Утилита AdmiLink будет Вам полезна, если у Вас возникла необходимость
дать Ограниченным Пользователям возможность запускать некоторые нужные программы
с правами Администратора, но без постоянного ввода пароля Администратора.
Стандартная утилита runas вам тут мало поможет,
т.к. она либо требует пароля, либо снижает защиту, позволяя запускать без пароля любые программы.
Вам поможет AdmiLink, которая позволит запускать без пароля только то, что надо.
С помощью AdmiLink вы можете создать ярлык, который запускает конкретную программу
с повышенными правами без ввода пароля (пароль вводится один раз при создании ярлыка).
Программа (начиная с версии 3.0) может работать в Windows-XP/7/8/10-x32/x64
и поддерживает режим UAC (Контроля Пользователей).
Программа (начиная с версии 3.0) может вызываться из контекстного меню "Открыть с помощью...",
доступного для всех исполняемых файлов по правой кнопке мыши в любом окне Проводника.
Это делает создание ярлыков AdmiLink более удобным.
AdmiLink - утилита, при помощи которой Администратор может создать ярлык, дающий возможность пользователям с ограниченными правами запускать конкретную (без возможности подмены!) программу с правами Администратора (или любого другого пользователя) без (интерактивного) ввода пароля.
Типичным применением программы AdmiLink является администрирование защищенных систем, в которых пользователь работает в основном под своей ограниченной учетной записью, и только отдельные, строго ограниченные Администратором функции запускает под Администратором, не зная его пароля и не имея возможности запускать другие, несанкционированные программы.
AdmiLink также может использоваться для автоматического запуска программ, требующих прав Администратора, через Автозагрузку. Автоматический запуск предполагает, что пароль Администратора вводить каждый раз не придется.
Другим типичным примером является использование AdmiLink для запуска потенциально опасных программ, например, Web браузера, с пониженными правами без ввода пароля. Так, чтобы избежать заражения машины вирусом, можно запускать Web браузер под учетной записью ограниченного пользователя, что резко снижает вероятность повреждения системы. Чтобы не вводить каждый раз пароль ограниченного пользователя, на Рабочем Столе можно сделать ярлык для запуска Web браузера под ограниченным пользователем.
Программа AdmiLink также содержит полезные дополнительные функции, нужные Администратору, такие как:
В общем, AdmiLink - хороший помощник Администратора, содержащий ряд уникальных функций, которые не так легко найти, тем более в одной, и притом свободной, программе.
Содержание
Для инсталляции AdmiLink загрузите и запустите инсталлятор
InstallAdmiLink.Exe.
Инсталляция должна запускаться под Администратором,
иначе корректная работа программы в дальнейшем не гарантируется.
В процессе инсталляции надо выбрать язык инсталлятора, а также указать каталог инсталляции (рекомендуется использовать значения по умолчанию).
Для автоматической инсталляции "молча" (например, в командном файле или в составе другого пакета) используйте вызов типа такого:
InstallAdmiLink.Exe /S - инсталляция молча InstallAdmiLink.Exe /S /D=C:\Program Files\AdmiLink - и с указанием каталога
Запускать программу можно будет под всеми пользователями.
Однако при запуске AdmiLink из-под ограниченного пользователя ряд функций будет ограничен.
Например, создание ярлыков для всех пользователей будет запрещено.
Функции AdmiGuard также будут недоступны.
Удаление программы AdmiLink снова потребует прав Администратора, так как все файлы при инсталляции были созданы с правами Администратора.
Содержание
Программа AdmiLink распространяется СВОБОДНО при условии некоммерческого использования.
Ее (пере)продажа или поставка в качестве компонента коммерческих продуктов без согласования
с автором запрещена.
В случае некоммерческого использования программа AdmiLink поставляется "как есть", без каких-либо гарантий, явных или предполагаемых. Вы можете использовать ее на свой страх и риск.
В случае коммерческого использования программы AdmiLink, в том числе при ее включении в состав других коммерческих продуктов, необходимо письменное разрешение Автора. Условия распространения и гарантии в этом случае определяются договором с Заказчиком.
Автор программы: Алексей Курякин, 2005..2018, Саров, Россия, kouriakine@mail.ru.
