Как заставить bat запускаться от имени админа?

Question

[Epicrush]

Была поставлена задача, нужно что-бы при запуске батника менялись сетевые настройки, я сделал вот так, оно работает только если запускать от имени админа.

netsh interface ip set address name="Ethernet" source=static 172.16.11.16 255.255.254.0 gateway=172.16.10.1 1 
netsh interface ip set dns name="Ethernet" static 172.16.10.1

но его нужно запускать из под обычного пользователя, для этого создал еще один батник

runas /user:Admin /savecred "D:\change ip.bat"

получается что при исполнении второго батника, запускается первый от имени админа, но изменения в сетевые настройки он не вносит с комментарием

Для запрошенной операции требуется повышение прав (запустите с правами администратора).

так-же читал что эту проблему можно решить открытием учетки встроенного(скрытого) администратора, но это решение не годиться, так как выглядит совершенно не безопасно тем-более с доменными учетными записями.

Comments

[Moskus]

Создайте ярлык с соответствующими настройками, от имени кого запускать. Можете еще испробовать

runas /user:Admin /savecred cmd.exe /c "D:\change ip.bat"

[Epicrush]

Moskus, к сожалению ответ тот же

Для запрошенной операции требуется повышение прав (запустите с правами администратора).

[Александр]

powershell.exe Start-Process "D:\changeip.bat" -Verb runAs

Только пробел в имени батника уберите. У меня почему-то с пробелом "файл не найден".

[Epicrush]

Александр, Срабатывает запрос UAC, можно ли как то подсунуть туда пароль, что бы запрос UAC не выскакивал, а сразу исполнял батник?

[Александр]

Epicrush, Не знаю ни единого способа добавить какое-либо приложение/батник в исключения UAC. Да и иначе смысл в UAC теряется.

Answer 1

[res2001]

С помощью runas привилегии повышаются действительно только для встроенного администратора.
Ничего страшного в том, что бы его активизировать я не вижу. Хотите подстраховаться - смените ему имя. Конечно нужно назначит нормальный пароль.
Но сохранять с помощью runas /savecred пароль администратора - это выстрел себе в ногу. С помощью этого сохраненного пароля и runas можно будет любую программу запускать с повышенными привилегиями из-под любого пользователя. Этим вы сделаете большую дыру в безопасности сети.

На самом деле не очень понятна цель этого мероприятия - вы меняете IP адрес. Зачем? Чувствую, что, то что вы хотите добиться, должно быть сделано по другому. Варианты:
1. Сделайте 2 IP на одном интерфейсе и пусть они всегда будут.
2. Организовать доступ в 172.16.11 подсеть через промежуточный шлюз, на котором в зависимости от некоторых условий можно разрешать доступ или нет.
3. Можно запускать netsh удаленно с админскими привилегиями, запускать, конечно должен админ, а не пользователь. Если у вас есть АД, то доменный админ может это делать, если АД нет, то на пользовательском компе нужно выставить ключ в реестре:
reg add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v LocalAccountTokenFilterPolicy /t REG_DWORD /d 1 /f
Этот ключ позволяет при сетевом доступе с админскими правами автоматически повышать привилегии. Локальных пользователей и их привилегии это не затрагивает.

Более конкретно можно будет сказать, если вы опишите цель смены IP.

Comments

[Epicrush]

Провайдер выдает 8 внешних адресов, нужно между ними переключаться и знать с какого адреса выходишь на конкретной машине, соответственно нужна возможность менять айпишники на лету.

[res2001]

Epicrush, Ваш ответ только породил больше вопросов :)
У вас 1 канал и 29-ая подсеть на 8 адресов от провайдера?
Или 8 каналов по 1 адресу?
8 внешних адресов, надеюсь, у вас не на этой конкретной виндовой машине?

Обычно похожие вопросы решаются настройкой маршрутизации на роутере.
Но что бы конкретно что-то сказать нужно больше информации.
С какой целью нужно переключаться?
Как пользователь будет выбирать какой ему адрес нужен в данный конкретный момент?

[Epicrush]

адреса приходят на микротик, 8 каналов по 1 адресу, все зарегистрированы на разные юр.лица, нужно что бы человек мог переключаться между этими адресами для банк клиента (название батника=имя юр.лица)
надеюсь ответил на ваш вопрос)

[res2001]

Epicrush, Если все банки разные, то можно все разрулить таблицей маршрутизации на роутере.
Если банк один и тот же, то похоже придется применять предложенную вами схему.
Включите встроенного локального админа, задайте ему нормальный пароль и ваши батники должны работать так как хочется. Пароль лучше всего задавать отличный от других админских паролей, используемых в сети. Так по крайней мере можно обезопасить сеть от некорректного поведения пользователя.
В целях безопасности на этот комп нужно установить антивирь и возможно настроить политику "разрешенных приложений".

Кстати, если вы пытаетесь таким образом показать банку (или не банку), что это разные юр.лица, не имеющие друг к другу отношения, то стоит подумать еще и о смене МАС адреса. Т.к. МАСи локального компа в логах банковской части клиент-банка фигурируют. Причем часто собираются все имеющиеся МАСи со всех адаптеров, а не только от того по которому идет обмен.

[Epicrush]

res2001, спасибо, по поводу MAC не знал.

Answer 2

[Александр]

@echo off
if  "%~1" == "self" (
     netsh interface ip set address name="Ethernet" source=static 172.16.11.16 255.255.254.0 gateway=172.16.10.1 1 
     netsh interface ip set dns name="Ethernet" static 172.16.10.1
) else (
    powershell.exe Start-Process "D:\changeip.bat self" -Verb runAs 
)

Есессно, без powershell не работает.