Qual é a maneira mais segura de excluir arquivos e pastas do “Trusted Installer”? Win7

Question

Existem muitos tutoriais sobre como desperdiçar as permissões, ou assumir permissões, e até mesmo remover a permissão para o "instalador confiável". A maioria dos tutoriais pode ter sérias ramificações.

Se uma pessoa quiser remover um único item de arquivo ou pasta, isso será de propriedade do "instalador confiável". Ao mesmo tempo, a pessoa não deseja fazer alterações além da remoção desse item.

Se uma pessoa quiser fazer isso em 1 clique, em vez de 10. Isso é feito dentro da GUI do sistema operacional e não no prompt de comando, se a pessoa era Admin. A inicialização em um sistema operacional Unix / Linux não é de 1 clique :-) Nenhum sistema operacional Linux existe no cenário.

Qual você achou ser a maneira mais rápida de remover um item autorizado "instalador confiável", sem fazer alterações além daquelas, que têm ramificações além da remoção do item?

Entende-se que a remoção do item em si não é considerada "segura" ou que sua remoção não tem ramificações. Essa não é a questão.

Exemplo de item para referência e teste: esta pasta C: \ Windows \ System32 \ zh-CN

    

Answer 1

Eu encontrei um "Take Ownership" personalizado que você pode instalar. Isso é para o XP, mas também deve funcionar para o W7. Você pode definir um ponto de restauração manual antes de aplicar essa alteração.

A entrada do menu de contexto "Obter propriedade" é, na verdade, três comandos separados. Primeiro, ele abre uma janela do Prompt de Comando usando o cmd.exe e, em seguida, executa o takeown.exe para apropriar-se do item em que você clica e, se for uma pasta, também assume a propriedade dos arquivos e das subpastas. Se isso for bem-sucedido (e somente se for bem-sucedido), ele executará o icacls.exe para conceder a permissão Controle Total do Grupo de Administradores, também feito recursivamente se for uma pasta. Se takeown.exe falhar, você não deseja executar o icacls.exe, pois ele provavelmente também falhará, mas em alguns casos raros, o takeown.exe pode retornar um erro, mesmo que tenha sido bem-sucedido. Portanto, o icacls.exe nunca é executado, portanto as permissões nunca se aplica. Além disso, a maneira como ele é configurado depende da variável PATH do sistema para localizar cmd.exe, takeown.exe e icacls.exe. Se algum deles não puder ser encontrado, ele falhará, mas o usuário poderá ter nenhuma indicação de que não funcionou. E a extensão .exe não é especificada em takeown ou icacls, portanto, o malware pode substituir facilmente esses comandos por um arquivo batchscript localizado em outra pasta encontrada anteriormente no caminho e pode levar o usuário a clicar em OK em um prompt do UAC que executará malware em vez da opção Take Ownership, eles acham que estão em execução.

Eu encontrei uma versão melhor 2 que especifica o caminho completo para o arquivo usando a variável Systemroot e usa o nome completo do arquivo incluindo a extensão.

Abra um arquivo de texto vazio e copie o texto abaixo nele, salve-o e mude a extensão do arquivo para .reg, clique com o botão direito e selecione merge.

Windows Registry Editor Version 5.00

[HKEY_CLASSES_ROOT*\shell\runas\command] @=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,\ 00,74,00,25,00,5c,00,53,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,\ 63,00,6d,00,64,00,2e,00,65,00,78,00,65,00,20,00,2f,00,63,00,25,00,53,00,79,\ 00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,74,00,25,00,5c,00,53,00,79,00,\ 73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,20,00,74,00,61,00,6b,00,65,00,6f,\ 00,77,00,6e,00,2e,00,65,00,78,00,65,00,20,00,2f,00,66,00,20,00,22,00,25,00,\ 31,00,22,00,20,00,26,00,26,00,20,00,25,00,53,00,79,00,73,00,74,00,65,00,6d,\ 00,52,00,6f,00,6f,00,74,00,25,00,5c,00,53,00,79,00,73,00,74,00,65,00,6d,00,\ 33,00,32,00,5c,00,69,00,63,00,61,00,63,00,6c,00,73,00,2e,00,65,00,78,00,65,\ 00,20,00,22,00,25,00,31,00,22,00,20,00,2f,00,67,00,72,00,61,00,6e,00,74,00,\ 20,00,61,00,64,00,6d,00,69,00,6e,00,69,00,73,00,74,00,72,00,61,00,74,00,6f,\ 00,72,00,73,00,3a,00,46,00,00,00