Содержание
Для запуска Web браузера и других программ, для которых желательна работа в "карантинной зоне" со специально ограниченными правами, при помощи AdmiLink создаются ярлыки, чтобы не вводить пароль при каждом запуске интересующих программ. Практика показала, что безопасность работы в сети при этом резко повышается, так как даже при загрузке вирусов у них не хватает прав для того, чтобы серьезно повредить систему, а последствия заражения устранять становится намного легче.
Вот пример, довольно близкий к реальности. Имеется сетевой архив для хранения всякой всячины, например, дистрибутивов: \\archive\distributions, который открыт для всех на чтение и только сетевому Администратору под пользователем root на запись. Сетевой Администратор, который администрирует архив, работает на своей машине (другой) под (ограниченным) пользователем bilbo, к примеру, и не имеет прав на запись в каталоге архивных дистрибутивов. Это значит, что Администратор не сможет случайно (а как Вы знаете людям свойственно ошибаться) удалить ценный дистрибутив, выполняя обычную работу. Чтобы выполнить удаление или запись дистрибутива в архив, надо зайти в систему под именем root, то есть предпринять некоторое осознанное действие, после чего можно будет делать все что нужно. Такой (правильный) подход не всеми используется, поскольку (некоторые) люди по природе своей ленивы и необходимость многократного ввода пароля их напрягает.
При помощи AdmiLink сетевой Администратор может сделать на своем Рабочем Столе или где-то еще ярлык для запуска любимого файлового менеджера, например, Total Commander, под пользователем root. Поскольку AdmiLink позволяет избежать ввода пароля, можно не держать файловый менеджер, запущенный под root, постоянно открытым, а запускать его всякий раз, когда требуется делать запись в архив дистрибутивов, и сразу закрывать его, когда он больше не нужен. Получается довольно сильное облегчение работы, при этом без потери безопасности. Разумеется, другие пользователи доступа на машину Администратора не имеют, иначе создавать ярлыки для Total Commander было бы опасно.
Вообще имеет смысл создавать несколько ярлыков (того же Total Commander, например) для выполнения разного рода администраторских работ. Можно администрировать несколько доменов, каждый под своим пользователем. Можно создавать несколько пользователей, каждый из которых имеет права для выполнение какой-то группы критических операций. Ярлыки AdmiLink при этом помогут быстро запускать нужные утилиты под нужными пользователями, что существенно облегчит жизнь Администратора.
СодержаниеВ состав пакета входит три программы: AdmiLink, AdmiLaunch и AdmiRun.
AdmiRun - простая консольная программа, которая умеет только одно - запускать другие программы от имени Администратора (или любого другого пользователя). При инсталляции AdmiRun копируется в каталог Windows, чтобы быть доступной в любом каталоге. AdmiRun может работать как в пакетном режиме (в командных файлах), так и для интерактивного запуска программ (через ярлык на Рабочем столе). Формат вызова можно получить, набрав AdmiRun /?. Разумеется, для запуска программ от имени Администратора нужно знать пароль. С другой стороны, из соображений безопасности открыто передавать пароль нельзя, иначе вся система защиты лишается смысла. Выход состоит в передаче зашифрованной учетной записи (учетная запись = пользователь + домен + пароль). Учетную запись AdmiRun получает через командную строку, однако понять из нее ничего нельзя - учетная запись передается как зашифрованнный ключ. Ключ привязан к конкретному исполняемому файлу, без этого файла AdmiRun просто не сможет расшифровать учетную запись. Поэтому если пользователь попробует запустить другую программу с таким же ключом, он потерпит неудачу. Более того, для того, чтобы сделать жизнь взломщиков повеселее, ключи генерируются с использованием случайных чисел и никогда не повторяются.
Но как сгенерировать упомянутый зашифрованный ключ для запуска интересующей программы? Как Вы (правильно) догадались, это делается при помощи утилиты AdmiLink.
AdmiLink - простая интерактивная программа, которая умеет генерировать ключи для запуска AdmiRun и правильно построенные ярлыки, которые позволяют запускать другие программы от имени Администратора (или любого другого пользователя). AdmiLink шифрует учетную запись Администратора и строит ярлык для вызова AdmiRun, который получает в качестве параметров зашифрованную учетную запись, имя исполняемой программы и прочие параметры командной строки. При этом подменить ключ для запуска программы нельзя, поскольку в шифровании участвует содержимое запускаемого файла. Замена исполняемого файла приведет к тому, что ключ станет недействительным.
