Executando programas com direitos de administrador 'pré-permitidos' Windows [closed]

1

Estou trabalhando em um ambiente corporativo de alta segurança em uma máquina com Windows 8.

Eu não tenho privilégios de administrador, mas sou desenvolvedor.

Eu não vou entrar no absurdo disso. O curto é; existem certos programas para os quais preciso de direitos de administrador. Iniciar o XAMPP com o Apache é um deles, pois ele abre portas que requerem privilégios.

Existem maneiras no Windows 8 de eu configurar programas como o XAMPP para começar com privilégios de administrador pré-aprovados?

    
por Barney 17.04.2013 / 15:34

3 respostas

3

Existem duas abordagens.

  1. Desative o UAC. Uma abordagem de força contundente que se aplica globalmente ao sistema inteiro. Suboptimal de uma perspectiva geral de segurança.

  2. Inicie o aplicativo com outro executável que permita os privilégios de administrador que estão desabilitados por padrão. Você pode criar o seu próprio e usar algo como ProcessPrivileges para habilitar os privilégios desabilitados ou usar outra ferramenta como o psexec da SysInternals.

Vale a pena mencionar que executar um exe como uma tarefa agendada e especificar "Executar com privilégios mais altos" realiza a mesma coisa, mas você provavelmente não quer ficar confinado a executar isso como uma tarefa agendada. No entanto, essa seria uma abordagem útil para um administrador do sistema fornecer isso por aplicativo e conceder a outra pessoa permissão para executar a tarefa agendada, para que não precisem de privilégios excessivos.

Por exemplo:

psexec.exe -h yourprogram.exe

Ou você pode até executar o processo como sistema local:

psexec.exe -s yourprogram.exe

Ou execute o processo como sistema local, que pode interagir com a área de trabalho:

psexec.exe -s -i yourprogram.exe

Mais informações:

PsExec v1.98 - Execute processes remotely
Copyright (C) 2001-2010 Mark Russinovich
Sysinternals - www.sysinternals.com

PsExec executes a program on a remote system, where remotely executed console
applications execute interactively.

Usage: psexec [\computer[,computer2[,...] | @file]][-u user [-p psswd][-n s][-l][-s|-e][-x][-i [session]][-c [-f|-v]][-
w directory][-d][-<priority>][-a n,n,...] cmd [arguments]
     -a         Separate processors on which the application can run with
                commas where 1 is the lowest numbered CPU. For example,
                to run the application on CPU 2 and CPU 4, enter:
                "-a 2,4"
     -c         Copy the specified program to the remote system for
                execution. If you omit this option the application
                must be in the system path on the remote system.
     -d         Don't wait for process to terminate (non-interactive).
     -e         Does not load the specified account's profile.
     -f         Copy the specified program even if the file already
                exists on the remote system.
     -i         Run the program so that it interacts with the desktop of the
                specified session on the remote system. If no session is
                specified the process runs in the console session.
     -h         If the target system is Vista or higher, has the process
                run with the account's elevated token, if available.
     -l         Run process as limited user (strips the Administrators group
                and allows only privileges assigned to the Users group).
                On Windows Vista the process runs with Low Integrity.
     -n         Specifies timeout in seconds connecting to remote computers.
     -p         Specifies optional password for user name. If you omit this
                you will be prompted to enter a hidden password.
     -s         Run the remote process in the System account.
     -u         Specifies optional user name for login to remote
                computer.
     -v         Copy the specified file only if it has a higher version number
                or is newer on than the one on the remote system.
     -w         Set the working directory of the process (relative to
                remote computer).
     -x         Display the UI on the Winlogon secure desktop (local system
                only).
     -priority  Specifies -low, -belownormal, -abovenormal, -high or
                -realtime to run the process at a different priority. Use
                -background to run at low memory and I/O priority on Vista.
     computer   Direct PsExec to run the application on the remote
                computer or computers specified. If you omit the computer
                name PsExec runs the application on the local system,
                and if you specify a wildcard (\*), PsExec runs the
                command on all computers in the current domain.
     @file      PsExec will execute the command on each of the computers listed
                in the file.
     program    Name of application to execute.
     arguments  Arguments to pass (note that file paths must be
                absolute paths on the target system).

You can enclose applications that have spaces in their name with
quotation marks e.g. psexec \marklap "c:\long name app.exe".
Input is only passed to the remote system when you press the enter
key, and typing Ctrl-C terminates the remote process.

If you omit a user name the process will run in the context of your
account on the remote system, but will not have access to network
resources (because it is impersonating). Specify a valid user name
in the Domain\User syntax if the remote process requires access
to network resources or to run in a different account. Note that
the password is transmitted in clear text to the remote system.

Error codes returned by PsExec are specific to the applications you
execute, not PsExec.
    
por 17.04.2013 / 16:09
2

Eu tenho uma solução, mas depende de algumas coisas:

  1. Como a equipe de TI é experiente em tecnologia

  2. Se o que você está tentando executar pode ser chamado a partir de uma linha de comando

Basicamente, eles podem compilar um exe que chame o programa que você precisa executar, enquanto passa as credenciais necessárias para executar no modo elevado. .Net pode ser usado para isso e é bastante trivial. Como o exe é compilado (em vez de um script), as credenciais da conta usadas para executar o exe não estão em texto não criptografado.

    
por 17.04.2013 / 15:56
2

Não, você não pode fazer isso. Ou, mais precisamente, você não deveria fazer isso. A maioria das pessoas neste site é o departamento de TI e, como tal, não está realmente interessada em discutir formas de contornar os regulamentos e controles do seu departamento de TI. Seu departamento de TI não quer que você tenha acesso de administrador ou eles teriam dado a você.

Tente passar pelos canais apropriados (por exemplo, fale com seus administradores) e explique a eles que você precisa de acesso de administrador para realizar seu trabalho com eficiência. Eles provavelmente não conseguirão conceder acesso de administrador ao seu laptop corporativo por política da empresa, mas poderão fornecer uma VM em um laboratório para você reproduzir.

PS: Desculpe se eu pareço mal-humorado. Não há café suficiente ainda.

    
por 17.04.2013 / 16:10