Ausführen als Admin auf Single PC

[Der Newbie 10]

Hallo,

 

mal ne Frage, es gibt Programme wie zum Beispiel die meisten Spiele meiner Tochter die Adminrechte verlangen.

 

Wie kann ich es denn anstellen, das Programm dauerhaft mit Adminrechten auszustatten, ohne jedesmal rechte maus, ausführen als zu machen.

 

(Das kann meine Tochter noch nicht, aber mit Maus auf Billi Banni klicken)

 

Habe einen eingeschränkten User angelegt, ohne Adminrechte...daher bräuchte ich da ne idee.

 

gruss Newbie

[grizzly999 11]

Es gibt Tools, erweiterte Runas (Runas Professional, diverse Male im Board "angepreisen") die angeblich das Kennwort mit abspeichern können und so Batch-tauglich ohne Kennworteingabe sind.

Ich schreibe deshalb "angeblich", weil ich noch keine Erfahrung damit gemacht habe.

 

Eine weitere Möglichkeit wäre, herauszufinden, wo diese Programe Admin Rechte brauchen (Dateisystem, Registry), und diese Stellen für den jeweiligen Account zu öffnen

 

grizzly999

[AndiW 10]

Es gibt auch noch eine andere Möglichkeit unter XP.

 

- Eine Verknüpfung auf das Programm erstellen

- Eigenschaften der Verknüpfung öffnen

- Beim Ziel folgendes eingeben

%systemroot%\system32\runas.exe /savecred /user:administrator programmpfad

 

z.B.

%systemroot%\system32\runas.exe /savecred /user:administrator "C:\Program Files\Ahead\Nero\nero.exe"

 

Der Parameter /savecred dient dazu, dass nur beim ersten Start des Programms die Eingabe des Passworts notwendig ist, danach bleibt es gespeichert und muss nicht erneut eingegeben werden.

 

Gruß

Andi

[Damian 1.400]

@ AndiW

Interessante Sache. Wo ist diese Option dokumentiert?

 

Damian

[grizzly999 11]

Das ist korrekt. Man muss alerdings bedenken, dass man dann wie von dir gezeigt auch andere Programme mit diesen Anmeldeinformationen ausführen kann, ohne erneut ein Kennwort einzugeben, will heißen, die Anmeldeinformationen werden nicht Programaufruf-bezogen gespeichert.

 

Anm: Auf XP Home gibt es den Parameter übrigens nicht ;)

 

grizzly999

[grizzly999 11]

Original geschrieben von Damian

@ AndiW

Interessante Sache. Wo ist diese Option dokumentiert?

 

Damian

In der Online Hilfe von XP Professional bzw. 2003 Server

 

 

grizzly999

[Damian 1.400]

Original geschrieben von grizzly999

In der Online Hilfe von XP Professional bzw. 2003 Server

 

 

grizzly999

Danke. :)

[AndiW 10]

@Damian

Hab die Info im Internet gefunden, aber wie grizzly schon erwähnt hat wird sie wahrscheinlich auch in der MS Hilfe dokumentiert sein.

 

@grizzly

klar, man kann so jedes beliebige Programm als Administrator ausführen, allerdings muss bei jedem ersten Start der Administrator selbst das Kennwort eingeben.

Was genau meinst du mit nicht Programmaufruf-bezogen? Im Grunde gings ja in diesem speziellen Fall darum eine permanente Lösung zu schaffen oder?

 

 

Hab mir aber schon gedacht dass euch das gefallen wird. :D

 

Grüße,

Andi

[grizzly999 11]

Original geschrieben von AndiW

@Damian

@grizzly

klar, man kann so jedes beliebige Programm als Administrator ausführen, allerdings muss bei jedem ersten Start der Administrator selbst das Kennwort eingeben.

Was genau meinst du mit nicht Programmaufruf-bezogen? Im Grunde gings ja in diesem speziellen Fall darum eine permanente Lösung zu schaffen oder?

