Как стать владельцем ветки реестра и удалить ее?

Question

[Дмитрий Шумов]

Коллеги, есть нужда, удалить ветку реестра: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\AlternateShells на многих серверах. Но для начала, нужно стать владельцем этой ветки и дать группе администраторов полные права на эту ветку. Пытаюсь "намутить" батник:

subinacl.exe /subkeyreg "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\AlternateShells" /setowner=Administrators /grant=Administrators=f
reg delete HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\AlternateShells /f

но не выходит. Может я что-то не так делаю?

Answer 1

[Константин Цветков]

reg delete HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows

Кавычки и корень как уже указали.

Comments

[Дмитрий Шумов]

Спасибо, попробую.

[Ezhyg]

Точно, там же во второй строке кавычек нет :)

Кстати, проверил, корень принимает в обоих вариантах и длинном и аббревиатуру.

[Дмитрий Шумов]

Еще не попробовал, но есть 2 вопроса в догонку:
1) Удаление второе дело, первое, что не применяються разрешения и не меняеться владелиц...
2) Можно ли запускать субинкалк с сетевого ресурса?

Answer 2

[Ezhyg]

А субинакл-то установлен?

Поправка: корень куста принимается в любом видео и полном, и сокращённом

Ну и чисто вдогонку некоторые ветки имеют строго заданные разрешения, при этом для каждой вложенной ветки - свои даже если они такие же (например не наследуемые или владелец - система), поэтому нужно несколько раз стать владельцем, в том числе для каждой вложенной подветки. Если это делать из редактора реестра например, то приходится входить в каждую ранее недоступную ветку, затем выходить наверх и снова устанавливать себя владельцем ветки и всех вложенных, иногда раз по 5.

Comments

[Дмитрий Шумов]

субинакл установлен.
Пути? ну так, в каком то примере увидел. Попробую ваше предложение.
Ну, в ручном режиме, из редактора реестра, я только на верхний узел давал разрешения, после этого вся ветка удалялась. Но перед этим, пришлось стать владельцем узла. Поэтому я первым действием пытаюсь стать владельцем узла + назначить права, полные. Потом удаление.
Но не выходит...

[Ezhyg]

Дмитрий Шумов, да, владельцем надо стать, при чём и владельцем всего вложенного, через консольный редактор это обычно срабатывает сразу, но иногда бывает и только со второго раза.

А ошибка-то какая? Это ж нужно в консоли пробовать, а там всё и будет написано, а ты запускаешь сразу батником видимо?

[Дмитрий Шумов]

Ezhyg, правильно ли я пончл, что в несколько действий это нужно делать? дочерниии ветви, а потом корневой раздел?
Ошибку сейчас не могу показать - на рабочем компе осталось. А смысл что аксес денайд. Но это наверное после второго действия. А при первом действии просто пишет ошибка 1 и все...

[Ezhyg]

Дмитрий Шумов, просто первую строку два раза (я не очень точно помню, но кажется так).

Кстати, для руления сервером и рабочими станциями пользователей очень рекомендую утилиты - download.sysinternals.com/Files/PsTools.zip

[Дмитрий Шумов]

Ezhyg, не получилось :(
Вот какие ошибки выдает:

[Дмитрий Шумов]

Ezhyg, и даже с помощью PS не получаеться...

PS C:\Windows\system32> $acl = Get-Acl "HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\AlternateShells"
$person = [System.Security.Principal.NTAccount]"BUILTIN\Administrators"          
$access = [System.Security.AccessControl.RegistryRights]"FullControl"
$inheritance = [System.Security.AccessControl.InheritanceFlags]"ContainerInherit,ObjectInherit"
$propagation = [System.Security.AccessControl.PropagationFlags]"None"
$type = [System.Security.AccessControl.AccessControlType]"Allow"
$rule = New-Object System.Security.AccessControl.RegistryAccessRule($person,$access,$inheritance,$propagation,$type)
$acl.AddAccessRule($rule)
$acl |Set-Acl
Set-Acl : Requested registry access is not allowed.
At line:9 char:7
+ $acl |Set-Acl
+       ~~~~~~~
    + CategoryInfo          : PermissionDenied: (HKEY_LOCAL_MACH...AlternateShells:String) [Set-Acl], SecurityException
    + FullyQualifiedErrorId : System.Security.SecurityException,Microsoft.PowerShell.Commands.SetAclCommand

[Ezhyg]

Дмитрий Шумов, блин, я тебя обманул :( Субинаклом это не нужно, она сразу делает правильные разрешения.
И она у тебя не выдаёт ошибку, говорит что всё сделала.

[Дмитрий Шумов]

Ezhyg, Но по факту то не сделала...

[Ezhyg]

Дмитрий Шумов, ну... отчёт даёт, что всё сделала, и сама, как видишь, делает это дважды за раз, чтоб наверняка.

Слушай, а проверь сам из редактора реестра что там за разрешения и вообще, что там и как?

[Дмитрий Шумов]

Ничего в редакторе реестра не изменилось. Как был владельцем TrustedInstaller, так он и остался...

[Ezhyg]

Дмитрий Шумов, эх...
Так, погоди, а если через субинакл делать владельцем не группу "администраторы", а пользователя Администратор?

[Дмитрий Шумов]

Ezhyg, Спасибо за помощь! В итоге решилось вот так:

SetACL.exe -on "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\AlternateShells" -ot reg -actn setowner -ownr "n:Administrators"
SetACL.exe -on "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\AlternateShells" -ot reg -actn ace -ace "n:Administrators;p:full"
SetACL.exe -on "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\AlternateShells\AvailableShells" -ot reg -actn setowner -ownr "n:Administrators"
SetACL.exe -on "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\AlternateShells\AvailableShells" -ot reg -actn ace -ace "n:Administrators;p:full"
reg delete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\AlternateShells" /f

[Ezhyg]

Дмитрий Шумов, урааа! :) Главное, что решилось, как - не так важно.