Таким образом, Администратор при помощи AdmiLink создает ярлык, который дает возможность пользователям с ограниченными правами запускать конкретную (без возможности подмены) программу с правами Администратора (или любого другого пользователя) без ввода пароля. А это как раз то, что надо.
Утилита AdmiLaunch - программа, которая умеет запускать другие программы в различных режимах окна, с разными приоритетами, с запросом на повышение прав и т.д. Эта утилита нужна для того, чтобы консольное окно AdmiRun не мелькало при запуске программ через ярлыки AdmiLink. Ярлыки AdmiLink сначала вызывают AdmiLaunch, которая вызывает AdmiRun в скрытом или свернутом окне, чтобы его появление не раздражало. Ну а AdmiRun делает всю остальную работу.
СодержаниеЛюбой уважающий себя Администратор не станет использовать сомнительные с точки зрения защиты утилиты. Что можно сказать в пользу AdmiLink?
Если Вы намерены использовать сохранение и автозаполнение паролей, почитайте также раздел с описанием сохранения и автозаполнения паролей.
СодержаниеЕсли кратко, AdmiLink не защищен от некомпетентности г-на Администратора и ляпов г-на Билла Гейтса.
Абсолютно защищенных систем, наверное, не существует. Разумеется, любая программа, запущенная с правами Администратора, является потенциальной "дырой" в защите. Вопрос в размере этой "дыры". А вот это уже зависит от Вас.
Помните - система безопасности - не прерогатива какой-то одной программы, даже самой совершенной, это комплекс мер (программных, аппаратных, организационных). Систему защиты можно сравнить со стеной крепости, которая защищает только тогда, когда каждый кирпич прочен и стоит на своем месте. И не забывайте про акведуки - на них надо ставить решетки, иначе можно пролезть в крепость даже при наличии крепостной стены.
Так вот, AdmiLink - это очень неплохой "кирпич" в системе защиты, задачей которого является БЕЗОПАСНЫЙ ЗАПУСК программ. Безопасный запуск означает, что:
За работу самих запущенных программ AdmiLink не отвечает. AdmiLink не контролирует дальнейшее поведение программ после их запуска. Это не его задача.
Однако, идя навстречу Администраторам, в версии 1.5 в состав AdmiLink была добавлена утилита AdmiGuard, позволяющая выполнять некоторые, наиболее очевидные и критические настройки Windows, что несколько снижает риск несанкционированного получения прав Администратора пользователем при работе программ, запущенных с правами Администратора через ярлык AdmiLink.
К примеру, можно отключить запуск отладчика Dr.Watson при сбое приложений, потому, что если программа с правами Администратора "упадет", отладчик может дать пользователю возможность получить права Администратора.
Другой пример: запуская с правами Администратора произвольно взятую программу, содержащую стандартный диалог ввода имени файла, Пользователь может получить права Администратора через контекстное (выпадающее) меню, которое появляется по нажатию правой кнопки мыши в списке файлов стандартного диалога ввода имени файла. Чтобы защититься от этой напасти, можно, например, отключить контекстное меню в стандартном Проводнике Windows. Это можно сделать в редакторе реестра. Но гораздо удобнее это делать, воспользовавшись утилитой AdmiGuard, входящей в состав программы AdmiLink.
Но все-таки это, заметьте, проблемы не самого AdmiLink, а "навязчивого сервиса" Windows. Некоторые "дыры" такого рода можно закрыть настройкой Windows (например, через AdmiGuard), другие нельзя закрыть НИЧЕМ. Таким образом, круг программ, которые можно безопасно запускать из-под Администратора, несколько сужается.
Безопасно можно запускать под Администратором простые программы (без сложного интерфейса), либо специально созданные с учетом требований безопасности программы, либо надо очень тщательно настраивать систему безопасности Windows. Смотри описание AdmiGuard и советы.
Напомню, AdmiLink был создан для запуска программ пакета CRW-DAQ, а этот пакет имеет свою внутреннюю систему защиты и создан с учетом возможности работы из-под ограниченного пользователя. Например, диалоги ввода имен файлов там специальные, без выпадающего меню по правой кнопке мыши.
