Windows 7: Frage zu runas.exe (runas als administrator)

Hi,


Ich starte meinprogramm.exe als administrator


jetzt oeffne ich ein cmd fenster als nicht privilegierter user und
versuche das kommando zu finden, das diesen task killen kann


runas /userrivilegierteruser "taskkill /f /im meinprogramm.exe"
klappt nicht, da ich dann zwar ein privilegierter user bin aber eben
noch nicht zum admin gepushed wurde



Was mir auch nicht ganz klar ist ist die option
/trustlevel

da kann man ja angeblich einen trustlevel setzen.

Mein Problem ist nur, dass mir

runas /showtrustlevels

als einzige Antwort "0x20000" (Standard Benutzer oder so)
ausspuckt ich also nicht enorm viel Auswahl habe

Kann ich/muss ich trustlevels irgendwo aktivieren?


bye



N

Hallo Noname,

> Ich starte meinprogramm.exe als administrator

soweit nicht ungewöhnlich.

> jetzt oeffne ich ein cmd fenster als nicht privilegierter user und
> versuche das kommando zu finden, das diesen task killen kann

Welcher Task soll jetzt "dieser" sein, der des Programms oder
der des CMD Fensters?

> runas /userrivilegierteruser "taskkill /f /im meinprogramm.exe"
> klappt nicht, da ich dann zwar ein privilegierter user bin aber eben
> noch nicht zum admin gepushed wurde

Also in der Exe hast du schon Möglichkeiten, dass diese
als "richtiger" Administrator ausgeführt wird. Wie das
geht hängt von der Programmiersprache ab mit der
du die Exe geschrieben hast.

> Was mir auch nicht ganz klar ist ist die option
> /trustlevel

Siehe MSDN z.B.

> da kann man ja angeblich einen trustlevel setzen.
> Mein Problem ist nur, dass mir

> runas /showtrustlevels

> als einzige Antwort "0x20000" (Standard Benutzer oder so)
> ausspuckt ich also nicht enorm viel Auswahl habe

"Oder so" ist natürlich keine aussagekräftige Fehlermeldung.

> Kann ich/muss ich trustlevels irgendwo aktivieren?

Du mußt dein Programm so programmieren, dass es halt
entweder von "zu Hause" "elevated" wird oder halt damit
leben, dass der User da die UAC bekommt / bestätigen
muss oder halt richtigerweise keine Rechte hat.

was macht denn dein Programm dass es unbedingt
Adminrechte braucht?

Gruß,
Frank

Frank Müller wrote:
> Hallo Noname,
>
>> Ich starte meinprogramm.exe als administrator
>
> soweit nicht ungewöhnlich.
>
>> jetzt oeffne ich ein cmd fenster als nicht privilegierter user und
>> versuche das kommando zu finden, das diesen task killen kann
>
> Welcher Task soll jetzt "dieser" sein, der des Programms oder
> der des CMD Fensters?

meinprogramm.exe (als admin gestartet)
>
>> runas /userrivilegierteruser "taskkill /f /im meinprogramm.exe"
>> klappt nicht, da ich dann zwar ein privilegierter user bin aber eben
>> noch nicht zum admin gepushed wurde
>
> Also in der Exe hast du schon Möglichkeiten, dass diese
> als "richtiger" Administrator ausgeführt wird. Wie das
> geht hängt von der Programmiersprache ab mit der
> du die Exe geschrieben hast.

wollte meinprogramm.exe eigentlich von einenm .bat file aus killen.
kann aber auch C#, powershell oder C sein.

Wie du im Biespiel siehst will ich ja eigentlich nur taskkill /f /im
aufrufen.

>
>> Was mir auch nicht ganz klar ist ist die option
>> /trustlevel
>
> Siehe MSDN z.B.
was mir nicht klar ist ist, wieso ich nur einen trustlevel gelisted bekomme.
>
>> da kann man ja angeblich einen trustlevel setzen.
>> Mein Problem ist nur, dass mir
>
>> runas /showtrustlevels
>
>> als einzige Antwort "0x20000" (Standard Benutzer oder so)
>> ausspuckt ich also nicht enorm viel Auswahl habe
>
> "Oder so" ist natürlich keine aussagekräftige Fehlermeldung.
hab kein detusches Windows und wollte euch mit dem franzoesischen text
nicht langweilen.

Der output von "runas /showtrustlevels" ist:
0x20000 (Utilisateur standard)

>
>> Kann ich/muss ich trustlevels irgendwo aktivieren?
>
> Du mußt dein Programm so programmieren, dass es halt
> entweder von "zu Hause" "elevated" wird oder halt damit
> leben, dass der User da die UAC bekommt / bestätigen
> muss oder halt richtigerweise keine Rechte hat.
>
> was macht denn dein Programm dass es unbedingt
> Adminrechte braucht?
ein programm killen, das ihm nicht dem momentanen user gehoert, wie im
Beispiel oben angegeben. ( taskkill /f )

Hab ein setup in dem einige Prozesse privilegiert gestarted wurden, der
Grossteil aber in der session eines Normalusers laeuft.

Zum debuggen wuerde ich aber gerne alle diese privilegerten Programme
mit einem Klick killen und neustarten koennen, ohne dass ich den desktop
und die session des einfachen users verlassen muss.


bye



N

News123:


> Ich starte meinprogramm.exe als administrator
> jetzt oeffne ich ein cmd fenster als nicht privilegierter user und
> versuche das kommando zu finden, das diesen task killen kann
> runas /userrivilegierteruser "taskkill /f /im meinprogramm.exe"
> klappt nicht, da ich dann zwar ein privilegierter user bin aber eben
> noch nicht zum admin gepushed wurde

Der Befehl hat dann Integrity Level Medium und kann das Programm
natürlich nicht beenden, da das Programm auf ja auf IL = "High" läuft.
Also den Batch mit erhöhten Rechten laufen lassen, dann funktioniert
taskkill.

hpm

Hans-Peter Matthess:

> Also den Batch mit erhöhten Rechten laufen lassen, dann funktioniert
> taskkill.

