Chính xác 'Chạy làm quản trị viên' làm gì?

Question

Trên Windows   7, tôi có một chương trình dòng lệnh không thành công do lỗi cho phép ghi tệp và bật lên các hộp thoại gây phiền nhiễu UAC mỗi lần tôi chạy chương trình dòng lệnh từ 'nhà xuất bản không xác định'.

Tuy nhiên, nếu tôi khởi động bàn điều khiển bằng cách nhấp chuột phải và chọn 'chạy với tư cách quản trị viên', khi đó cài đặt hoạt động tốt, ngay cả khi hộp thoại UAC vẫn còn hiện diện.

Người dùng của tôi đã là thành viên của nhóm 'quản trị viên', vì vậy chính xác 'chạy với tư cách quản trị viên' làm điều gì khiến cài đặt của tôi hoạt động?

Câu hỏi cụ thể của tôi là chính xác: 'Quản trị viên chạy' làm gì? Không có câu trả lời nào cho đến nay giải quyết vấn đề này. (ví dụ, nó có chạy quá trình mới với tư cách là người dùng 'Quản trị viên' không? Hoặc nó có chạy quá trình với tư cách người dùng hiện tại không, nhưng với đặc quyền nâng cao thì sao? người dùng thuộc nhóm 'Quản trị viên'?

(Cụ thể, tôi đang sử dụng 'Bảng điều khiển' từ SourceForge, không phải là cửa sổ CMD thông thường, nhưng tôi không nghĩ điều đó quan trọng. Đây là tất cả trong khi cài đặt Python ' phân phối' gói bằng cách chạy 'python distribute_setup.py' trên Python3 MSI mới được cài đặt từ python.org. đó là một Python 32-bit trên Windows 64-bit. Xem Installing Python and distribute on Windows 7 gives "Writing failed ... permission denied")

Answer 1

Khi bạn đăng nhập Windows, hãy tạo mã thông báo truy cập. Điều này xác định bạn, các nhóm bạn là thành viên và đặc quyền của bạn.Và lưu ý rằng liệu người dùng có phải là quản trị viên hay không được xác định bởi liệu người dùng có phải là thành viên của nhóm Quản trị viên hay không.

Không có UAC, khi bạn chạy chương trình, nó sẽ nhận được bản sao mã thông báo truy cập và điều này kiểm soát những gì chương trình có thể truy cập.

Với UAC, khi bạn chạy chương trình, mã sẽ nhận được mã thông báo truy cập bị hạn chế. Đây là mã thông báo truy cập ban đầu có "Quản trị viên" bị xóa khỏi danh sách nhóm (và một số thay đổi khác). Mặc dù người dùng của bạn là thành viên của nhóm Quản trị viên, chương trình không thể sử dụng đặc quyền của Quản trị viên.

Khi bạn chọn "Chạy với tư cách quản trị viên" và người dùng của bạn là quản trị viên, chương trình được khởi chạy với mã thông báo truy cập không hạn chế ban đầu. Nếu người dùng của bạn không phải là quản trị viên, bạn sẽ được nhắc về tài khoản quản trị viên và chương trình được chạy trong tài khoản đó.

Answer 2

Windows 7 đòi hỏi bạn phải cố ý hỏi cho một số đặc quyền để một chương trình độc hại không thể làm những điều xấu cho bạn. Nếu máy tính miễn phí bạn tải xuống cần thiết để chạy với tư cách quản trị viên, bạn sẽ biết có điều gì đó đang hoạt động. Có các lệnh hệ điều hành để nâng cao đặc quyền của ứng dụng của bạn (yêu cầu xác nhận từ người dùng).

Một mô tả tốt có thể được tìm thấy tại địa chỉ:

http://msdn.microsoft.com/en-us/magazine/cc163486.aspx#S4

Answer 3

CẬP NHẬT

"Run as Aministrator" chỉ là một lệnh, cho phép các chương trình để tiếp tục một số hoạt động đòi hỏi phải có các đặc quyền quản trị , không hiển thị cảnh báo UAC. Ngay cả khi người dùng của bạn là thành viên của nhóm quản trị viên, một số ứng dụng như bạn cần quyền quản trị để tiếp tục chạy, vì ứng dụng được coi là không an toàn, nếu nó hoạt động đặc biệt, chẳng hạn như chỉnh sửa tệp hệ thống hoặc gì đó khác. Đây là lý do tại sao Windows cần đặc quyền Administrator để thực thi ứng dụng và nó thông báo cho bạn bằng một cảnh báo UAC. Không phải tất cả các ứng dụng đều cần một tài khoản Amnistrator để chạy, và một số ứng dụng, giống như của bạn, cần có đặc quyền của Quản trị viên.