Ich meinte damit: der normale Runas (und wohl auch das Runas Professional) bieten die Möglichkeit des Ausführen als für den einen einzigen Programmaufruf und nur dieses eine Programm. Schliesst man das so gestartete Programm sind die Credentials futsch. Will man selbst bei mit runas geöffneten Programm ein anderes Programm mit diesen Credentials starten, geht das nicht.

Bei der Verwendung von /savecred ginge dies aber.

Ist ja manchmal so gewünscht, manchmal aber auch nicht, und ich wollte nur diese Besonderheit des /savecred gegenüber dem Runas ohne /savecred hervorheben.

 

In dem Fall wäre das wahrschinlich nicht so schlimm, wenn die Tochter noch Billy Bunny spielt :)

Aber wenn ich dem Heranwachsenden Junior so sein Programm öffne und ihn dann spielen lasse und der pfiffig genug ist, dann kann er neben seinem Spiel her auch noch Administrator spielen. :D

 

 

grizzly999

[AndiW 10]

Auch auf den Verdacht hin, dass der heranwachsende Junior irgendwann auf diesen Beitrag hier stossen könnte :D ... wie soll er das anstellen dass er ein anderes Programm auch mit Adminrechten starten kann ohne dass der Administrator eine weitere Verknüpfung einrichtet und diese einmal mit dem Adminkennwort startet?

 

Ich war bis jetzt immer der Meinung, dass bei dieser Variante nur dieses eine Programm mit Adminrechten gestartet wird (werden kann) und natürlich nur in jenem Benutzerprofil indem der Admin diese Verknüpfung erstellt und bereits einmal das KW eingegeben hat.

 

Wenn es dem Benutzer wirklich möglich ist diese Rechte auch auf andere Programme zu übertragen sollte man sich vor einem potentiell heranwachsenden Junior in Acht nehmen. :D

 

Gruß,

Andi

[grizzly999 11]

Original geschrieben von AndiW

Auch auf den Verdacht hin, dass der heranwachsende Junior irgendwann auf diesen Beitrag hier stossen könnte :D ... wie soll er das anstellen dass er ein anderes Programm auch mit Adminrechten starten kann ohne dass der Administrator eine weitere Verknüpfung einrichtet und diese einmal mit dem Adminkennwort startet?

Mit cmd.exe und dort "runas.exe /savecred" :D

Eben das ist es ja, was ich damit ausdrücken wollte. Die Admin-Anmeldeinformationen nebst Kennwort werden dem Token des Benutzers hinzugefügt und können mit jedem anderen "runas /savecred" wieder abegrufen werden, auch für andere Programme. Ohne erneute Passwortabfrage. So lange, bis man sich abmeldet, dann werden ja die Credentials wieder gelöscht.

Savecred ist eigentlich eine Option für den Admin, der aber wie immer empfohlen mit einem normalen User-Account arbeitet, und hin und wieder den Adminaccount ziehen muss. Das eine könnte er ja mit einer Batch machen, oder mit Pfeil-hoch-Taste, aber damit er nicht jedesmal mit einer Kennwortabfrage belästigt wird, hat Microsoft den /savecred eingeführt.

 

Also Junior, das hier NICHT lesen :D :D

 

grizzly999

[Der Newbie 10]

Original geschrieben von grizzly999

Mit cmd.exe und dort "runas.exe /savecred" :D

Eben das ist es ja, was ich damit ausdrücken wollte. Die Admin-Anmeldeinformationen nebst Kennwort werden dem Token des Benutzers hinzugefügt und können mit jedem anderen "runas /savecred" wieder abegrufen werden, auch für andere Programme. Ohne erneute Passwortabfrage. So lange, bis man sich abmeldet, dann werden ja die Credentials wieder gelöscht.

Savecred ist eigentlich eine Option für den Admin, der aber wie immer empfohlen mit einem normalen User-Account arbeitet, und hin und wieder den Adminaccount ziehen muss. Das eine könnte er ja mit einer Batch machen, oder mit Pfeil-hoch-Taste, aber damit er nicht jedesmal mit einer Kennwortabfrage belästigt wird, hat Microsoft den /savecred eingeführt.

 

Also Junior, das hier NICHT lesen :D :D

 

grizzly999

 

Thanks für die Antworten.

