2

Необходимо чтобы обычный пользователь, не зная пароль от админа, мог запускать мое приложение от имени администратора. На одном компьютере это просто сделать командой

runas /savecred /user. 

Но как сделать чтобы программа запускалась под админом на каждом компьютере домена?

P.S. Пароль админа пользователям знать не положено

2
  • нехорошо будет если ноунейм программы будут знать пароль пользователя так и укратсь можно его
    – Саске
    27 ноя 2018 в 10:34
  • Вот я недавно писал про способ ru.stackoverflow.com/questions/904245/… правда, вроде, у ТСа не получилось.
    – iluxa1810
    27 ноя 2018 в 12:22

2 ответа 2

3

И в чем тогда смысл разных групп и привилегий и всего такого, если можно просто взять и запустить программу от имени администратора без всяких паролей? Если найдете такую возможность, срочно пишите во всякие security bulletins, будет вам пять минут мировой славы.

Для решения таких задач делают сервис на пользовательском компьютере, который работает по LocalSystem или под администратором (не рекомендуется, пароль будет светиться при старте). А пользовательская программа запрашивает привилегированные операции у этого сервиса.

5
  • да но runas же работает. Вот и нужно аналогичное решение, только на net.
    – polsok
    27 ноя 2018 в 12:21
  • @polsok, то есть вы считаете, что RunAs никаких паролей не запрашивает? А вы попробуйте с ним хоть Notepad запустить от администратора.
    – freim
    27 ноя 2018 в 14:39
  • @freim Стандартно в виндовс 7 и выше даже под админской учеткой программы запускаются с привилегиями простого пользователя. Он имел ввиду именно "Run As Administrator" из-под конкретно этого же пользователя. А эта штука паролей не запрашивает. Зайди в параметры любой апликухи или ссылки на апликуху и поставь галочку "запускать от имени администратора". А потом запусти программу. Внезапно, пароль не будет требоваться, а программа запустится с админскими правами. ;) Он просто криво написал, а ты его просто недопонял. 27 ноя 2018 в 17:26
  • @Andrew, "Run As Administrator" может выполняться только под учеткой администратора. Пароль не спрашивается потому что это и так администратор, у него уже есть все права. Спрашивается только разрешение на поднятие привилегий (privilege elevation). Обычный пользователь так запустить не может.
    – freim
    27 ноя 2018 в 17:35
  • @freim он именно этого и хотел, просто он криво написал сам вопрос. 27 ноя 2018 в 17:39
2

На сколько я понимаю, автор вопроса просто КРИВО написал вопрос. Он хотел спросить как принудительно поднять привилегии администратора к административным с простых "юзеровских" (если аккаунт изначально является администратором).

Ответ на этото вопрос: Максимум что ты можешь сделать это создать манифест файл и заменить там строку:

<requestedExecutionLevel level="asInvoker" uiAccess="false" />

На

<requestedExecutionLevel level="highestAvailable" uiAccess="false" />

или

<requestedExecutionLevel level="requireAdministrator" uiAccess="false" />

Эта строка сработает на виндовс 7 и выше как тебе нужно. Больше информации можно найти здесь: https://msdn.microsoft.com/en-us/library/bb756929.aspx

Здесь ты можешь найти тутор в скриншотах: https://stackoverflow.com/a/43941461/4423545

НО! Нужно иметь ввиду что этот путь сработает только в том случае, если UAC на компьютере ВКЛЮЧЕН! А, ведь, он может быть и выключенным. То есть окроме этого желательно реализовать функцию проверки под каким юзером запущена прога:

using System.Security.Principal;

public bool IsUserAdministrator()
{
    bool isAdmin = false;
    try
    {
        WindowsIdentity user = WindowsIdentity.GetCurrent();
        WindowsPrincipal principal = new WindowsPrincipal(user);
        isAdmin = principal.IsInRole(WindowsBuiltInRole.Administrator);//Is Admin
    }
    //Is not admin
    catch (UnauthorizedAccessException ex){}
    catch (Exception ex){}

    return isAdmin;
}

и просто попросить юзера поставить галочку в настройках про запуск от имени администратора, если таковая не стоит.


