Как запустить от имени пользователя с ограниченным доступом, но дав права администратора в Планировщике задач?

Question

[Наурызбек Айтбаев]

Компьютеры подключены к домену Active Directory, в нем обычные пользователи (ограниченные права). Я как администратор домена, хочу поставить в автозапуск программы, которые запускаются от имени администратора через Планировщик заданий. Но проблема в том, что эти программы интерактивные и должен взаимодействовать с рабочим окружением текущего пользователя, а программы запущенные от имени Администратора находятся в нулевом сеансе и не имеют доступа к рабочему окружению текущего пользователя. Можете подсказать как решить этот вопрос?

Answer 1

[#]

а вы хотя бы пытались это проделать? в каком месте возникли трудности?
- пароль администратора, будет запрошен, когда вы создаете задание, запускаемое от его имени. точнее говоря любое задание "от имени" кого угодно, кроме "система" и основные службы
- если вы создаете задание от имени "системы", даже оно может иметь интерактив с пользователем. но создавать его надо от имени админа
- но если вы пытаетесь создать задачу для админа/системы, не имея админских прав, естественно возникают проблемы. это нормально и правильно

Comments

[Наурызбек Айтбаев]

Я вхожу в систему от обычного пользователя (ограниченное право). Запускаю Планировщик задач (от имени Администратора домена). Создаю задачу, указав Запуск от имени Администратора домена с высшим правом после входа в систему от любого пользователя.
И вот когда обычный пользователь заходит в систему, в диспетчере задачи указано моя программа запущенное от имени Администратора домена, но в нулевом сеансе (который не имеет доступа в сеанс обычного пользователя).
От имени админа я тоже создал, но после перезагрузки, он все равно будет в нулевом сеансе.

[#]

Наурызбек Айтбаев, но сама схема порочна - это снижение безопасности как минимум
зачем?
постараюсь сейчас смакетировать, но если выход в сеанс возможен (а он должен быть возможен) то срабатывание UAC это норма. вся постановка вашего вопроса - это заказ на "дыру". но если это так, нет смысла его вуалировать*, равно как и надеяться на легкое решение (наличие халявной "дыры")

ps - о "заказах на дыру" - это нормальная постановка вопроса, в частности с точки зрения исследования ИБ. по этому, если посыл именно таков, нет смысла его вуалировать. ни кто не проконтролирует истинное применение ))

pps то есть ваша задача интересна с точки зрения исследования ИБ, но с точки зрения продакшена, так делать не надо в принципе. даже при обнаружении такой возможности, скорее надо искать пути ее запрещения

[Наурызбек Айтбаев]

#, я администратор домена, у которого есть полный доступ ко всем компьютерам. Мне надо административный доступ к одной программе (которую я написал своими руками), чтобы пользователи не имели возможность закрыть эту программу. То есть будучи обладателем полного доступа, я не могу получить контроль над компьютером пользователя?

[#]

Наурызбек Айтбаев, беру назад слова что обязательно возможен интерактив. не факт, или я не знаю решения

но запуск без проблем - запускается ни чего не спрашивая (cmd от "рута" в смысле конечно того самого, дефолтного админа), но и интерактива нет (если уж на то пошло, для нарушения ИБ, как раз пойдет скрытый запуск ;))

[#]

Наурызбек Айтбаев, только сейчас прочитал.. это более кручено, чем в начальной формулировке
- админ домена априори может все.. что доступно технически
- пока не понятен уровень потребностей в интерактиве
- может все таки в доступе к сеансу?
- но в сеансе, права то все равно (масло масляное, тем не менее) равны (в своем сеансе, пользователь может завалить любой процесс. и это так и задумано)

[#]

Наурызбек Айтбаев, какие задачи решает ваша программа? может просто есть пути их решения, без выкручивания себя на изнанку ))

[Наурызбек Айтбаев]

#, мониторинг принтеров. Просто ждет событии от службы печати, и когда кто-то начинает печатать, отправляет эти данные на мой веб-сервер, и также делает скриншот экрана.
Права администратора мне нужны, чтобы мою программу не закрыли.
Интерактивное взаимодействие нужны, чтобы я мог делать скриншот экрана. А чтобы сделать скриншот экрана текущего пользователя, моя программа должна открываться в том же сеансе.