Однако я настаиваю на том, что ВСЕ обсуждаемые в форумах "дыры" в защите не являются проблемой самой программы AdmiLink, а являются проблемой либо системы безопасности Windows, либо уровня образования конкретного Администратора. Обеспечение безопасности - сложная задача, и AdmiLink является только одним из ее звеньев. AdmiLink отвечает за запуск программы, предохраняя от подмены программы, командной строки и т.д. Но AdmiLink не несет ответственности за "дыры" в защите самой запускаемой программы. И если Вы сделали ярлык на программу типа "cmd.exe /c format c:", пеняйте сами на себя, AdmiLink тут ни причем.
Таким образом, вопрос защиты был, есть и будет вопросом компетентности Администратора, который должен понимать, какие программы можно или нельзя запускать из-под Администратора.
Другой жалобой было то, что есть какие-то проблемы при работе AdmiLink на системах, установленных под Fat32. Забудьте. Безопасность и Fat32 - несовместимые понятия. Даже обсуждать тут нечего. Какой смысл что-то вообще защищать, если под Fat32 нет никакой защиты на базовом уровне - на уровне файловой системы.
СодержаниеВ системе Windows имеется стандартная утилита runas.exe, которая позволяет запускать программы из-под другого пользователя. Интерактивный режим runas с вводом пароля через консольное окно мы тут не будем обсуждать, это не то, что нам надо. Нас интересует запуск НУЖНОЙ программы без ввода пароля. Для этого у программы runas вроде бы есть опция /savecred. Но использовать её не рекомендуется, поскольку она резко снижает безопасность системы. Работает это так.
Допустим, нам надо запускать программу notepad.exe от имени пользователя Администратор на локальной машине:
runas /savecred /user:localhost\Администратор notepad.exe
Введите пароль для localhost\Администратор:
Попытка запуска notepad.exe от имени пользователя "localhost\Администратор" ...
notepad.exe (запущено от имени localhost\Администратор)
Пока все хорошо.
Проверяем, что теперь можно запускать ТРЕБУЕМУЮ программу
notepad.exe от имени пользователя Администратор:
runas /savecred /user:localhost\Администратор notepad.exe
Попытка запуска notepad.exe от имени пользователя "localhost\Администратор" ...
notepad.exe (запущено от имени localhost\Администратор)
Давайте теперь попробуем запусть ДРУГУЮ программу, например, cmd.exe:
runas /savecred /user:localhost\Администратор cmd.exe
Попытка запуска cmd.exe от имени пользователя "localhost\Администратор" ...
cmd.exe (запущено от имени localhost\Администратор)
Итак, использование
runas /savecred /user:host\name program.exeприводит к тому, что пользователь с ограниченными правами получает возможность запускать ЛЮБУЮ программу с правами Администратора без ввода пароля. С таким же успехом можно повесить перед компьютером плакат с паролем Администратора. Или вообще отказаться от многопользовательского режима. Это будет честнее, чем обманывать себя и делать вид, что защита существует.
По указанной причине я не рассматриваю утилиту runas как альтернативу программе AdmiLink. Можно, конечно, возражать, что на такое титаническое усилие мысли, как ввод команды через консольное окно, средний пользователь не способен. Это далеко не всегда так. И вообще это слабое утешение. Я бы на это не полагался. В общем, используете runas - пеняйте на себя. Я Вас предупредил.
Справедливости ради надо отметить, что runas все же может с большой пользой использоваться, например, если вы, работая под Администратором, хотите запускать программы с пониженными правами, то есть под ограниченным пользователем. Понижение прав полезно, например, для работы в Internet (см. пример). В этом случае вызов программ через runas /savecred не будет приводить к снижению защищенности системы и потому вполне допустим.
Содержание
AdmiLink создает ярлык за 12 шагов, которые разбиты на 3 страницы.
Как пользоваться программой AdmiLink
Вот описание 12 шагов создания ярлыка:
При задании каталога ярлыка будьте внимательны. Если, например, вы запустили AdmiLink под Администратором, то и ярлык (по умолчанию) создается на Рабочем Столе Администратора (а не ограниченного пользователя)! Если вы хотите, чтобы ярлык появился на Рабочем Столе ограниченного пользователя, надо явно прописать путь к его Рабочему Столу. Либо надо запустить AdmiLink под ограниченным пользователем, тогда ярлык по умолчанию попадет на Рабочий Стол этого пользователя.
