Meckpommi
22.09.2008, 23:02
Adminrechte ohne Kontenwechsel: SuRun macht's möglich
Das Freeware-Tool SuRun eröffnet Nutzern von Windows-Betriebssystemen der NT-Klasse die Möglichkeit, Programme mit administrativen Rechten zu starten, ohne einen Accountwechsel vornehmen zu müssen. Dank der 'Benutzerkontensteuerung' von SuRun wird der mit eingeschränkten Rechten angemeldete User kurzzeitig zum Systemverwalter herauf gestuft.
Übersicht:
Adminrechte ohne Kontenwechsel: SuRun macht's möglich
Installation und Einsatz von SuRun (http://www.freenet.de/freenet/computer_und_technik/betriebssysteme/windows_tools/surun_administration/02.html)
von Ralf Horn
Vermutlich eines der sinnvollsten und zugleich das bei Heimanwendern unbeliebteste Sicherheitsfeature von Windows Vista ist die Benutzerkontensteuerung (User Account Control, kurz: UAC). Dank des ausgereiften Konzeptes dieses Features, ist es nicht wie in vorhergehenden Betriebssystemen der NT-Reihe notwendig für Verwaltungsaufgaben oder andere administrative Tätigkeiten einen Accountwechsel vorzunehmen.
Das Sicherheitskonzept von Vista sorgt dafür, dass Sie bei der Anmeldung als Administrator in einem System mit aktiviertem UAC nur mit "normalen" Benutzerrechten arbeiten. Sobald eine Anwendung aber administrative Berechtigungen für die Ausführung beansprucht, wird ein Dialogfeld angezeigt, welches extra zu bestätigen ist, und damit der Anwendung die entsprechenden Berechtigungen gewährt werden.
Allerdings ist dieses gut gemeinte Vorgehen nicht ganz ungefährlich, da die Applikation nun tatsächlich mit allen Rechten des Systemverwalters arbeiten darf. Eine vorschnelle, vielleicht unüberlegte Zustimmung reicht und die möglicherweise in einem Programm verborgenen Schädlinge halten unbemerkt Einzug in das System.
Im Gegensatz zur Benutzerkontensteuerung (UAC), startet das Freeware Tool SuRun Programme stets im Kontext des Benutzers und nicht im Kontext eines Systemadministrators.
Doch der Reihe nach
Mit dem kostenlosen Werkzeug SuRun möchte der Autor Kay Bruns (externer Link (http://kay-bruns.de/wp/)) das Arbeiten mit eingeschränkten Rechten unter Windows 2000, XP, Server 2003 und Vista erleichtert.
SuRun erlaubt es, Programme als Administrator zu starten, ohne auf ein Kennwort angewiesen zu sein, ohne die Registry des Benutzers zu wechseln zu müssen oder Umgebungsvariablen zu verändern.
Beginnend mit Windows NT hat Microsoft die Rechteverwaltung in die Betriebssysteme der gleichnamigen Reihe eigeführt.
Mit sogenannten Kontrolllisten (Access Control Lists (http://lexikon.freenet.de/Access_Control_List)) wird in den Systemen der NT-Klasse (Windows 2000, XP, Server2003, Vista usw.) festgelegt, ob der Zugriff auf Dateien, Ordner oder Geräte gestattet ist, oder nicht.
Grundsätzlich wird jede Applikation mit den Rechten des Programms ausgeführt, durch das es gestartet wurde. So "erbt" beispielsweise die Applikation "Editor" (notepad.exe) im Normalfall die Rechte von explorer.exe.
Vereinfacht bedeutet dieses "Vererben", dass bei dauerhaftem Arbeiten mit Adminrechten die Gefahr einer unbemerkten Systemübernahme durch einen schädlichen Eindringling immens hoch ist. Daran ändert auch die trügerische Sicherheit von Desktopfirewalls und Antivirentools nichts, die bekanntlich ungangen werden können.
Arbeiten Sie hingegen mit eingeschränkten Rechten, kann ein Virus das System im Allgemeinen nicht angreifen, da ihm – wie dem angemeldeten Benutzer – die Rechte dazu fehlen.
Die Tätigkeit als einfacher Benutzer unter Windows ist teilweise relativ mühsam. Ist es noch akzeptabel, wenn Windows für die Installation von Software und Geräten höhere Berechtigungen fordert, scheint es eher unverständlich, dass so simple Aktionen wie das Stellen der Systemuhr oder das Konfigurieren von Energiesparmaßnahmen nur im Administrator-Account vorgenommen werden können.
