist es mein privater PC. Meine Frau möchte halt
weiterhin unter XP arbeiten und dafür mit einem Mausklick von Vista aus XP
starten. Durch mein SATA-Raid- und SCSI-Bios dauert der Start bis zur
Auswahl des BS sehr lange, daher ist es schon verständlich, nicht so lange
den Start beobachten zu wollen, bis die BS-Auswahlliste erscheint.
Bei mir ist es so, daß ich viel unterwegs bin und möchte dann halt per
Remote-Zugriff beide BS einfach verwalten und neustarten können.
Ein Sicherheitsproblem durch Einschleusen von Schadcode durch meine Frau
sehe ich hier nicht.

Gruß Patrick

Patrick Denke:

>>>> Du meinst über die Aufgabenplanung?
>> Nein, daran dachte ich jetzt nicht.

> Woran dann? Google mit den Stichwörtern 'Trigger' und 'Vista' bestückt gibt
> hauptsächlich die Aufgabenplanung aus.

Man könnte UAC auch dadurch umgehen, dass man das Skript per WSH
mit administrativen Rechten laufen ließe. Der Vorteil wäre, dass das
Skript aus eigener Kraft lauffähig wäre, keinen eingerichteten Task
in der Aufgabenplanung benötigte.

hpm

Hans-Peter Matthess schrieb:

> Man könnte UAC auch dadurch umgehen, dass man das Skript per WSH
> mit administrativen Rechten laufen ließe. Der Vorteil wäre, dass das
> Skript aus eigener Kraft lauffähig wäre, keinen eingerichteten Task
> in der Aufgabenplanung benötigte.

Wie willst du das anstellen?
Wenn der Benutzer kein Administrator ist, dann würde die Anwendung
lediglich nach entsprechenden Credentials fragen (sofern die Nachfrage
nicht abgestellt wurde). Da der Nutzer diese Frage nicht beantworten kann,
war es das.

Die Credentials in einem Skript zu speichern, halte ich für grob
fahrlässig.


> Patrick Denke schrieb:
>>> Du meinst über die Aufgabenplanung?
>>
>> Nein, daran dachte ich jetzt nicht.
>
> Woran dann? Google mit den Stichwörtern 'Trigger' und 'Vista' bestückt
> gibt hauptsächlich die Aufgabenplanung aus.

Ähnlich wie Hans-Peter an eine Skript-Lösung. Du kannst auch mit einem
simplen Batch-Skript einen Prozess erhöhen (=UAC triggern). Aber wie bei
seiner Lösung über WSH bliebe das Problem, dass der Nutzer die Nachfrage
wohl nicht beantworten könnte und man die Daten nicht fest ins Skript
einprogrammieren sollte...


Ergo:
Wenn nur du die Kiste bdienst bzw. alle Nutzer über Administratoren-Rechte
verfügen, kannst du das auch per Skript realisieren. Andernfalls, wenn es
auch unter "Benutzern" laufen soll, die keine
Administratoren-Berechtigungen kennen, nur der Umweg über den Taskplaner.


--
Grüße,
Thomas

Thomas D.:

>> Man könnte UAC auch dadurch umgehen, dass man das Skript per WSH
>> mit administrativen Rechten laufen ließe. Der Vorteil wäre, dass das
>> Skript aus eigener Kraft lauffähig wäre, keinen eingerichteten Task
>> in der Aufgabenplanung benötigte.

> Wie willst du das anstellen?

Siehe unten.

> Wenn der Benutzer kein Administrator ist, dann würde die Anwendung
> lediglich nach entsprechenden Credentials fragen (sofern die Nachfrage
> nicht abgestellt wurde). Da der Nutzer diese Frage nicht beantworten kann,
> war es das.

Die werden natürlich vom Skript übergeben.

> Die Credentials in einem Skript zu speichern, halte ich für grob
> fahrlässig.

Man könnte das Skript mit dem Skript-Enkoder verwursten und als VBE
speichern. Wenn Benutzer auf den Gedanken kommen sollte, da mal rein zu
schauen, sähe er dann zunächst mal nur Datenschrott und weitere Neugier
wäre in der Regel gestorben.
Es wäre halt abzuschätzen, ob das genügen könnte. Ich kenne ne Menge
Benutzer, bei denen das bombensicher wäre. ;-)

hpm