[#]

Наурызбек Айтбаев, ясно. логично, но не уверен что

А чтобы сделать скриншот экрана текущего пользователя, моя программа должна открываться в том же сеансе.

как на счет работать на уровне устройства? именно с админскими правами, должно быть доступно все

пример - тимвьвер способен из службы, транслировать вам экран, предоставлять клавиатурный и мышинный ввод, при это начинать и завершать сеанс, пялиться на экран логина и вводить пароль.. не убедил? ;))

ps кстати, службы исполняются в том же пресловутом нулевом сеансе.. там же процессы от имени "система", так что гарантированно:
- все решаемо
- даже не обязательно в домене, достаточно от имени системы (админские права позволят создать такую задачу)
- не обязательно уметь создавать именно "службу", тот самый нулевой сеанс уравнивает службы системы и просто программы от ее же имени, или имени админа. прогу можно запускать и шедулером, а научиться писать и инсталировать службы, можно и потом.. или не обязательно
по крайней мере описанные цели, гарантированно имеют чисто программерское решение. другой вопрос, что там может быть достаточно творчества, и мест для роста скилзов. но это все решаемо

[#]

Наурызбек Айтбаев,

Права администратора мне нужны, чтобы мою программу не закрыли.

именно "нулевой сеанс" гарантирует, что обычный пользователь не сможет завершить процесс. а про доступность перечисленных целей - выше

ps и уже очевидно, что интерактив вам точно не нужен

[Ezhyg]

#, ты прохлопал "взаимодействие с пользователем" - та галка, рядом с которой написано - "Скрытая задача" ;) (как раз она на скриншот и не влезла)

[Наурызбек Айтбаев]

#, скриншоты как делать?

[Наурызбек Айтбаев]

Ezhyg, что это такое Скрытая задача?

[Ezhyg]

Наурызбек Айтбаев, аналог "службы" или сервиса, если угодно. Программа выполняется без окон, даже если они есть и какого-либо взаимодействия с пользователем.

Скриншоты делаются любой удобной программой, например "Ножницы" - Пуск - строка поиска - Ножницы. Или сочетанием Prt Scr (Print Screen) + Alt - делается снимок активного окна в буфер обмена, откуда его можно вставить хоть в Paint, а затем сохранить и загрузить сюда, например.

[#]

Ezhyg,

ты прохлопал "взаимодействие с пользователем" - та галка, рядом с которой написано - "Скрытая задача"

ни че я не прохлопал. начни с пояснения как она влияет? когда автор хотел исполнения

в сеансе пользователя

но

с правами админа

[#]

Наурызбек Айтбаев,

скриншоты как делать?

а это тянет на самостоятельный вопрос, не так ли? еще раз напомню по фишки тьмвьювера, что бы уйти от ненужных споров "возможно ли из 0вого сеанса, грабить экран"? (ибо возможно) а как? - я же не знаю чем вы владеете?.. если вы зададите конкретный вопрос, типа "как из 0вого сеанса, грабить экран"?, да еще и окажется, что он в теге C#, возможно мне будет интересно, поискать на него ответ* ))

в любом случае удачи!

ps * - примечание. на C# грабинг экрана (upd другого процесса, но в одном сеансе) делал. да, в обычном сеансе. и да, самому, уже отчасти любопытно, как делать из 0-го.. но в любом случае - это оверхед, решать такую задачу, в рамках начальной постановки вопроса.. да еще и с 0-вым стимулом )).. (единственный лайк, и то от критика, с которым мы чаще спорим, чем соглашаемся ;))

[Ezhyg]

#, он хотел

чтобы пользователи не имели возможность закрыть эту программу.

Хотя раньше говорил о взаимодействии...

В общем, это так не решается. есть другие инструменты.

[Ezhyg]

#, просто она про скрытость :)
Есть "при входе любого юзера" - как раз нужное.

[Ezhyg]

#, галка только про "скрытость"! и только :P А эту задачу она решает. Я же пользуюсь.

[Наурызбек Айтбаев]

#, я не путаюсь. Под доступными средствами - у меня есть права админинстратора домена, в котором этот компьютером находиться.
У меня именно две задачи/проблемы:
- Невозможность закрыть программу (Для этого программа должен выполняться от имени администратора);
- Возможность делать скриншоты экрана пользователя (Но так как программа выполняется от имени администратора, то есть на нулевом сеансе; говорят что это невозможно).
Я прочитал форумы на эту проблемы, и действительно говорят что это невозможно. Но действительно так ли это?