Nếu bạn thực thi ứng dụng bằng lệnh 'chạy với tư cách quản trị viên', bạn sẽ thông báo cho hệ thống rằng ứng dụng của bạn an toàn và thực hiện điều gì đó yêu cầu quyền quản trị, với xác nhận của bạn.

Nếu bạn muốn tránh điều này, chỉ cần tắt UAC trên Bảng điều khiển.

Nếu bạn muốn tiếp tục, hãy đọc câu hỏi Difference between "Run as Administrator" and Windows 7 Administrators Group trên diễn đàn Microsoft hoặc this Câu hỏi về người dùng siêu.

Answer 4

Những thứ như "nâng cao đặc quyền", "mã thông báo truy cập bị hạn chế", "Đặc quyền quản trị viên" ... dù sao thì đặc quyền quản trị viên là gì? là vô nghĩa.

Đây là một ACCESS_TOKEN cho một quy trình thường chạy từ người dùng thuộc nhóm Quản trị viên.

0: kd> !process 0 1 test.exe 
PROCESS 87065030 SessionId: 1 Cid: 0d60 Peb: 7ffdf000 ParentCid: 0618 
    DirBase: 2f22e1e0 ObjectTable: a0c8a088 HandleCount: 6. 
    Image: test.exe 
    VadRoot 8720ef50 Vads 18 Clone 0 Private 83. Modified 0. Locked 0. 
    DeviceMap 8936e560 
    Token        935c98e0 
0: kd> !token -n 935c98e0 
_TOKEN 935c98e0 
TS Session ID: 0x1 
User: S-1-5-21-2452432034-249115698-1235866470-1000 (no name mapped) 
User Groups: 
00 S-1-5-21-2452432034-249115698-1235866470-513 (no name mapped) 
    Attributes - Mandatory Default Enabled 
01 S-1-1-0 (Well Known Group: localhost\Everyone) 
    Attributes - Mandatory Default Enabled 
02 S-1-5-32-544 (Alias: BUILTIN\Administrators) 
    Attributes - Mandatory Default Enabled Owner 
03 S-1-5-32-545 (Alias: BUILTIN\Users) 
    Attributes - Mandatory Default Enabled 
04 S-1-5-4 (Well Known Group: NT AUTHORITY\INTERACTIVE) 
    Attributes - Mandatory Default Enabled 
05 S-1-2-1 (Well Known Group: localhost\CONSOLE LOGON) 
    Attributes - Mandatory Default Enabled 
06 S-1-5-11 (Well Known Group: NT AUTHORITY\Authenticated Users) 
    Attributes - Mandatory Default Enabled 
07 S-1-5-15 (Well Known Group: NT AUTHORITY\This Organization) 
    Attributes - Mandatory Default Enabled 
08 S-1-5-5-0-85516 (no name mapped) 
    Attributes - Mandatory Default Enabled LogonId 
09 S-1-2-0 (Well Known Group: localhost\LOCAL) 
    Attributes - Mandatory Default Enabled 
10 S-1-5-64-10 (Well Known Group: NT AUTHORITY\NTLM Authentication) 
    Attributes - Mandatory Default Enabled 
11 S-1-16-12288 (Label: Mandatory Label\High Mandatory Level) 
    Attributes - GroupIntegrity GroupIntegrityEnabled 
Primary Group: S-1-5-21-2452432034-249115698-1235866470-513 (no name mapped) 
Privs: 
05 0x000000005 SeIncreaseQuotaPrivilege   Attributes - 
08 0x000000008 SeSecurityPrivilege    Attributes - 
09 0x000000009 SeTakeOwnershipPrivilege   Attributes - 
10 0x00000000a SeLoadDriverPrivilege    Attributes - 
11 0x00000000b SeSystemProfilePrivilege   Attributes - 
12 0x00000000c SeSystemtimePrivilege    Attributes - 
13 0x00000000d SeProfileSingleProcessPrivilege Attributes - 
14 0x00000000e SeIncreaseBasePriorityPrivilege Attributes - 
15 0x00000000f SeCreatePagefilePrivilege   Attributes - 
17 0x000000011 SeBackupPrivilege     Attributes - 
18 0x000000012 SeRestorePrivilege    Attributes - 
19 0x000000013 SeShutdownPrivilege    Attributes - 
20 0x000000014 SeDebugPrivilege     Attributes - 
22 0x000000016 SeSystemEnvironmentPrivilege  Attributes - 
23 0x000000017 SeChangeNotifyPrivilege   Attributes - Enabled Default 
24 0x000000018 SeRemoteShutdownPrivilege   Attributes - 
25 0x000000019 SeUndockPrivilege     Attributes - 
28 0x00000001c SeManageVolumePrivilege   Attributes - 
29 0x00000001d SeImpersonatePrivilege   Attributes - Enabled Default 
30 0x00000001e SeCreateGlobalPrivilege   Attributes - Enabled Default 
33 0x000000021 SeIncreaseWorkingSetPrivilege  Attributes - 
34 0x000000022 SeTimeZonePrivilege    Attributes - 
35 0x000000023 SeCreateSymbolicLinkPrivilege  Attributes - 
Authentication ID:   (0,14e4c) 
Impersonation Level:  Anonymous 
TokenType:     Primary 
Source: User32    TokenFlags: 0x2000 (Token in use) 
Token ID: d166b   ParentToken ID: 0 
Modified ID:    (0, d052f) 
RestrictedSidCount: 0  RestrictedSids: 00000000 
OriginatingLogonSession: 3e7 

