Menos privilégios - execute o cmd como usuário 'padrão', a partir de uma conta privilegiada, sem senha

Question

Esta questão é como executar com menos privilégios. Isso é não (realmente) sobre a execução com privilégios elevados.

Primeiro, deixe-me esclarecer algumas coisas sobre o entendimento geral dos privilégios da conta do Windows 7.

Todo sistema operacional Windows 7 deve ter pelo menos um usuário e pelo menos um usuário Administrador.

Portanto, a primeira (e muitas vezes única) conta no Windows 7 é o administrador, embora haja outro usuário separado do Windows 7 chamado 'Administrador', que pode ser ativado manualmente, assim que a conta inicial é configurada - isso conta é o verdadeiro 'Administrador' que não pode ser afetado por coisas como por exemplo UAC.

O UAC é (principalmente) um mecanismo para alertar um usuário de que um programa está tentando acessar algum recurso seguro e oferece a oportunidade de validar o procedimento inserindo um nome de usuário / senha. Isso fornece aos usuários um melhor conjunto de opções de segurança, pois eles podem autorizar tudo o que precisam para si mesmos em seus dispositivos pessoais, mas eles também não fazem nada de errado com o computador (a menos que eles o permitam, é claro).

Agora, quando esse usuário tentar executar um prompt do cmd, observei que, a menos que o usuário execute especificamente, por exemplo,

runas / user: myonlywindowsuser cmd

Este prompt do cmd não carrega o perfil do usuário (padrão).

Dado o que eu disse acima, não parece fazer muito sentido que um perfil de usuário não esteja disponível para um prompt de comando. No entanto, isso é o que parece ser o caso. Minha pergunta é a seguinte:

• Há algo faltando aqui? Isso é realmente possível? Sem usar uma senha e sem configurar várias contas - eu não considero runas uma resposta realista, já que o usuário já se autenticou e está pedindo nada mais do que acesso a coisas que eles já não precisam consultar o UAC. / li>
• Existe alguma outra arquitetura de segurança do Windows 7 que está faltando e que, de fato, permite isso, mas de uma maneira totalmente diferente?

Eu vou dizer que estou mais confortável com o conceito de espaços de segurança do usuário, então talvez esse problema seja causado pela maneira como o Windows lida com toda a segurança em primeiro lugar?

Nota: estou ciente da seguinte questão: Comando para executar uma aplicação com privilégios de Administrador, mas NÃO como administrador (prompt com UAC)

E eu tentei sua sugestão e encontrei um sucesso limitado - a aba de compatibilidade parece ter desaparecido para links simbólicos, e por isso não é melhor do que simplesmente clicar com o botão direito e "executar como administrador". O que, mais confusamente, funciona de todo. Como pergunta final, então:

• Como isso faz algum sentido? Tenho acesso a mais perfil não privilegiado quando levanto o console? O que? Isso é apenas um bug permanente?

Answer 1

Acho que pode haver algum engano com o modo como o UAC do Windows lida com o acesso de administrador.

Você tem sua conta de usuário, UserA e uma conta Administrator . Ambos são considerados contas "privilegiadas" e ganham permissões administrativas por estarem no grupo Administrator .

Quando UserA inicia um processo, a chamada para criar o processo recebe um token de segurança que indica se esse processo deve ser criado normalmente , ou se deve ser elevado . Um processo elevado fará com que o prompt do UAC apareça e se comportará como se fosse parte do grupo Administrators . Um processo não elevado se comportará como se tivesse todos os direitos e permissões do usuário, exceto aqueles concedidos pelo grupo Administrators .

Quando você marca um processo para ser executado no modo de administrador (através da aba compatibilidade, ou com Shift + Clique com o botão direito do mouse , ele é executado como seu usuário ( UserA ) no modo elevado.

Isso é diferente de

runas /User:Administrator

que executa o processo não como seu usuário, mas como o usuário Administrator , um perfil de usuário completamente diferente.

Supondo que você esteja usando uma conta privilegiada no momento (conta de usuário que foi adicionada ao grupo Administrators ):

Quando você inicia normalmente cmd ( Windows + R , cmd , Enter ), ele é iniciado como não elevado processo sob sua conta de usuário. Ele deve ter seu perfil de usuário carregado, mas se comportar como se não fosse um membro do grupo Administrators . Eu acho que isso é o que você está pedindo, mas não tenho certeza.

Se você iniciar o cmd criando um atalho (não um symlink) e selecionando "Executar como administrador" nas opções de compatibilidade, ou Shift-Right-Click e "Executar como administrador", ele ainda será gerado sua conta de usuário com seu perfil, mas no modo elevado, que terá acesso total ao sistema.

Dado isso, você pode esclarecer o que exatamente você está tentando alcançar? Basta clicar no seu prompt de comando para fazer com que ele seja executado com menos privilégios por padrão.