 

Wenn ich resümiere bedeutet das:

 

es ist ein sicherheitsleck für teenies oder für verrückte angestellte (Nero), die dann jedes programm auf dem rechner als admin starten können, können damit also auch die kennwörter ändern usw??!! wäre unklug...

 

aber bei meiner kleinen (3 Jahre 8 monate) sehe ich noch nicht die gefahr, denn wenn ich das richtig kapiert habe müsste ich jedes programm ja per rechte maus bzw. per cmd und dann die befehlsfolge eintippen (sie ist clever aber kein wunderkind!!), also kann sie "eigentlich nix kaputt machen.

 

aber wenn wir gerade horror szenarien durchspielen. kann ein eingeschränkter nutzer auf xp eigentlich den befehl

 

del *.* absetzen

 

oder beim klicken auf dem desktop bzw. auf den laufwerken den formatieren befehl ausführen?

 

wenn ja, kann ich das eigentlich unterbinden?

 

liebe grüsse

newbie

[grizzly999 11]

Original geschrieben von Der Newbie

Thanks für die Antworten.

aber wenn wir gerade horror szenarien durchspielen. kann ein eingeschränkter nutzer auf xp eigentlich den befehl

 

del *.* absetzen

 

oder beim klicken auf dem desktop bzw. auf den laufwerken den formatieren befehl ausführen?

 

wenn ja, kann ich das eigentlich unterbinden?

 

liebe grüsse

newbie

Nein, so einfach ist das nicht. Beim allerersten Aufruf des runas /savecred wird ja das Kennwort (hier: des Admin) verlangt.

Nur bei den weiteren Aufrufen mit runas /savecred während der Session nicht mehr.

Ohne das Kennwort kann keiner einfach mal so Admin spielen :D ;)

 

grizzly999

[AndiW 10]

Original geschrieben von grizzly999

Mit cmd.exe und dort "runas.exe /savecred" :D

Eben das ist es ja, was ich damit ausdrücken wollte. Die Admin-Anmeldeinformationen nebst Kennwort werden dem Token des Benutzers hinzugefügt und können mit jedem anderen "runas /savecred" wieder abegrufen werden, auch für andere Programme. Ohne erneute Passwortabfrage. So lange, bis man sich abmeldet, dann werden ja die Credentials wieder gelöscht.

 

Also Junior, das hier NICHT lesen :D :D

 

grizzly999

 

Alles klar. :)

 

Andi

[Der Newbie 10]

Original geschrieben von grizzly999

Nein, so einfach ist das nicht. Beim allerersten Aufruf des runas /savecred wird ja das Kennwort (hier: des Admin) verlangt.

Nur bei den weiteren Aufrufen mit runas /savecred während der Session nicht mehr.

Ohne das Kennwort kann keiner einfach mal so Admin spielen :D ;)

 

grizzly999

 

Hallo Grizzly,

 

ich habe das so verstanden, das wenn ich zum Beispiel Billy Bunny mit /savecred und Passwort starte, dann langt es zum Beispiel Nero ebenfalls per Runas und /Savecred zu starten, nur das dann kein Passwort mehr gefragt wird.

 

Mir ist aber ein Satz aufgefallen

 

 

WÄHREND der Session.

 

Ich suche ja nach einer Lösung, das meine Kleine den PC anmacht, auf Ihren Schmetterling klickt und dann auf BilliBanni klickt...

 

Nach einem Neustart müsste es dann ja wieder nicht funktionieren.

 

Gruss Tilo

 

 

PS: In der CT stand mal ein Artikel, das das mit dem RUNAS sehr gefährlich sei.

 

Wenn ich mich recht entsinne, ging es darum, z.Bsp. den Explorer abstürzen zu lassen und dann mit einer erneuten Instanz würde das Adminrecht nicht nur für den Explorer sondern für alle Anwendungen gelten.

 

Hab mir aber nur behalten, das es da eine Möglichkeit gibt, also nicht schimpfen, wenn es nicht exact so wie von mir in Erinnerung geschrieben geht.