Offenbar haben die Redmonder Entwickler dieses Manko erkannt und deshalb in Windows Vista mit der Benutzerkontensteuerung (UAC) für Abhilfe gesorgt.
Was leistet SuRun
SuRun sorgt dafür, dass ein Benutzer auf Anfrage eine Anwendung mit administrativen Rechten ausführen kann.
Dazu verwendet SuRun einen eigenen Windows Dienst, der den Benutzer kurzzeitig in die lokale Benutzergruppe ?Administratoren? einträgt, dann die Applikation startet und den Benutzer wieder aus der ?Administratoren? Gruppe entfernt.
Zuvor muss der Benutzer in einem abgesicherten Desktop den Start der Anwendung bestätigen.
Im Gegensatz zur Benutzerkontensteuerung (UAC), startet SuRun Programme immer im Kontext des Benutzers und nicht im Kontext eines Systemadministrators.
Der SuRun-Client Prozess übermittelt dem SuRun-Dienst einen Block mit Daten in dem unter Anderem Logon-Session ID, Benutzer Name und die auszuführende Kommandozeile stehen. Das macht der Client, indem er diesen Block als Ganzes in eine Named-Pipe schreibt, die der Dienst permanent liest.
Der Dienst überprüft zunächst, ob der gesendete Block von derselben Ausführbaren Datei stammt, wie er selbst.
Ist das der Fall, startet der Dienst einen weiteren SuRun.exe-Prozess in der Logon-Session des Client Prozesses. Das ist (leider) unbedingt notwendig, da der Dienst sonst nicht auf den sicheren Desktop umschalten kann. Der neu gestartete Prozess liest aus dem Client-Prozess den Datenblock aus, erzeugt einen sicheren Desktop in der Logon-Session des Client Prozesses und schaltet auf diesen Desktop um.
Jetzt sind Bildschirm, Tastatur und Maus dem sicheren Desktop zugeordnet und alle Eingaben müssen interaktiv vorgenommen werden. Vorhandene Tastatur- und Maus-Hooks funktionieren nicht auf diesem Desktop.
Entschließt sich der Benutzer, das geforderte Programm starten zu wollen, startet der Dienst direkt den gewünschten Prozess mit administrativen Rechten. Das funktioniert, indem sich SuRun mit ZwCreateToken einen Benutzertoken baut, der dem des angemeldeten Benutzers entspricht, aber die Rechte und Privilegien der Administratorengruppe hat. Der neu gestartete Prozess hat eine DACL, auf die nur Administratoren schreibend zugreifen dürfen. Deshalb funktionieren CreateRemoteThread, Read- und WriteProcessMemory nicht aus Benutzerprozessen.
Wird die Sitzung des angemeldeten Benutzers beendet, beendet ein "WinLogon Notification" Callback in SuRun alle noch laufenden von SuRun gestarteten Prozesse.
Installation und Einsatz von SuRun
Die Installation von SuRun ist in wenigen Minuten erledigt. Entpacken Sie einfach das Archiv und führen Sie die Datei "InstallSuRun.exe" aus, dafür sind Administratoren-Rechte erforderlich.
Der Dialog für die Installation beinhaltet zwei Checkboxen. Sie sollten auf jeden Fall die Option "Administratoren statt Ersteller als Standard-Besitzer für von Administratoren erstellte Objekte" eingeschaltet lassen!
Danach werden die notwendigen Dateien ins System integriert und Sie abschließend zum Reboot bzw. zu einer Neuanmeldung aufgefordert.
Start – Konfiguration
Nach dem Neustart finden Sie im Systemtray das Symbol des Programms sowie in der Systemsteuerung ein neues Icon "SuRun Einstellungen".
Grundsätzlich können Sie für die ersten Schritte die Grundeinstellungen verwenden. Die Tray-Information – die auch deaktiviert werden kann – hat die Aufgabe Sie mit fünf unterschiedlichen Symbolen über den jeweiligen Programmstatus auf dem Laufenden zu halten. Darüber hinaus können Sie mit einem Klick der rechten Maustaste das Einstellungsfenster aufrufen.
Erfreulich ist auch die Tatsache, dass SuRun mit der Anweisung "SuRun control" über die Konsole ausgerufen werden kann. Die einzelnen Parameter sind ausführlich im Programm-Handbuch erklärt.
