Komenda Runas do uruchamiania programów z uprawnieniami innego użytkownika
W przypadku często uruchamianych programów z uprawnieniami innego użytkownika, za każdym razem wciskanie klawisza „Shift” i klikanie prawym przyciskiem myszy jest niewygodne. Łatwiej skorzystać ze specjalnej wbudowanej komendy Runas. W tym celu utworzymy skrót, który będzie uruchamiał wybraną program z uprawnieniami innego użytkownika komputera. Jak utworzyć skrót, można przeczytać tutaj. W polu „Obiekt” wpisujemy następującą komendę:
runas /user:пользователь программа
gdzie,
użytkownik – to konto, z którego należy uruchomić program. Wpisuje się je w formacie nazwa_konta@nazwa_komputera lub nazwa_komputera\nazwa_konta, choć sama nazwa_konta również działa.
program – nazwa pliku wykonywalnego, który chcemy uruchomić. Jeśli plik wykonywalny nie znajduje się w zmiennych środowiskowych systemu, należy podać pełną ścieżkę do niego.
runas /user:Андрей notepad.exe
W przypadku, gdy nazwa użytkownika lub ścieżka do programu zawierają spacje, należy ująć je w podwójne cudzysłowy osobno.
runas /user:"Дмитрий Петров" "C:\Program Files (x86)\VideoLAN\VLC\vlc.exe"
Zapisujemy skrót. Teraz przy jego uruchomieniu pojawi się czarne okno z prośbą o wpisanie hasła. Uwaga: podczas wpisywania hasła nic się nie dzieje na ekranie – po prostu wpisz je i naciśnij klawisz „Enter”.
Wszystko działa dobrze, ale ciągłe wpisywanie hasła szybko męczy. W takim przypadku komenda Runas posiada specjalny klucz /savecred. W przypadku jego użycia, hasło jest wpisywane tylko raz przy pierwszym uruchomieniu, jest zapisywane w systemie Windows i przy kolejnych uruchomieniach podawane automatycznie. Cała komenda wygląda następująco:
runas /savecred /user:Андрей notepad.exe
Uwaga! Klucz /savecred nie działa w wersjach domowych systemu Windows.
Wydaje się, że to już szczęście, jednak istnieją pewne niedogodności. Na przykład, pewien program odmawia uruchomienia w zwykłym koncie użytkownika. Uruchamiasz go opisaną powyżej metodą, wszystko działa świetnie. Teraz sytuacja wygląda nieco inaczej. Jesteś administratorem komputera, a np. Twoje dziecko ma zwykłe konto użytkownika i gra odmawia uruchomienia pod jego kontem. Nie zamierzasz podawać mu hasła administratora, więc tworzysz skrót, wpisujesz klucz /savecred, wpisujesz hasło po raz pierwszy i zadowolony pocierasz ręce.
Dalsze wydarzenia zależą od stopnia zaawansowania technicznego osoby, dla której utworzyłeś taki skrót. Jeśli użytkownik jest „zielony” w kwestii komputerów, możesz spać spokojnie. W przeciwnym razie, pewnego pięknego dnia, może on wpadać na pomysł zmiany ścieżki do pliku wykonywalnego w skrócie na inną i będzie mógł uruchamiać inne programy z uprawnieniami administratora.
Otrzyma on również dostęp do wszystkich plików na dysku twardym komputera, nawet jeśli dostęp do nich jest zabroniony jego kontu użytkownika, w tym do folderów „Moje dokumenty” innych użytkowników komputera. Przyznasz, że jest to dość poważna luka w bezpieczeństwie komputera przy użyciu komendy Runas z kluczem /savecred.
W zespole Runas istnieją ograniczenia dotyczące uruchamiania niektórych programów systemowych z uprawnieniami administratora komputera, w tym Eksploratora. W systemie Windows XP obejściem tego problemu jest użycie klucza /separate: runas /savecred /user:Andriej "explorer.exe /separate". W nowszych wersjach systemu Windows nie działa on, ale można skorzystać z dowolnego innego menedżera plików i uzyskać dostęp do plików z uprawnieniami administratora.
Rozwiązaniem w tym przypadku jest skonfigurowanie zasad bezpieczeństwa tak, aby wymagany program uruchamiał się z uprawnieniami zwykłego użytkownika, lub użycie zewnętrznych programów do uruchamiania z uprawnieniami administratora.