Если же Вы хотите сделать ярлык для всех пользователей, то надо запустить AdmiLink
под Администратором, поставить галочку в поле All Users, а затем нажать
кнопку Desktop (например). Либо надо просто явно прописать каталог общего
Рабочего Стола, например:
C:\Documents and Settings\All Users\Рабочий Стол
C:\WINDOWS\AdmiLaunch.exe -7 C:\WINDOWS\AdmiRun.exe -d+ -i+ -w- -l+ -c- -a- -m- 8B+3/JY5AABl3qQju5BJfbv7dRxjhevM+pcAES7mQI9u7lDPA6rY0OB/4zFbuwpj "C:\WINDOWS\System32\defrag.exe" C:
здесь C:\WINDOWS\AdmiLaunch.exe -7 C:\WINDOWS\AdmiRun.exe - запуск AdmiRun.exe в свернутом окне с помощью утилиты AdmiLaunch
-d+ -i+ -w- -l+ -c- -a- -m- - опции запуска
8B+3/JY5AABl3qQju5BJfbv7dRxjhevM+pcAES7mQI9u7lDPA6rY0OB/4zFbuwpj - ключ запуска с зашифрованной учетной записью
"C:\WINDOWS\System32\defrag.exe" C: - запускаемая программа пользователя
Правильная абракадабра не получится, если на предыдущих шагах допущена ошибка.
Если все прошло нормально, без ошибок, разрешается кнопка генерации ярлыка "Create Link now!".
После ее нажатия генерируется ярлык, а все поля сбрасываются.
И не ругайтесь! Сброс полей делается сознательно, для того, чтобы минимизировать время,
когда пароль Администратора еще находится в памяти.
Не забывайте, что существуют взломщики паролей (например, Open Pass),
позволяющие увидеть скрытый за "звездочками" пароль в поле ввода пароля.
Применение программы AdmiLink имеет ряд не совсем очевидных особенностей. Главное, что всегда надо помнить, это что в многопользовательской системе требуется четкое понимание, что, когда и под каким пользователем выполняется, и это самое неочевидное во всей этой кухне.
Следует различать:
Рассмотрим такой пример.
Пусть имеются пользователи:
Итак, пусть AdmiLink установлен из-под Администратора, и пусть имеются программы prog1.exe и prog2.exe, которые требуется запускать с правами Администратора (но без ввода пароля), для чего мы будем использовать учетную запись root. При этом Рабочий Стол Windows будет запускаться под ограниченными пользователями alex или oleg, причем программа prog1.exe должна быть доступна всем, а prog2.exe - только пользователю alex.
Как решить такую задачу при помощи AdmiLink?
Решение следующее.
Разумеется, во втором примере мы тоже могли бы запустить AdmiLink как root,
однако при этом потребуется ЯВНО ("ручками") указывать целевой путь ярлыка
c:\Documents and Setings\alex\Рабочий стол,
так как путь ярлыка по умолчанию в этом случае будет
c:\Documents and Setings\root\Рабочий стол
а это вовсе не то, что мы хотели.
В принципе, такой способ даже предпочтительнее (хотя и сложнее), так как созданный ярлык
"c:\Documents and Setings\alex\Рабочий стол\Prog2 as root.Lnk"
уже не может быть (случайно) удален пользователем alex, ведь его создал root.
Запутались?
А ведь это самый простой случай, проще не бывает.
Ничего, привыкните, станет легче.
Утилита AdmiGuard служит для настройки некоторых наиболее часто используемых параметров безопасности Windows. Дело в том, что после запуска требуемой программы с правами Администратора при помощи ярлыка AdmiLink, у пользователя появляется потенциальная возможность несанкционированно получить права Администратора для запуска посторонних программ, используя разные "лазейки" в защите системы.
Ну, например, если в запущенной с правами Администратора целевой программе есть стандартный диалог ввода имени файла (а это довольно-таки частый случай), то через этот диалог, точнее, через контекстное меню по правой кнопке мыши, можно удалять файлы, запускать программы и делать прочие нехорошие вещи (с правами Администратора!). Это серьезная "дыра" в защите - ведь она фактически дает пользователю полный доступ к системе с правами Администратора!