... và đây là ACCESS_TOKEN cho quy trình thường được chạy bởi cùng một người dùng với "Chạy với tư cách quản trị viên".

TS Session ID: 0x1 
User: S-1-5-21-2452432034-249115698-1235866470-1000 (no name mapped) 
User Groups: 
00 S-1-5-21-2452432034-249115698-1235866470-513 (no name mapped) 
    Attributes - Mandatory Default Enabled 
01 S-1-1-0 (Well Known Group: localhost\Everyone) 
    Attributes - Mandatory Default Enabled 
02 S-1-5-32-544 (Alias: BUILTIN\Administrators) 
    Attributes - Mandatory Default Enabled Owner 
03 S-1-5-32-545 (Alias: BUILTIN\Users) 
    Attributes - Mandatory Default Enabled 
04 S-1-5-4 (Well Known Group: NT AUTHORITY\INTERACTIVE) 
    Attributes - Mandatory Default Enabled 
05 S-1-2-1 (Well Known Group: localhost\CONSOLE LOGON) 
    Attributes - Mandatory Default Enabled 
06 S-1-5-11 (Well Known Group: NT AUTHORITY\Authenticated Users) 
    Attributes - Mandatory Default Enabled 
07 S-1-5-15 (Well Known Group: NT AUTHORITY\This Organization) 
    Attributes - Mandatory Default Enabled 
08 S-1-5-5-0-85516 (no name mapped) 
    Attributes - Mandatory Default Enabled LogonId 
09 S-1-2-0 (Well Known Group: localhost\LOCAL) 
    Attributes - Mandatory Default Enabled 
10 S-1-5-64-10 (Well Known Group: NT AUTHORITY\NTLM Authentication) 
    Attributes - Mandatory Default Enabled 
11 S-1-16-12288 (Label: Mandatory Label\High Mandatory Level) 
    Attributes - GroupIntegrity GroupIntegrityEnabled 
Primary Group: S-1-5-21-2452432034-249115698-1235866470-513 (no name mapped) 
Privs: 
05 0x000000005 SeIncreaseQuotaPrivilege   Attributes - 
08 0x000000008 SeSecurityPrivilege    Attributes - 
09 0x000000009 SeTakeOwnershipPrivilege   Attributes - 
10 0x00000000a SeLoadDriverPrivilege    Attributes - 
11 0x00000000b SeSystemProfilePrivilege   Attributes - 
12 0x00000000c SeSystemtimePrivilege    Attributes - 
13 0x00000000d SeProfileSingleProcessPrivilege Attributes - 
14 0x00000000e SeIncreaseBasePriorityPrivilege Attributes - 
15 0x00000000f SeCreatePagefilePrivilege   Attributes - 
17 0x000000011 SeBackupPrivilege     Attributes - 
18 0x000000012 SeRestorePrivilege    Attributes - 
19 0x000000013 SeShutdownPrivilege    Attributes - 
20 0x000000014 SeDebugPrivilege     Attributes - 
22 0x000000016 SeSystemEnvironmentPrivilege  Attributes - 
23 0x000000017 SeChangeNotifyPrivilege   Attributes - Enabled Default 
24 0x000000018 SeRemoteShutdownPrivilege   Attributes - 
25 0x000000019 SeUndockPrivilege     Attributes - 
28 0x00000001c SeManageVolumePrivilege   Attributes - 
29 0x00000001d SeImpersonatePrivilege   Attributes - Enabled Default 
30 0x00000001e SeCreateGlobalPrivilege   Attributes - Enabled Default 
33 0x000000021 SeIncreaseWorkingSetPrivilege  Attributes - 
34 0x000000022 SeTimeZonePrivilege    Attributes - 
35 0x000000023 SeCreateSymbolicLinkPrivilege  Attributes - 
Authentication ID:   (0,14e4c) 
Impersonation Level:  Anonymous 
TokenType:     Primary 
Source: User32    TokenFlags: 0x2000 (Token in use) 
Token ID: ce282   ParentToken ID: 0 
Modified ID:    (0, cddbd) 
RestrictedSidCount: 0  RestrictedSids: 00000000 
OriginatingLogonSession: 3e7 