Jeśli te metody nie są satysfakcjonujące, można spróbować maksymalnie utrudnić możliwość nieautoryzowanego uruchamiania przez użytkownika innych programów z uprawnieniami innego użytkownika komputera. Wymaga to wykonania kilku dodatkowych czynności.
Po pierwsze, i co najważniejsze, nie mówić mu, że program jest uruchamiany z uprawnieniami innego użytkownika. Oczywiście może on sam dowiedzieć się o tym w Menedżerze zadań.
Po drugie, uruchamiać program za pomocą pliku wsadowego (batch). Otwierasz edytor tekstu, na przykład Notatnik, i wpisujesz tam linię, którą wpisywałeś w polu „Obiekt” skrótu. Zapisujesz go z rozszerzeniem .bat. Teraz przy uruchamianiu tego pliku wsadowego zostanie wykonane dokładnie to samo polecenie, które zostało w nim zapisane. Jednak tego nie wystarczy, ponieważ jego zawartość można zobaczyć i zmienić w prostym edytorze tekstu.
Jeśli w nazwie użytkownika lub ścieżce do pliku występują litery cyrylicy, należy zapisać go w kodowaniu DOS 866 lub na początku pliku bat, w osobnej linii, należy wstawić polecenie chcp 1251.
Po trzecie, sprawić, aby plik bat był nieczytelny, aby utrudnić użytkownikowi analizę sposobu uruchamiania programu. W tym celu przekonwertujemy nasz plik bat na znany plik exe. Można skorzystać z jednego z programów konwertujących, na przykład darmowego programu „Bat To Exe Converter”, który można pobrać tutaj. Uruchamiasz program i w polu „Batch file” wskazujesz swój plik bat. W polu „Save as” określasz, gdzie i pod jaką nazwą zapisać wynik. Dodatkowo, dla większej konspiracji, na zakładce „Versioninformations” w polu „Icon file” możesz wskazać ikonę dla naszego przyszłego pliku exe w formacie ico. Pozostałe parametry można pozostawić bez zmian. Gdy wszystko będzie gotowe, klikasz przycisk „Compile” i otrzymujesz swój plik exe.
Teraz otwieranie go w edytorze tekstu jest bezcelowe. Kopiujesz go do folderu z uruchamianym programem, nazywasz go jakoś podobnie do nazwy programu i tworzysz na nim zwykły skrót na pulpicie.
Czwartym, ostatnim znakiem zdradzającym, że mamy do czynienia z plikiem wsadowym, jest pojawiające się na ułamek sekundy czarne okno na pulpicie. Nie da się go całkowicie usunąć w prosty sposób, ale można dość łatwo zminimalizować jego widoczność. Wystarczy w właściwościach skrótu, na karcie „Skrót”, wybrać opcję „Uruchomione w zminimalizowanym oknie”. Wtedy przez chwilę będzie widoczne tylko w panelu zadań okno wiersza polecenia.
Gotowe. Jeśli osoba, której chcesz ukryć hasło administratora, jest początkującym użytkownikiem lub przeciętnym użytkownikiem, możesz spać spokojnie. Oczywiście, doświadczony użytkownik może odczytać zawartość utworzonego przez nas pliku exe, ale w zasadzie nie jest to konieczne. Wystarczy zgadnąć, że używana jest komenda runas i po prostu utworzyć własny skrót do uruchomienia potrzebnej aplikacji. Mimo wszystkich sztuczek, rozwiązanie to pomoże tylko przed początkującym użytkownikiem.
Jak usunąć zapisane hasło w poleceniu Runas
Zapisując raz hasło do konta w poleceniu runas, możesz w przyszłości uruchamiać programy bez ponownego jego wpisywania. Jednak może zajść potrzeba zablokowania możliwości uruchamiania programów w imieniu innego konta użytkownika komputera przy użyciu zapisanego hasła w runas.
Aby usunąć zapisane hasło, wybierz „Start” ⇒ „Panel sterowania” ⇒ „Konta użytkowników i bezpieczeństwo rodziny” ⇒ „Menedżer poświadczeń”.
W sekcji „Poświadczenia systemu Windows” (interaktywne logowanie do systemu) usuń niepotrzebne już wpisy z magazynu.