Příkaz Runas pro spouštění programů pod jiným uživatelem
Při častém spouštění programů pod jiným uživatelem je nepohodlné pokaždé mačkat „Shift“ a klikat pravým tlačítkem myši. Snazší je využít vestavěný příkaz Runas. K tomu vytvoříme zástupce, který bude spouštět požadovaný program pod jiným uživatelem počítače. Jak vytvořit zástupce se dozvíte zde. Do pole „Objekt“ zadáme následující příkaz:
runas /user:пользователь программа
kde,
uživatel – uživatelský účet, pod kterým chceme program spustit, zapisuje se ve formátu jmeno_uctu@jmeno_pocitace nebo jmeno_pocitace\jmeno_uctu, přestože funguje i samotné jmeno_uctu.
program – název spustitelného souboru, který chceme spustit. Pokud se spustitelný soubor nenachází v systémových proměnných prostředí, je nutné uvést jeho úplnou cestu.
runas /user:Андрей notepad.exe
V případě, že jméno uživatele nebo cesta k programu obsahuje mezery, je třeba je obalit do uvozovek zvlášť.
runas /user:"Дмитрий Петров" "C:\Program Files (x86)\VideoLAN\VLC\vlc.exe"
Zástupce uložíme. Při jeho spuštění se nyní objeví černé okno s výzvou k zadání hesla. Pozor, při zadávání hesla se nic nezobrazuje, stačí heslo zadat a stisknout klávesu „Enter“.
Vše funguje dobře, ale neustálé zadávání hesla rychle omrzí. Pro tento případ má příkaz Runas speciální přepínač /savecred. Při jeho použití se heslo zadává pouze jednou při prvním spuštění, uloží se do nitra systému Windows a při dalších spuštěních se dosadí automaticky. Celý příkaz vypadá následovně:
runas /savecred /user:Андрей notepad.exe
Pozor! Přepínač /savecred nefunguje v domácích verzích systému Windows.
Zdá se, že je to štěstí, ale existují určité nepříjemnosti. Například některé programy odmítají spustit v běžné uživatelském účtu. Vy jej spustíte výše popsaným způsobem a vše funguje skvěle. Nyní se situace trochu změní. Vy jste administrátorem počítače, ale například váš dítě má běžný uživatelský účet a hra odmítá spustit pod ním. Heslo administrátora mu samozřejmě nechtějte sdělit, takže vytvoříte zástupce, zadáte přepínač /savecred, poprvé zadáte heslo a spokojeně si třete ruce.
Další události závisí na pokročilosti osoby, pro kterou jste takový zástupce vytvořili. Pokud je uživatel začátečník, můžete spát v klidu, v opačném případě může jednoho krásného dne napadnout změnit v zástupci cestu ke spustitelnému souboru na jinou a bude moci spouštět jiné programy pod administrátorem.
Získá také přístup ke všem souborům na pevném disku počítače, i když k nim má jeho účet zakázán přístup, včetně složek „Moje dokumenty“ jiných uživatelů počítače. Souhlasíte, že se jedná o poměrně vážnou bezpečnostní díru při použití příkazu Runas s přepínačem /savecred.
Program Runas má omezení při spouštění některých systémových programů pod účtem správce počítače, včetně Průzkumníka. Ve Windows XP se to obejde použitím přepínače /separate: runas /savecred /user:Andrey "explorer.exe /separate". V novějších verzích operačního systému Windows tento přepínač nefunguje, ale lze použít jakýkoli jiný správce souborů a získat přístup k souborům pod účtem správce.
V tomto případě lze jako řešení nastavit taková bezpečnostní pravidla, aby požadovaný program běžel pod běžným uživatelem, nebo použít externí programy pro spouštění pod účtem správce.
Pokud vás tyto způsoby neuspokojují, můžete se pokusit co nejvíce ztížit možnost neoprávněného spuštění jiných programů uživatelem pod účtem jiného uživatele počítače. K tomu je třeba provést několik dalších kroků.
Za prvé a nejdůležitější, neříkejte mu, že program běží pod účtem jiného uživatele. Pravděpodobně si to však může sám zjistit v Správci úloh.
Za druhé, zajistěte spuštění pomocí dávkového (batch) souboru. Otevřete textový editor, například Poznámkový blok, a napište tam řádek, který jste dříve zadávali do pole „Cíl“ zástupce. Uložte jej s příponou .bat. Nyní při spuštění tohoto dávkového souboru se provede příkaz uvedený v souboru stejným způsobem. To však nestačí, protože jeho obsah lze v běžném textovém editoru zobrazit a změnit.
Pokud jméno uživatele nebo cesta k souboru obsahuje cyrilické znaky, soubor musí být uložen v kódování DOS 866 nebo na začátek bat souboru na samostatný řádek je třeba vložit příkaz chcp 1251.
Za třetí, zajistěte, aby bat soubor nebyl čitelný, a tím ztížit uživateli analýzu způsobu spuštění programu. Provedeme převod našeho bat souboru na běžný exe soubor. Můžete použít jeden z konvertorů, například bezplatný program „Bat To Exe Converter“, který si můžete stáhnout zde. Spusťte program a v poli „Batch file“ zadejte svůj bat soubor. V poli „Save as“ určete, kam a pod jakým jménem výsledek uložit. Pro větší konspiraci můžete na kartě „Versioninformations“ v poli „Icon file“ zadat ikonu ve formátu ico pro náš budoucí exe soubor. Ostatní parametry můžete nechat beze změny. Když bude vše připraveno, klikněte na tlačítko „Compile“ a získáte svůj exe soubor.
Nyní je zbytečné otevírat ho v textovém editoru. Zkopírujte ho do složky se spouštěným programem, pojmenujte ho podobně jako název programu a vytvořte na něj běžný zástupce na ploše.
Za čtvrté, poslední detail, který prozrazuje, že se jedná o dávkový soubor, je na chvíli se objevující černé okno na ploše. Úplně se ho zbavit jednoduchým způsobem nelze, ale lze jeho viditelnost poměrně snadno snížit na minimum. Stačí ve vlastnostech zástupce na kartě „Zástupce“ vybrat položku „Minimalizovat na ikonu“, nyní se okno příkazového řádku objeví jen na okamžik na panelu úloh.
Tím je hotovo. Pokud osoba, u které chcete skrýt administrátorské heslo, je začátečník nebo běžný průměrný uživatel, můžete spát v klidu. Samozřejmě, zkušený uživatel by mohl zjistit obsah našeho exe souboru, ale ve skutečnosti to není nutné. Stačí tušit, že se používá příkaz runas, a jednoduše vytvořit vlastní zástupce pro spuštění požadovaného programu, takže navzdory všem trikům to pomůže pouze proti začátečníkovi.
Jak odstranit uložené heslo v příkazu Runas
Po jednom uložení hesla k uživatelskému účtu v příkazu runas můžete v budoucnu spouštět programy bez jeho opětovného zadávání. Nicméně může být potřeba zablokovat možnost spouštět programy jménem jiného uživatele počítače pomocí uloženého hesla v runas.
Chcete-li odstranit uložené heslo, spusťte „Start“ ⇒ „Ovládací panely“ ⇒ „Účty uživatelů a rodinná bezpečnost“ ⇒ „Správce přihlašovacích údajů“.
V sekci „Windows přihlašovací údaje“ (interaktivní přihlášení do systému) odstraníte z úložiště nepotřebné záznamy.