Upd: Еще забавным вариантом есть написание собственного инсталлера, который создает ярлык на твою програму изначально с галочкой "Run As Administrator" в пропертиз ярлыка.

// file-path of the shortcut (*.lnk file)
string shortcutPath = Path.Combine(shortCutFolder, string.Format("{0} {1}{2}.lnk", arch, flavor, extra));
Console.WriteLine("Creating {0}", shortcutPath);
// the contents of the shortcut

string arguments = string.Format("{0} {1} {2} {3}{4} {5}", "/k", clrEnvPath, arch, flavor, extra, precmd);
// shell API to create the shortcut
IWshShortcut shortcut = (IWshShortcut)shell.CreateShortcut(shortcutPath);
shortcut.TargetPath = cmdPath;
shortcut.Arguments = arguments;
shortcut.IconLocation = "cmd.exe, 0";
shortcut.Description = string.Format("Launches clrenv for {0} {1} {2}", arch, flavor, extra);
shortcut.Save();

// 
// HACKHACK: update the link's byte to indicate that this is a admin shortcut
using (FileStream fs = new FileStream(shortcutPath, FileMode.Open, FileAccess.ReadWrite))
{
    fs.Seek(21, SeekOrigin.Begin);
    fs.WriteByte(0x22);
}

Соурс кода взят с: https://blogs.msdn.microsoft.com/abhinaba/2013/04/02/c-code-for-creating-shortcuts-with-admin-privilege/

Ну или можно при первом же запуске видоизменить ярлык на рабочем столе кодом, который находится после коментария "HACKHACK"

6
  • Вы ошибаетесь, считая что requireAdministrator в манифесте запустит программу от имени администратора. Этот параметр означает, что программа требует повышения привилегий и должна запускаться именно с учетной записи администратора. С пользовательской учетной записи такая программа просто не запустится.
    – freim
    27 ноя 2018 в 14:42
  • На сколько я понимаю, оно выдаст окно UAC-а вроде "Эта апликуха отмечена как требующая исключительно администраторских прав. Вы хотите запустить ее от имени админа?" т.к. программа именно этого и требует своим манифестом. Формально - выйдет то, что он и хотел. Просто с окном УАК-а если оный включен. Если выключен - прога попросит своим окном поставить галочку в параметрах экзешника/ссылки. Как по мне, то это самый близкий ответ к тому, который хотел бы получить автор из возможных. :) 27 ноя 2018 в 17:21
  • Можно еще програмно добавить некую прогу в исключения через реестр или изменение проперти самой экзешки, но проблема тогда будет именно в том, что для срабатывания этого кода нужно как минимум раз запустить от имени администратора. И, собственно, круг замыкается и снова становится что мое решение лучшее из возможных. 27 ноя 2018 в 17:32
  • Ваше решение вообще не решение, потому что оно не отвечает на исходный вопрос "чтобы обычный пользователь, не зная пароль от админа, мог запускать мое приложение от имени администратора". То, что вы написали - это как запустить программу с административными привилегиями с учетки администратора. Войдите как обычный пользователь, не админ, и попробуйте свой метод сами. И заодно разберитесь как работает UAC, что такое privilege elevation, и в чем смысл "Run as Administrator". Не надо рассуждать теоретически, просто попробуйте сами свои рекомендации.
    – freim
    27 ноя 2018 в 17:42
  • 1
    То есть в своем вопросе он хотел написать "обычный администратор", но не знал как задать вопрос правильно и написал "обычный пользователь"? А так-то "на каждом компьютере домена" у него сидят администраторы? Всякое бывает, спорить не буду, но все же сомнительно. Ну пусть тогда ТС сам уточнит что ему надо, что гадать-то.
    – freim
    27 ноя 2018 в 17:49

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими пользовательским соглашением, политикой конфиденциальности и политикой о куки

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.