Die sehr umfangreichen Programmkonfigurationsmöglichkeiten können Sie in einem "abgesicherten" Fenster in vier Karteikarten vornehmem. Mit den zahlreichen "Tuningoptionen" hat Ihnen der Programmautor die Möglichkeit gegeben, die Feineinstellungen des kleinen Programms bis ins letzte Detail vorzunehmen. Leider fehlt eine integrierte Hilfedatei, mit der die sonst für Einsteiger schwer zu durchschauenden Parameter erklärt werden.
Das exzellente Handbuch
Auch Kenner der gesamten Materie "Benutzerkontensteuerung", "Zugriffskontrolllisten" sowie Einsatz der "RunAs"-Anweisung oder der beliebten "MachMichadmin" ?Lösung sollten es keinesfalls versäumen einen Blick in das hervorragende deutschsprachige und mit zahlreichen Grafiken versehene PDF-Handbuch zu werfen (Download (http://kay-bruns.de/download/SuRun1201.pdf)).
Kay Senf hat sich die Mühe gemacht und auf rund 30 Seiten nicht nur Sinn- und Zweck von SuRun erklärt, vielmehr erläutert er ausführlich jede noch so kleine Programm-Option und liefert gleichzeitig auch dem Newbie Hintergrundwissen der Rechteverwaltung von Windows.
Mit der Anleitung – die den Autor dieses Beitrages schlicht begeistert hat – steht sowohl Fachleuten, wie auch Laien ein Leitfaden zur Verfügung, der Ihnen hilft, das Grundgerüst (und mehr) der komplexen Thematik "Windows Rechtervergabe/Rechteverwaltung" endlich zu durchschauen. Dank der hervorragenden Erklärungen ist die "fehlende" Hilfe innerhalb des Programms leicht zu verschmerzen.
SuRun stellt erfreulicherweise nahezu keine Ansprüche an die Ausstattung des Rechenknechtes. Das Programm läuft mit allen Windows-Betriebssystemen ab Win2k einschließlich der 64Bit-Varianten von XP und Vista.
Die Software sowie der Quelltexte sind frei verfügbar.
Tipp für Vista-Anwender
SuRun versieht seine Aufgaben auch unter Windows Vista bei aktivierter Benutzerkontensteuerung. Dadurch ist es möglich, dass auch in Vista aus einem echten eingeschränkten Konto Programme mit gehobenen Rechten gestartet werden können, ohne ein Administratorkennwort angeben zu müssen.
Quelle:http://www.freenet.de/freenet/computer_und_technik/betriebssysteme/windows_tools/surun_administration/02.html
Das Freeware-Tool SuRun eröffnet Nutzern von Windows-Betriebssystemen der NT-Klasse die Möglichkeit, Programme mit administrativen Rechten zu starten, ohne einen Accountwechsel vornehmen zu müssen. Dank der 'Benutzerkontensteuerung' von SuRun wird der mit eingeschränkten Rechten angemeldete User kurzzeitig zum Systemverwalter herauf gestuft.
Übersicht:
Adminrechte ohne Kontenwechsel: SuRun macht's möglich
Installation und Einsatz von SuRun (http://www.freenet.de/freenet/computer_und_technik/betriebssysteme/windows_tools/surun_administration/02.html)
von Ralf Horn
Vermutlich eines der sinnvollsten und zugleich das bei Heimanwendern unbeliebteste Sicherheitsfeature von Windows Vista ist die Benutzerkontensteuerung (User Account Control, kurz: UAC). Dank des ausgereiften Konzeptes dieses Features, ist es nicht wie in vorhergehenden Betriebssystemen der NT-Reihe notwendig für Verwaltungsaufgaben oder andere administrative Tätigkeiten einen Accountwechsel vorzunehmen.
Das Sicherheitskonzept von Vista sorgt dafür, dass Sie bei der Anmeldung als Administrator in einem System mit aktiviertem UAC nur mit "normalen" Benutzerrechten arbeiten. Sobald eine Anwendung aber administrative Berechtigungen für die Ausführung beansprucht, wird ein Dialogfeld angezeigt, welches extra zu bestätigen ist, und damit der Anwendung die entsprechenden Berechtigungen gewährt werden.
Allerdings ist dieses gut gemeinte Vorgehen nicht ganz ungefährlich, da die Applikation nun tatsächlich mit allen Rechten des Systemverwalters arbeiten darf. Eine vorschnelle, vielleicht unüberlegte Zustimmung reicht und die möglicherweise in einem Programm verborgenen Schädlinge halten unbemerkt Einzug in das System.
Im Gegensatz zur Benutzerkontensteuerung (UAC), startet das Freeware Tool SuRun Programme stets im Kontext des Benutzers und nicht im Kontext eines Systemadministrators.