Như bạn thấy, sự khác biệt duy nhất là ID mã thông báo:

Token ID: d166b   ParentToken ID: 0 
Modified ID:    (0, d052f) 

vs

Token ID: ce282   ParentToken ID: 0 
Modified ID:    (0, cddbd) 

Xin lỗi, tôi không thể thêm nhiều ánh sáng vào điều này, nhưng tôi vẫn đào.

Answer 5

Vì vậy, ... đào nhiều hơn, với kết quả. Dường như mặc dù tôi đã chạy một quy trình bình thường và một "Quản trị viên", tôi đã tắt UAC. Chuyển UAC sang phương tiện cho phép tôi xem các kết quả khác nhau. Về cơ bản, tất cả đều có mức độ toàn vẹn, ví dụ: 5.

Trình duyệt, chạy ở Mức thấp (1) trong khi dịch vụ (Người dùng hệ thống) chạy ở Cấp hệ thống (4). Mọi thứ được giải thích rất rõ ràng trong Windows Integrity Mechanism Design. Khi UAC được kích hoạt, các tiến trình được tạo ra với mức trung bình (SID 1-16-8192 AKA 0x2000 được thêm vào) trong khi khi "Chạy với tư cách quản trị viên", quá trình được tạo ra với mức cao (SID S-1-16-12288 aka 0x3000).

Vì vậy, các ACCESS_TOKEN chính xác cho một người sử dụng bình thường (Medium Liêm mức) là:

0:000:x86> !token 
Thread is not impersonating. Using process token... 
TS Session ID: 0x1 
User: S-1-5-21-1542574918-171588570-488469355-1000 
Groups: 
00 S-1-5-21-1542574918-171588570-488469355-513 
    Attributes - Mandatory Default Enabled 
01 S-1-1-0 
    Attributes - Mandatory Default Enabled 
02 S-1-5-32-544 
    Attributes - DenyOnly 
03 S-1-5-32-545 
    Attributes - Mandatory Default Enabled 
04 S-1-5-4 
    Attributes - Mandatory Default Enabled 
05 S-1-2-1 
    Attributes - Mandatory Default Enabled 
06 S-1-5-11 
    Attributes - Mandatory Default Enabled 
07 S-1-5-15 
    Attributes - Mandatory Default Enabled 
08 S-1-5-5-0-1908477 
    Attributes - Mandatory Default Enabled LogonId 
09 S-1-2-0 
    Attributes - Mandatory Default Enabled 
10 S-1-5-64-10 
    Attributes - Mandatory Default Enabled 
11 S-1-16-8192 
    Attributes - GroupIntegrity GroupIntegrityEnabled 
Primary Group: LocadDumpSid failed to dump Sid at addr 000000000266b458, 0xC0000078; try own SID dump. 
s-1-0x515000000 
Privs: 
00 0x000000013 SeShutdownPrivilege    Attributes - 
01 0x000000017 SeChangeNotifyPrivilege   Attributes - Enabled Default 
02 0x000000019 SeUndockPrivilege     Attributes - 
03 0x000000021 SeIncreaseWorkingSetPrivilege  Attributes - 
04 0x000000022 SeTimeZonePrivilege    Attributes - 
Auth ID: 0:1d1f65 
Impersonation Level: Anonymous 
TokenType: Primary 
Is restricted token: no. 