Была попытка запустить программу от имени обычного пользователя, но с помощью команды runas, но он будет просить ввести пароль каждый раз.

Так же прочитал как антивирусы работают. У них есть подписанные драйвера, которые выполняется на уровне ядра. Мда... Насколько же это ужасно, что Windows просто ограниченная операционная система, неспособная ни на что. Задача моя просто тривиальная, а Windows просто не справляется этим.

[#]

Наурызбек Айтбаев, вот дальше не интересно абсолютно. медленными буквами - вы знакомы с программой TeamViewer? она делает все что вам надо, и несоизмеримо больше. а еще DameWare. если вы используете python, js, php... ну или не знаю что.. то будут трудности. но даже из этих "не системных" для винды, языков, можно дергать win32 api. кто не умеет - гугл в помощь.

[Ezhyg]

#, "ригидность", грамотей :P

[Максим Ярошевич]

Наурызбек Айтбаев, Как вариант - запуск nircmd для создания скриншотов по событию печати - никакие повышенные права не нужны, предварительно исполняемый файл копировать в \Windows, скриншоты можно складывать куда угодно, только вопрос - что Вы снимете скриншотом? Окно, например, Word с настройками печати, или просто что угодно? Ведь когда файл ушел на печать - уже далеко не факт, что он будет на экране. В событии печати есть наименование файла, который ушел на печать, можно посмотреть что за он, если он сохранен, но опять же не факт, что распечатана та редакция, которая сохранена.
Вообще - довольно гаденькая шпионская задача, сам факт её наличия, фактически ещё один уровень слежки за пользователем оставляет очень неприятное ощущение. Неужели все так плохо с доверием к сотрудникам? Если да - то решать надо не программными, а административными способами.

[Наурызбек Айтбаев]

Максим Ярошевич, ну хотят мониторинг, я лишь создаю программу.

А эта программа именно от имени пользователя запускается? Как он узнает что это именно тот пользователь? Ведь моя программа запускается от имени Системного администратора в нулевом сессии. А программы в нулевом сессии не могут запускать программы на другом сессии (в котором расположены другие пользователи). Соответственно эта программа не сможет получить скриншоты на другом сессии.

[#]

Наурызбек Айтбаев,

А программы в нулевом сессии не могут запускать программы на другом сессии (в котором расположены другие пользователи). Соответственно эта программа не сможет получить скриншоты на другом сессии.

ни каого терпения не хватит.. как по вашему TeamViewer, позволяет открывать и завершать сеансы от разных пользователей удаленно? (удаленно - это значит транслирует экран черти куда, скриншот по сравнению с этим детский лепет)

ps если реализация на C# вас интересует - обращаетесь в личку, пообщаемся. речь не о том что "за деньги".. ну или не только об этом, тут задет принцип, то что это возможно - я вам докажу

[Максим Ярошевич]

Кстати, вспомнил про NSSM - можно Вашу программу превратить в службу - будет немного проще управлять. По моему мнению - права администратора Вашей программе совсем не нужны.

[#]

Максим Ярошевич, службы исполняются в пресловутом "0" сеансе (тот же ТВ для удаленного управления), который сильно смущает ТС.. хотя зря, переубедить на словах пока не получается ))

[Максим Ярошевич]

Может, ради интереса таки сделать снятие скриншотов каждые 5 минут из службы... Просто времени нет этим заниматься, хотя скорее всего будет работать. Но, как я уже и говорил - скриншот экрана и то, что ушло на принтер - две большие разницы, ставить между ними знак "равно" нельзя никак.

[#]

Максим Ярошевич, аналогично (в смысле времени пока нет) а так то, если руки дойдут, уже из принципа можно показать автору что все реально ))

Answer 2

[Denis Sh]

runas не поможет?

Comments

[Наурызбек Айтбаев]

Он будет спрашивать пароль администратора?

Answer 3

[Максим Ярошевич]

Удивляет постановка задания - зачем пользователям выполнять что бы то ни было на своих компьютерах с повышенными правами? Можно, конечно, попробовать с занесением пользователей в Restricted Users - но, как мне кажется, надо думать в сторону назначения прав пользователей и отсутствию необходимости запускать программы от администратора, неправильно это как-то.