"IsolatedCommand"=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,\ 00,74,00,25,00,5c,00,53,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,\ 63,00,6d,00,64,00,2e,00,65,00,78,00,65,00,20,00,2f,00,63,00,25,00,53,00,79,\ 00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,74,00,25,00,5c,00,53,00,79,00,\ 73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,20,00,74,00,61,00,6b,00,65,00,6f,\ 00,77,00,6e,00,2e,00,65,00,78,00,65,00,20,00,2f,00,66,00,20,00,22,00,25,00,\ 31,00,22,00,20,00,26,00,26,00,20,00,25,00,53,00,79,00,73,00,74,00,65,00,6d,\ 00,52,00,6f,00,6f,00,74,00,25,00,5c,00,53,00,79,00,73,00,74,00,65,00,6d,00,\ 33,00,32,00,5c,00,69,00,63,00,61,00,63,00,6c,00,73,00,2e,00,65,00,78,00,65,\ 00,20,00,22,00,25,00,31,00,22,00,20,00,2f,00,67,00,72,00,61,00,6e,00,74,00,\ 20,00,61,00,64,00,6d,00,69,00,6e,00,69,00,73,00,74,00,72,00,61,00,74,00,6f,\ 00,72,00,73,00,3a,00,46,00,00,00

[HKEY_CLASSES_ROOT\Directory\shell\runas\command] @=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,\ 00,74,00,25,00,5c,00,53,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,\ 63,00,6d,00,64,00,2e,00,65,00,78,00,65,00,20,00,2f,00,63,00,20,00,25,00,53,\ 00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,74,00,25,00,5c,00,53,00,\ 79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,74,00,61,00,6b,00,65,00,6f,\ 00,77,00,6e,00,2e,00,65,00,78,00,65,00,20,00,2f,00,66,00,20,00,22,00,25,00,\ 31,00,22,00,20,00,2f,00,72,00,20,00,2f,00,64,00,20,00,79,00,20,00,26,00,26,\ 00,20,00,25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,74,00,\ 25,00,5c,00,53,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,69,00,63,\ 00,61,00,63,00,6c,00,73,00,2e,00,65,00,78,00,65,00,20,00,22,00,25,00,31,00,\ 22,00,20,00,2f,00,67,00,72,00,61,00,6e,00,74,00,20,00,61,00,64,00,6d,00,69,\ 00,6e,00,69,00,73,00,74,00,72,00,61,00,74,00,6f,00,72,00,73,00,3a,00,46,00,\ 20,00,2f,00,74,00,00,00

"IsolatedCommand"=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,\ 00,74,00,25,00,5c,00,53,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,\ 63,00,6d,00,64,00,2e,00,65,00,78,00,65,00,20,00,2f,00,63,00,20,00,25,00,53,\ 00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,74,00,25,00,5c,00,53,00,\ 79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,74,00,61,00,6b,00,65,00,6f,\ 00,77,00,6e,00,2e,00,65,00,78,00,65,00,20,00,2f,00,66,00,20,00,22,00,25,00,\ 31,00,22,00,20,00,2f,00,72,00,20,00,2f,00,64,00,20,00,79,00,20,00,26,00,26,\ 00,20,00,25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,74,00,\ 25,00,5c,00,53,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,69,00,63,\ 00,61,00,63,00,6c,00,73,00,2e,00,65,00,78,00,65,00,20,00,22,00,25,00,31,00,\ 22,00,20,00,2f,00,67,00,72,00,61,00,6e,00,74,00,20,00,61,00,64,00,6d,00,69,\ 00,6e,00,69,00,73,00,74,00,72,00,61,00,74,00,6f,00,72,00,73,00,3a,00,46,00,\ 20,00,2f,00,74,00,00,00

Fonte de informação

    

Answer 2

Alguns anos atrasado, mas aqui está um exemplo prático do comando Take Ownership, incluímos o Well SID bem conhecido e seguro em vários idiomas. (S-1-5-32-544) do grupo Administradores para impedir a falha do comando icacls em localidades não inglesas.

Windows Registry Editor Version 5.00

[HKEY_CLASSES_ROOT\*\shell\runas]
@="Take Ownership"
"NoWorkingDirectory"=""

[HKEY_CLASSES_ROOT\*\shell\runas\command]
@="cmd.exe /c takeown /f \"%1\" && icacls \"%1\" /grant *S-1-5-32-544:F"
"IsolatedCommand"="cmd.exe /c takeown /f \"%1\" && icacls \"%1\" /grant *S-1-5-32-544:F"

[HKEY_CLASSES_ROOT\Directory\shell\runas]
@="Take Ownership"
"NoWorkingDirectory"=""

[HKEY_CLASSES_ROOT\Directory\shell\runas\command]
@="cmd.exe /c takeown /f \"%1\" /r /d y && icacls \"%1\" /grant *S-1-5-32-544:F /t"
"IsolatedCommand"="cmd.exe /c takeown /f \"%1\" /r /d y && icacls \"%1\" /grant *S-1-5-32-544:F /t"