Хотя это не проблема собственно AdmiLink (это проблема системы безопасности Windows вообще), ее все же надо как-то решать. Указанная "дыра" лечится, например, отключением контекстного меню "Проводника", что, конечно, можно сделать через редактор реестра, но уж больно сложно и неудобно.
Вот тут и пригодится AdmiGuard.
AdmiGuard содержит массу настроек, которые позволят устранить ну хотя бы самые очевидные дыры в защите системы.
Перечислим основные функции AdmiGuard:
Применение утилиты AdmiGuard имеет ряд не совсем очевидных особенностей.
Во-первых, помните, что при помощи ярлыков AdmiLink вы будуте запускать программы под другим (целевым) пользователем, поэтому и AdmiGuard, скорее всего, надо запускать под этим (целевым) пользователем, так как именно его настройки наиболее критичны с точки зрения безопасности системы.
Кроме того, имейте в виду, что при запуске AdmiGuard из-под ограниченного пользователя этот самый ограниченный пользователь не имеет права менять многие параметры системы, даже если они вроде бы касаются только этого пользователя. Поэтому функции утилиты AdmiGuard работать под ограниченным пользователем, скорее всего, вообще не будут. Ситуация веселая - для выполнения настройки данного пользователя мне надо запускать AdmiGuard под этим пользователем, но у пользователя нет прав для изменения своих настроек! Вот тебе раз!
Как же быть, если Вы все же хотите сделать настройки функций Windows при помощи AdmiGuard для ограниченного пользователя? Это довольно неприятно, но Вам придется временно дать Пользователю права Администратора, выполнить настройки, а затем лишить Пользователя прав Администратора. Другого способа я не знаю. Напишите мне, если Вы это знаете.
Итак, для настройки Ограниченного Пользователя при помощи AdmiGuard Вам придется:
Смотрите также советы.
СодержаниеВ версии AdmiLink v1.7 введено сохранение и автозаполнение паролей. Звучит это для Администратоского уха несколько, я бы сказал, пугающе. Хотя и заманчиво. Что же это такое и зачем это надо?
Ну, надо это для того чтобы не вводить пароли по многу раз. Допустим, Вы запустили AdmiLink на машине Host1 под пользователем Host1\Administrator и Вам надо создать для ограниченных пользователей на данной машине двадцать ярлыков, причем программы должны запускаться под (целевым) пользователем Host1\root, который имеет права (локального) Администратора. Эта довольно типичная ситуация описана в советах. Так что теперь, десять раз вводить пароль для пользователя Host1\root? Не хотелось бы... Что же делать?
А вот что. Итак, запускаем AdmiLink под пользователем Host1\Administrator. При этом, естественно, (один раз) вводится пароль Host1\Administrator. Вводим домен Host1 и имя пользователя root для (целевой) учетной записи Host1\root, затем два раза вводим пароль пользователя Host1\root. Замечаем, что рядом с полем ввода пароля появилась симпатичная кнопочка с зеленой галочкой. Эта кнопочка умеет сохранять пароль учетной записи целевого пользователя, в данном случае Host1\root, в файл. Перед сохранением, ясное дело, спрашивается разрешение. Нажимаем, отвечаем ДА и сохраняем.
Ну, и что мы получили? А то, что теперь всякий раз, когда мы запускаем AdmiLink под пользователем Host1\Administrator и выбираем учетную запись Host1\root (это можно сделать через меню), мы не должны вводить пароль, так как он сам автоматически вводится после заполнения полей домена и имени (целевого) пользователя. Таким образом, число вводов паролей сокращается до одного - надо все-таки ввести пароль Host1\Administrator, чтобы запустить AdmiLink под пользователем Host1\Administrator, которому доступны сохраненные пароли. Если надо создавать много ярлыков, это сокращение числа вводов паролей довольно существенно.
Замечательно, но не приведет ли это к снижению защищенности машины? Не смогут ли другие пользователи использовать сохраненные пароли во вред? Не думаю. Сохраненные пароли защищены.
Как защищено сохранение\автозаполнение паролей?
Вам мало такой защиты? Ну, не сохраняйте пароли. Тогда и автозаполнение не будет работать.