Doch der Reihe nach
Mit dem kostenlosen Werkzeug SuRun möchte der Autor Kay Bruns (externer Link (http://kay-bruns.de/wp/)) das Arbeiten mit eingeschränkten Rechten unter Windows 2000, XP, Server 2003 und Vista erleichtert.
SuRun erlaubt es, Programme als Administrator zu starten, ohne auf ein Kennwort angewiesen zu sein, ohne die Registry des Benutzers zu wechseln zu müssen oder Umgebungsvariablen zu verändern.
Beginnend mit Windows NT hat Microsoft die Rechteverwaltung in die Betriebssysteme der gleichnamigen Reihe eigeführt.
Mit sogenannten Kontrolllisten (Access Control Lists (http://lexikon.freenet.de/Access_Control_List)) wird in den Systemen der NT-Klasse (Windows 2000, XP, Server2003, Vista usw.) festgelegt, ob der Zugriff auf Dateien, Ordner oder Geräte gestattet ist, oder nicht.
Grundsätzlich wird jede Applikation mit den Rechten des Programms ausgeführt, durch das es gestartet wurde. So "erbt" beispielsweise die Applikation "Editor" (notepad.exe) im Normalfall die Rechte von explorer.exe.
Vereinfacht bedeutet dieses "Vererben", dass bei dauerhaftem Arbeiten mit Adminrechten die Gefahr einer unbemerkten Systemübernahme durch einen schädlichen Eindringling immens hoch ist. Daran ändert auch die trügerische Sicherheit von Desktopfirewalls und Antivirentools nichts, die bekanntlich ungangen werden können.
Arbeiten Sie hingegen mit eingeschränkten Rechten, kann ein Virus das System im Allgemeinen nicht angreifen, da ihm – wie dem angemeldeten Benutzer – die Rechte dazu fehlen.
Die Tätigkeit als einfacher Benutzer unter Windows ist teilweise relativ mühsam. Ist es noch akzeptabel, wenn Windows für die Installation von Software und Geräten höhere Berechtigungen fordert, scheint es eher unverständlich, dass so simple Aktionen wie das Stellen der Systemuhr oder das Konfigurieren von Energiesparmaßnahmen nur im Administrator-Account vorgenommen werden können.
Offenbar haben die Redmonder Entwickler dieses Manko erkannt und deshalb in Windows Vista mit der Benutzerkontensteuerung (UAC) für Abhilfe gesorgt.
Was leistet SuRun
SuRun sorgt dafür, dass ein Benutzer auf Anfrage eine Anwendung mit administrativen Rechten ausführen kann.
Dazu verwendet SuRun einen eigenen Windows Dienst, der den Benutzer kurzzeitig in die lokale Benutzergruppe ?Administratoren? einträgt, dann die Applikation startet und den Benutzer wieder aus der ?Administratoren? Gruppe entfernt.
Zuvor muss der Benutzer in einem abgesicherten Desktop den Start der Anwendung bestätigen.
Im Gegensatz zur Benutzerkontensteuerung (UAC), startet SuRun Programme immer im Kontext des Benutzers und nicht im Kontext eines Systemadministrators.
Der SuRun-Client Prozess übermittelt dem SuRun-Dienst einen Block mit Daten in dem unter Anderem Logon-Session ID, Benutzer Name und die auszuführende Kommandozeile stehen. Das macht der Client, indem er diesen Block als Ganzes in eine Named-Pipe schreibt, die der Dienst permanent liest.
Der Dienst überprüft zunächst, ob der gesendete Block von derselben Ausführbaren Datei stammt, wie er selbst.
Ist das der Fall, startet der Dienst einen weiteren SuRun.exe-Prozess in der Logon-Session des Client Prozesses. Das ist (leider) unbedingt notwendig, da der Dienst sonst nicht auf den sicheren Desktop umschalten kann. Der neu gestartete Prozess liest aus dem Client-Prozess den Datenblock aus, erzeugt einen sicheren Desktop in der Logon-Session des Client Prozesses und schaltet auf diesen Desktop um.
Jetzt sind Bildschirm, Tastatur und Maus dem sicheren Desktop zugeordnet und alle Eingaben müssen interaktiv vorgenommen werden. Vorhandene Tastatur- und Maus-Hooks funktionieren nicht auf diesem Desktop.