Bây giờ, sự khác biệt là như sau:

S-1-5-32-544 
Attributes - Mandatory Default Enabled Owner 

cho "Như quản trị", trong khi

S-1-5-32-544 
Attributes - DenyOnly 

cho người không phải là quản trị viên.

Lưu ý rằng S-1-5-32-544 là BUILTIN \ Quản trị viên.Ngoài ra, có những đặc quyền ít hơn, và điều quan trọng nhất cần chú ý:

admin:

S-1-16-12288 
Attributes - GroupIntegrity GroupIntegrityEnabled 

trong khi đối với không phải quản trị:

S-1-16-8192 
Attributes - GroupIntegrity GroupIntegrityEnabled 

Tôi hy vọng điều này sẽ giúp.

Đọc thêm: http://www.blackfishsoftware.com/blog/don/creating_processes_sessions_integrity_levels

Answer 6

Các Run as * Bất cứ điều gì lệnh giúp bạn tiết kiệm từ đăng xuất và đăng nhập như là người dùng mà bạn sử dụng runas lệnh cho.

Lý do chương trình yêu cầu đặc quyền nâng cao này bắt đầu bằng Lược đen và thư mục Panther. Có 0 truy cập vào Kernel trong cửa sổ trừ khi thông qua dấu nhắc Admin và sau đó nó chỉ là một mối quan hệ ảo với hạt nhân O/S.

Hoorah!

Answer 7

Một chút rõ ràng hơn ... Chương trình phần mềm có quyền truy cập chế độ hạt nhân có toàn quyền truy cập vào tất cả dữ liệu của máy tính và phần cứng của máy tính.

Vì Windows Vista Microsoft đã dừng bất kỳ và tất cả các quy trình I/O truy cập trực tiếp vào hạt nhân (vòng 0). Gần nhất chúng ta nhận được là một thư mục được tạo ra như là một phân vùng truy cập hạt nhân ảo, nhưng về mặt kỹ thuật không có quyền truy cập vào chính hạt nhân; hạt nhân gặp nửa chừng.

Điều này là do chính phần mềm đưa ra mã thông báo để sử dụng, vì vậy nếu nó yêu cầu mã thông báo truy cập của quản trị viên, thay vì chỉ cho phép liên lạc với hạt nhân như trên Windows   XP, bạn được nhắc cho phép truy cập hạt nhân và mọi lúc. Thay đổi UAC có thể làm giảm các lời nhắc, nhưng không bao giờ nhắc hạt nhân.

Ngay cả khi bạn đăng nhập với tư cách Quản trị viên, bạn đang chạy các quy trình với tư cách người dùng chuẩn cho đến khi được nhắc nâng cao các quyền bạn có. Tôi tin rằng đã đăng nhập với tư cách quản trị viên giúp bạn không thể nhập thông tin đăng nhập. Nhưng nó cũng viết cho cấu trúc thư mục người dùng quản trị viên.

Truy cập hạt nhân giống với quyền truy cập root trong Linux. Khi bạn nâng cấp quyền của mình, bạn đang cách ly chính mình khỏi thư mục gốc của C: \ và bất kỳ biến môi trường đáng yêu nào được chứa bên trong.

Nếu bạn nhớ BSOD, đây là hệ điều hành tắt khi tin rằng một I/O xấu đến hạt nhân.

Answer 8

Được rồi, chúng ta hãy tái lặp ...

Câu hỏi thực tế (và là một tuyệt vời tại đó)

"gì 'run as admin' làm điều đó trở thành một thành viên của nhóm quản trị viên không? "

(Trả lời) 1. Nó cho phép bạn gọi các quyền quản trị viên trong một phiên người dùng.

Lưu ý: Câu hỏi được đặt sai; một là một lệnh và một là một đối tượng nhóm để áp dụng các chính sách.

Mở lời nhắc lệnh và nhập runas /?.

Danh sách này sẽ liệt kê tất cả các công tắc có thể sử dụng các dòng lệnh runas.

Đối với nhóm quản trị viên, điều này dựa trên GPEDIT hoặc SECPOL và có hoặc không có quản trị viên miền hiện diện hay không hoặc mạng có mặt hay không.

Thông thường những điều này sẽ áp dụng các hạn chế trên máy tính mà nhóm quản trị viên không bị ảnh hưởng bởi.

Câu hỏi đặt ra nên

không quản trị runas làm gì chạy mà như người sử dụng không?

HOẶC

gì nhóm quản trị làm điều đó một nhóm người dùng tùy chỉnh có thể không?

Bạn đang trộn táo và cam.