Ну а если Вы вдруг решили срочно удалить сохраненные пароли, там еще другая кнопочка есть, с красным крестиком. Убивает все пароли одним махом. Бальзам для параноиков.
СодержаниеПрограмма AdmiLink и AdmiRun вообще-то создавались для высокозащищенных систем, где пользователь, запускающий ярлыки под администратором, не должен ни при каких обстоятельствах узнать его пароль или запускать посторонние программы. При этом ярлык хранит зашифрованный ключ, сгенерировать который можно только с помощью программы AdmiLink и только в интерактивном режиме.
А вот как быть с командным режимом, когда надо запускать разные программы под разными пользователями, а вопрос защиты не стоит так остро? Ну, например:
Ну, для таких задач одно время я использовал cpau.exe, а потом подумал - зачем? И добавил в AdmiRun ключики, позволяющие делать практически то же самое, что умеет cpau.exe (только лучше :).
Ключ -u+ позволяет отключить шифрование учетной записи (пользователя, домена и пароля). При этом "секретный ключ" передается в URL кодировке и должен иметь вид:
user%0d%0adomain%0d%0apassword user - имя пользователя domain - домен password - пароль %0d%0a - разделитель (CR,LF) Например, пользователь bilbo в домене shire с паролем ring может использовать ключ типа admirun -u+ bilbo%0d%0ashire%0d%0aring c:\Game\Lord.exeНе буду углублять эту тему - кто знает, что такое URL кодировка - разберется, кто не знает - тому и не положено пользоваться такими штуками. Кстати, в AdmiLink есть URL кодировщик, которым всегда можно воспользоваться. Надо лишь помнить, что символы пробелов, а также +, % обрабатываются специальным образом. Еще полезно знать, что для запуска под текущим пользователем достаточно указать ключи "admirun -u+ + ...", так как плюс заменится на пробел и получится пустой "секретный ключ", который интерпретируется как текущий пользователь.
Ключ -s+ позволяет отключить интерактивные сообщения (диалоговые окна), которые появляются в случае ошибки запуска программы. Этот режим удобен для командного режима, чтобы лишние сообщения не болтались на экране. В командных файлах лучше анализировать код возврата, чем лицезреть всякие там окна.
Ключ -d0, -d1, ... -d10 позволяет запускать программу в различных режимах:
В программе AdmiLink перечисленные ключи не используются, так как они ориентированы на режим командной строки и командных файлов.
Примеры:
--Запуск Notepad (Minimized) под текущим пользователем admirun -d2 -u+ + c:\windows\system32\notepad.exe --Запуск Notepad (Maximized) под localhost\root с паролем boss, с подавлением сообщений об ошибках admirun -d3 -s+ -u+ root%0d%0alocalhost%0d%0aboss c:\windows\system32\notepad.exe
Имейти в виду: использование открытых паролей НЕБЕЗОПАСНО. Я Вас предупредил!
Не присылайте мне писем с претензиями типа "у меня систему взломали" - Вы ведь на то и Администратор,
сами должны знать, в каких случаях уместно использовать открытые пароли, а в каких - смерти подобно.
c:\windows\system32\control.exe timedate.cpl
Рекомендуется зафиксировать командную стоку на странице "AdmiLink\Account",
чтобы нельзя было вызвать другие контрольные панели.
C:\WINDOWS\AdmiRun.exe -d+ -i+ -w- -l+ -c- -a- -m- 8B+3/JY5AABl3qQju5BJfbv7dRxjhevM+pcAES7mQI9u7lDPA6rY0OB/4zFbuwpj "C:\WINDOWS\System32\defrag.exe" "C:"
Эти советы взяты из моей практики.
Спорить ни с кем не буду, хотите - используйте мой опыт, нет - сами себе враги хозяева.
Начиная с версии 3.0 AdmiLink может работать в Windows-XP/7/8/10-x32/x64 и поддерживает режим UAC (Контроля Прав Пользователей).
Технология UAC (Контроль Прав Пользователей) появилась в Windows Vista и входит во все последующие версии Windows. Её принципы подробно и доходчиво изложены здесь, тут и там. Повторяться нет смысла, изучайте указанную документацию. Здесь уместно лишь сказать о том, что непосредственно касается AdmiLink.