Ich würde das unter Verwendung des Kontos "Administrator" mit "runas"
über den WSH machen.

hpm

Hans-Peter Matthess wrote:
> Hans-Peter Matthess:
>
>> Also den Batch mit erhöhten Rechten laufen lassen, dann funktioniert
>> taskkill.
>
> Ich würde das unter Verwendung des Kontos "Administrator" mit "runas"
> über den WSH machen.

Sorry bin noch relativ neu in Windowsland. Meinst du mit WSH (
Windows_Script_Host )?

Kenn ich nicht, muss mich noch einlesen.


Also im Endeffekt such ich sowas wie Unix suid executables.

der administrator erzeugt ein .bat das mit erhoehten Privilegien laeuft.

Der Dummuser kann dieses .bat oder .exe starten und muss kein passwort
eingeben.
Idealerweise sollten bei Bedarf auch graphische elemente angezeigt werden.


N

Hab jetzt mit all euren Antworten eine (wharscheinlich ziemlich
unelegante)_ Loesung gefunden:

Ziel war:
ein nicht privilegierter benutzer kann ohne passworteingabe ein script
aufrufen das administratorprivilegien hat.
(Beispiel: myprog.exe das als administrator gestarted wurde killen)


Loesung (noch nicht optimiert):

1.) Erzeugen eines .bat, dass als Administrator laufen soll (ich hab
diese Datei als privilegierter Benutzer erstellt)

killmp.bat
@echo off
taskkill /f /im myprog.exe

2.) Erzeugen eines link auf dieses .bat, den ich killmp.bat.lnk nenne

3.) Unter Properties "Als Administrator laufen lassen" einstellen

4.) ein wrapper .bat mit dem namen reallykillmp.bat erzeugen

reallykillmp.bat
@echo off
runas /userrivilegierter /savecred "c:\windows\system32\cmd.exe /c
c:\tmp\killmp.bat.lnk"


5.) Das Programm laufen lassen und das Passwort einmal eingeben

Nun kann ich das .bat starten und muss kein Passwort eingeben.
Einziger Wermutstropfen: Ich muss noch einml bestaetigen, dass ich ein
privilegiertes Kommando laufen lassen will.


Ich bin fuer jeden Tipp das ganze noch etwas eleganter zu gestalten dankbar



bye


N



Hans-Peter Matthess wrote:
> Hans-Peter Matthess:
>
>> Also den Batch mit erhöhten Rechten laufen lassen, dann funktioniert
>> taskkill.
>
> Ich würde das unter Verwendung des Kontos "Administrator" mit "runas"
> über den WSH machen.
>
> hpm

News123 wrote:
> Hab jetzt mit all euren Antworten eine (wharscheinlich ziemlich
> unelegante)_ Loesung gefunden:
>
> Ziel war:
> ein nicht privilegierter benutzer kann ohne passworteingabe ein script
> aufrufen das administratorprivilegien hat.
> (Beispiel: myprog.exe das als administrator gestarted wurde killen)
>
>
> Loesung (noch nicht optimiert):
>
> 1.) Erzeugen eines .bat, dass als Administrator laufen soll (ich hab
> diese Datei als privilegierter Benutzer erstellt)
>
> killmp.bat
> @echo off
> taskkill /f /im myprog.exe
>
> 2.) Erzeugen eines link auf dieses .bat, den ich killmp.bat.lnk nenne
>
> 3.) Unter Properties "Als Administrator laufen lassen" einstellen
>
> 4.) ein wrapper .bat mit dem namen reallykillmp.bat erzeugen
>
> reallykillmp.bat
> @echo off
> runas /userrivilegierter /savecred "c:\windows\system32\cmd.exe /c
> c:\tmp\killmp.bat.lnk"
>
>
> 5.) Das Programm laufen lassen und das Passwort einmal eingeben
>
> Nun kann ich das .bat starten und muss kein Passwort eingeben.
> Einziger Wermutstropfen: Ich muss noch einml bestaetigen, dass ich ein
> privilegiertes Kommando laufen lassen will.
>


Was natuerlich nicht so toll ist, dass ich nach einen
runas mit /savecred jedes beliebige andere Programm auch als
administrator laufen lassen kann, da die credentials scheinbar nicht pro
befehl sondern einfach einmal 'global' gespeichert werden.


Ist fuer das was ich mache nicht wichtig, aber so richtig toll ist es nicht.


N

News123:

>>> Also den Batch mit erhöhten Rechten laufen lassen, dann funktioniert
>>> taskkill.

>> Ich würde das unter Verwendung des Kontos "Administrator" mit "runas"
>> über den WSH machen.

> Sorry bin noch relativ neu in Windowsland. Meinst du mit WSH (
> Windows_Script_Host )?

Ja

> Kenn ich nicht, muss mich noch einlesen.

Man kann das Skript damit im Kontext des Admin-Kontos laufen lassen
(welches natürlich aktiviert sein und ein Passwort haben muss) und im
Skript auch das Passwort mit übergeben. Das Skript ggf. verschlüsseln.
Oder man verwendet Fremd-Tools wie "Runasspc".

> Der Dummuser kann dieses .bat oder .exe starten und muss kein passwort
> eingeben.

Das wäre dann der Fall. Warum "Savecred" wenig schön wäre, hast du ja
selbst schon geschrieben.

hpm