Entschließt sich der Benutzer, das geforderte Programm starten zu wollen, startet der Dienst direkt den gewünschten Prozess mit administrativen Rechten. Das funktioniert, indem sich SuRun mit ZwCreateToken einen Benutzertoken baut, der dem des angemeldeten Benutzers entspricht, aber die Rechte und Privilegien der Administratorengruppe hat. Der neu gestartete Prozess hat eine DACL, auf die nur Administratoren schreibend zugreifen dürfen. Deshalb funktionieren CreateRemoteThread, Read- und WriteProcessMemory nicht aus Benutzerprozessen.
Wird die Sitzung des angemeldeten Benutzers beendet, beendet ein "WinLogon Notification" Callback in SuRun alle noch laufenden von SuRun gestarteten Prozesse.
Installation und Einsatz von SuRun
Die Installation von SuRun ist in wenigen Minuten erledigt. Entpacken Sie einfach das Archiv und führen Sie die Datei "InstallSuRun.exe" aus, dafür sind Administratoren-Rechte erforderlich.
Der Dialog für die Installation beinhaltet zwei Checkboxen. Sie sollten auf jeden Fall die Option "Administratoren statt Ersteller als Standard-Besitzer für von Administratoren erstellte Objekte" eingeschaltet lassen!
Danach werden die notwendigen Dateien ins System integriert und Sie abschließend zum Reboot bzw. zu einer Neuanmeldung aufgefordert.
Start – Konfiguration
Nach dem Neustart finden Sie im Systemtray das Symbol des Programms sowie in der Systemsteuerung ein neues Icon "SuRun Einstellungen".
Grundsätzlich können Sie für die ersten Schritte die Grundeinstellungen verwenden. Die Tray-Information – die auch deaktiviert werden kann – hat die Aufgabe Sie mit fünf unterschiedlichen Symbolen über den jeweiligen Programmstatus auf dem Laufenden zu halten. Darüber hinaus können Sie mit einem Klick der rechten Maustaste das Einstellungsfenster aufrufen.
Erfreulich ist auch die Tatsache, dass SuRun mit der Anweisung "SuRun control" über die Konsole ausgerufen werden kann. Die einzelnen Parameter sind ausführlich im Programm-Handbuch erklärt.
Die sehr umfangreichen Programmkonfigurationsmöglichkeiten können Sie in einem "abgesicherten" Fenster in vier Karteikarten vornehmem. Mit den zahlreichen "Tuningoptionen" hat Ihnen der Programmautor die Möglichkeit gegeben, die Feineinstellungen des kleinen Programms bis ins letzte Detail vorzunehmen. Leider fehlt eine integrierte Hilfedatei, mit der die sonst für Einsteiger schwer zu durchschauenden Parameter erklärt werden.
Das exzellente Handbuch
Auch Kenner der gesamten Materie "Benutzerkontensteuerung", "Zugriffskontrolllisten" sowie Einsatz der "RunAs"-Anweisung oder der beliebten "MachMichadmin" ?Lösung sollten es keinesfalls versäumen einen Blick in das hervorragende deutschsprachige und mit zahlreichen Grafiken versehene PDF-Handbuch zu werfen (Download (http://kay-bruns.de/download/SuRun1201.pdf)).
Kay Senf hat sich die Mühe gemacht und auf rund 30 Seiten nicht nur Sinn- und Zweck von SuRun erklärt, vielmehr erläutert er ausführlich jede noch so kleine Programm-Option und liefert gleichzeitig auch dem Newbie Hintergrundwissen der Rechteverwaltung von Windows.
Mit der Anleitung – die den Autor dieses Beitrages schlicht begeistert hat – steht sowohl Fachleuten, wie auch Laien ein Leitfaden zur Verfügung, der Ihnen hilft, das Grundgerüst (und mehr) der komplexen Thematik "Windows Rechtervergabe/Rechteverwaltung" endlich zu durchschauen. Dank der hervorragenden Erklärungen ist die "fehlende" Hilfe innerhalb des Programms leicht zu verschmerzen.
SuRun stellt erfreulicherweise nahezu keine Ansprüche an die Ausstattung des Rechenknechtes. Das Programm läuft mit allen Windows-Betriebssystemen ab Win2k einschließlich der 64Bit-Varianten von XP und Vista.
Die Software sowie der Quelltexte sind frei verfügbar.
Tipp für Vista-Anwender
SuRun versieht seine Aufgaben auch unter Windows Vista bei aktivierter Benutzerkontensteuerung. Dadurch ist es möglich, dass auch in Vista aus einem echten eingeschränkten Konto Programme mit gehobenen Rechten gestartet werden können, ohne ein Administratorkennwort angeben zu müssen.
Quelle:http://www.freenet.de/freenet/computer_und_technik/betriebssysteme/windows_tools/surun_administration/02.html