При включении UAC запуск программ с правами Администратора (это теперь называется Elevation, т.е. Повышение прав) выполняется в два этапа:
Обратите внимание, что в списке параметров команды AdmiRun (как и новой команды AdmiLaunch) появилась опция -e, от слова elevate (повышать) и elevation (повышение). По умолчанию опция включена для AdmiRun и отключена для AdmiLaunch. Это связано с тем, что эти программы обычно используются "в связке", например:
AdmiLaunch -7 AdmiRun -e+ key UserProgram.exe
Обратите внимание, что в программе AdmiLink на закладке Admilink\Account в списке опций AdmiRun появилась "галочка", управляющая опцией повышения прав. По умолчанию эта опция включена. Если вы хотите, чтобы автоматического повышения прав не происходило, отключите эту опцию, и тогда вход будет осуществляться под "ограниченным Администратором".
Содержание
Обратите внимание, что на закладке AdmiGuard\UAC появились средства настройки UAC.
Это большое подспорье СисАдминам, т.к. UAC имеет (см. тут)
10 параметров настройки,
большинство из которых не редактируются простыми штатными средствами Windows.
Например, слайдер на закладке
Панель управления
Учетные записи пользователей
Учетные записи пользователей
Параметры управления учетными записями пользователей
Настройка уведомления об изменении параметров компьютера
управляет только тремя (из десяти) параметров UAC.
сmd
gpedit.msc
Редактор локальной групповой политики
Политика "Локальный компьютер"
Конфигурация компьютера
Конфигурация Windows
Параметры безопасности
Локальные политики
Параметры безопасности
Контроль учетных записей: виртуализация сбоев записи в файл или реестр на основании расположений пользователя
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\EnableVirtualization
0 Отключен
1 Включен
Контроль учетных записей: все администраторы работают в режиме одобрения администратором
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\EnableLUA
0 Отключен
1 Включен
Контроль учетных записей: обнаружение установки приложений и запрос на повышение прав
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\EnableInstallerDetection
0 Отключен
1 Включен
Контроль учетных записей: переключение к безопасному рабочему столу при выполнении запроса на повышение прав
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\PromptOnSecureDesktop
0 Отключен
1 Включен
Контроль учетных записей: поведение запроса на повышение прав для администраторов в режиме одобрения администратором
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\ConsentPromptBehaviorAdmin
0 Повышение без запроса
1 Запрос учетных данных на безопасном рабочем столе
2 Запрос согласия на безопасном рабочем столе
3 Запрос учетных данных
4 Запрос согласия
5 Запрос согласия для исполняемых файлов, отличных от Windows
Контроль учетных записей: поведение запроса на повышение прав для обычных пользователей
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\ConsentPromptBehaviorUser
0 Автоматическое отклонение запросов на повышение прав
1 Запрос учетных данных на безопасном рабочем столе
2 Не используется
3 Запрос учетных данных
Контроль учетных записей: повышение прав для UIAccess-приложений только при установке в безопасных местах
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\EnableSecureUIAPaths
0 Отключен
1 Включен
Контроль учетных записей: повышение прав только для подписанных и проверенных исполняемых файлов
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\ValidateAdminCodeSignatures
0 Отключен
1 Включен
Контроль учетных записей: разрешение UIAccess-приложениям запрашивать повышение прав, не используя безопасный рабочий стол
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\EnableUIADesktopToggle
0 Отключен
1 Включен
Контроль учетных записей: режим одобрения администратором для встроенной учетной записи администратора
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\FilterAdministratorToken
0 Отключен
1 Включен
однако использование gpedit.msc простым и удобным не назовешь.
Если Вы хотите отблагодарить автора AdmiLink и помочь автору
в разработке и поддержке AdmiLink, можете сделать пожертвование
(например, через "мобильный банк"):
МИР
2202203255085211
СберБанк РФ
Если вы заметили ошибки или имеете предложения по улучшению программы,
пишите на адрес:
kouriakine@mail.ru
If you want to thank the author of AdmiLink and help the author
in the development and support of AdmiLink, you can make a donation
(for example, through " mobile Bank"):
MIR
2202203255085211
Sberbank of Russia
If you found errors or have suggestions to improve the program,
send a mail to:
kouriakine@mail.ru
Успеха в Admi-нистрировании! В случае чего mailto:kouriakine@mail.ru