Service starten/stoppen ohne/mit Adminrechten/Elevation

[chaosben]

Helft mir mal bitte auf die Sprünge:

Wenn ich unter Win7(64) ein Delphi-Programm mit "normalen" Rechten (ich bin Mitglied der Gruppe Administratoren) laufen lassen, kann es keine Dienste anhalten/starten (GetLastError = Access denied). Starte ich es mit Adminrechten (händisch oder per Manifest) funktionierts.

Bis hier hin verstehe ich es.

Gehe ich aber in die Diensteverwaltung kann ich Dienste anhalten/starten ohne das ich die Adminrechte vorher bestätigen muss.
Warum geht das? Oder anders gefragt: Wie bekomme ich das gleiche Verhalten für mein Delphi-Programm?

[musicman56]

Hallo,

"install" oder "setup" im Dateinamen deiner ausführbaren Datei dürfte das Problem beheben.

[himitsu]

Für die Diensteverwaltung muß man bestimmt auch gewisse Rechte "aktiv" haben, welche wohl in der Diensteverwaltung aktiviert wurden, aber in deinem Programm standardmäßig nicht.

Als mit Adminmanifest ist dein Programm nun nicht beschnitten und darum läuft es dort.

Jetzt müßtest du also nur noch rausfinden, welches Recht du aktivieren mußt, versuchst es in deinem Programm zu aktivieren und könntest dann vermutlich auch ohne Admin-Manifest was machen.

Zitat von musicman56:

"install" oder "setup" im Dateinamen deiner ausführbaren Datei dürfte das Problem beheben.

Wozu bitte solche Hacks?

Wenn er in seinem Manifest die Win7-Kompatibilität seines Programms bestätigt, dann wird sowas nicht gemacht, da dieses "nur" ein Kompatibilitätsmodus für alte oder "schlechte" Setupprogramme ist, wo das Admin-Manifest vergessen wurde/noch nicht vorhanden ist, da es damals ja unbekannt war/nicht existierte.
Und ich hoffe mal, daß M$ dieses irgendwann auch wieder ausbaut.

PS: Ob mit Admin-Manifest oder diesem Namenshack ... es sollte sich überall das UAC melden, also dann lieber gleich das Manifest.

[chaosben]

Zitat von himitsu:

Jetzt müßtest du also nur noch rausfinden, welches Recht du aktivieren mußt, versuchst es in deinem Programm zu aktivieren

Welche Art Rechte meinst du denn? Mir fehlt im Moment jeder Ansatz. Mir reicht auch ein MSDN-Link/Stichwort.

[DeddyH]

Vielleicht hilft dieser Artikel (willkürlich gewählt) weiter: StartService

Zitat:

hService [in]

A handle to the service. This handle is returned by the OpenService or CreateService function, and it must have the SERVICE_START access right. For more information, see Service Security and Access Rights.

[chaosben]

Das ist soweit klar. Ich muss beim Öffnen des Dienstes sagen, was ich mit ihm machen will.
In diesem Fall sieht der Code so aus:
OpenService(scm, PWideChar(WideString(FServiceName)), SERVICE_QUERY_STATUS or SERVICE_START or SERVICE_STOP)

Bleibt noch die Frage: wie bekommt mein Programm das Recht dies zu tun?

[DeddyH]

Wenn man dem Link zu "Service Security and Access Rights" folgt, kommt man ziemlich am Ende zu einem weiteren Link, der dann hierhin führt. Evtl. kann das als Ansatz dienen.

[himitsu]

Bei OpenService gibst du nur an, welche Rechte für den späteren Zugriff nötig wären, aber nicht welche Privilegien aktiviert werden müssen.
Das ist wie bei einer Datei: Du hast die Rechte zum Schreiben und Lesen, gibst aber nur das nötige im CreateFile an.
Hast du keine Schreibrechte und versuchst dennoch einen Schreibzugriff zu bekommen (GENERIC_WRITE), dann knallt's.

Entweder über deen Link von DeddyH oder z.B. über http://www.michael-puff.de/Programmi...rivilges.shtml

[chaosben]

Was Deddy gesagt hat, nützt mir nichts, da mein Programm (noch) nicht genug Rechte hat, um auf den Dienst zuzugreifen (und dessen Security-Optionen zu ändern).

Der Hinweis bezüglich der Privilegien hingegen ist gut.
Mein aktueller Stand ist, das ich mit Luckies Routine mir das Privileg SeProfileSingleProcessPrivilege holen kann (es ist vorher nicht gesetzt)
Aber: bisher hat es keine Auswirkungen. Ich kann den den Dienst immer noch nicht öffnen, weil der Zugriff verweigert wird und ich finden keinen Hinweis darauf, welches andere Privileg nötig ist, um einen Dienst zu starten/stoppen

[himitsu]

Sysinternals > Process Explorer > Prozess-Eigenschaften
Dort nachsehn, was die Dienstverwaltung alles darf und mit Denen deines Programms vergleichen.