Admin Exe unter Lokalem User starten ohne Passwortabfrage

[tomkupitz]

Hallo,

ist das möglich? Also beim Start der Admin Exe das Password "übergeben" o.ä.?

Danke und beste Grüße

[himitsu]

Ja, wenn du das UAC deaktivierst,

oder wenn du den Rechtelevel entsprechend angibst,
also highestAvailable anstatt requireAdministrator.

https://docs.microsoft.com/de-de/cpp...n?view=vs-2019

[DeddyH]

Evtl. mit CreateProcessWithLogonW, oder meinst Du etwas anderes?

[tomkupitz]

UAC ist akiv. Wollte den UAC Dialog "weghaben".

[himitsu]

Ahhh, also willst du die EXE nicht "dennoch" starten, auch wenn man den UAC-Dialog weggecklickt hat, also ohne "Admin",

sondern du willst es als "Admin" starten, ohne dass man ein Passwort eingeben muß.

• mit CreateProcessWithLogonW, CreateProcessAsUser, CreateProcessWithTokenW, ...
• über runas mit passwort
• über eine Verknüpung (*.lnk, wie z.B. Desktop/Startmenü/StartleitenPin/usw), dort in den Eigenschaften auf Erweitert, "Administartor" anhaken und das Passwort angeben
• durch eine Aufgabe in der Aufgabenplanung: Einstellungen > Allgemein > Sicherheitseinstellungen > Benutzer ändern
• durch einen Dienst (über die Diensteverwaltung auf den gewünschten Benutzer eingestellt), dem man sagen kann, dass er es starten soll
• ...

[tomkupitz]

Ich habe folgendes versucht:

Zwei VCL Projekte (Project1 und Project2 im gleichen Ordner - ohne Win32 Ordner). Project2 läuft als Admin. Project1 ruft Project2 mit unterem (im Netz gefunden) Code auf. Geht nicht.

Code:

const
  LOGON_WITH_PROFILE = $00000001;

function CreateProcessWithLogonW(
  lpUsername,
  lpDomain,
  lpPassword:PWideChar;
  dwLogonFlags:dword;
  lpApplicationName: PWideChar;
  lpCommandLine: PWideChar;
  dwCreationFlags: DWORD;
  lpEnvironment: Pointer;
  lpCurrentDirectory: PWideChar;
  lpStartupInfo: PStartupInfoW;
  lpProcessInformation: PProcessInformation
): BOOL; stdcall; external 'advapi32.dll';

function CreateProcessAsLogon(const User, PW, Application, CmdLine: WideString):
  Boolean;
var
  si : TStartupInfoW;
  pif : TProcessInformation;
begin
  si.cb := SizeOf(TStartupInfoW);
  si.dwFlags := STARTF_USESHOWWINDOW;
  si.wShowWindow := 1;
  si.lpReserved := nil;
  si.lpDesktop := nil;
  si.lpTitle := nil;
  Result := CreateProcessWithLogonW(PWideChar(User), nil, PWideChar(PW),
    LOGON_WITH_PROFILE, nil, PWideChar(Application +' '+CmdLine),
    CREATE_DEFAULT_ERROR_MODE, nil, nil, @si, @pif);
end;

procedure TForm1.FormClick(Sender: TObject);
begin
  CreateProcessAsLogon('Username', 'Password', 'Project2.exe', '');
end;

Was kann ich noch tun? Das alles unter Win10.

[Jasocul]

Zitat:

Zitat von tomkupitz (Beitrag 1467734)

Geht nicht.

Zitat:

Zitat von tomkupitz (Beitrag 1467734)

Was kann ich noch tun?

Mehr Info als "Geht nicht" würde schonmal helfen.
Was für einen Rückgabewert liefert die Funktion

Delphi-Quellcode:

CreateProcessAsLogon

denn?

[tomkupitz]

Zitat:

Was für einen Rückgabewert liefert die Funktion CreateProcessAsLogon denn?

False

[KodeZwerg]

Guten morgen, ich habe hier noch ungetestete herangehensweisen:

Code:

per shellexecute über cmd.exe, mit folgendem aufruf:
cmd /min /C "set __COMPAT_LAYER=RUNASINVOKER && start "" c:\example\app.exe"

Code:

per windows RUNAS helfer:
RUNAS /trustlevel:<TrustLevel> program

/showtrustlevels  displays the trust levels that can be used
                  as arguments to /trustlevel.
/trustlevel       <Level> should be one of levels enumerated
                  in /showtrustlevels.

Code:

per windows system registrierung (so soll die app einen forcierten RUNAS wert erhalten):
Windows Registry Editor Version 5.00

[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Layers]
"C:\\example\\app.exe"="RunAsInvoker"

Es gibt bestimmt noch mehr Arten wie man das schaffen kann, WinApi wurde ja bereits beschrieben.
Ich hoffe das es hilft, wenn ja, bitte teile uns Deine Erfahrungen mit, Danke.

[Dalai]

Zitat:

Zitat von tomkupitz (Beitrag 1467738)

Zitat:

Was für einen Rückgabewert liefert die Funktion CreateProcessAsLogon denn?

False

Hast du in der Vergangenheit schon mit WinAPI-Funktionen gearbeitet? Bei so ziemlich allen steht das Folgende in den Angaben zum Rückgabewert:

Zitat:

If the function succeeds, the return value is nonzero.

If the function fails, the return value is 0 (zero). To get extended error information, call GetLastError.

(Hervorhebung von mir) jedenfalls bei denen, die Rückgabetyp Bool (oder int) haben.

Insofern würde ich mal sowas machen:

Delphi-Quellcode:

if NOT CreateProcessAsLogon('Username', 'Password', 'Project2.exe', '') then
    RaiseLastOSError;

RaiseLastOsError ruft letztlich GetLastError. Dann gibt's hoffentlich genauere Infos, woran es klemmt.

Außerdem: "Läuft als Admin" heißt exakt was? Läuft das Programm elevated, also wurde eine UAC-Abfrage bestätigt? Bei aktivierter UAC gilt: Auch wenn ein Nutzer Adminrechte hat bzw. Mitglied der Gruppe der Administratoren ist, muss ein Programm noch lange nicht mit Adminrechten laufen.

Grüße
Dalai

[Jasocul]

Zitat:

Zitat von tomkupitz (Beitrag 1467738)

Zitat:

Was für einen Rückgabewert liefert die Funktion CreateProcessAsLogon denn?

False

OK, da war ich jetzt ungenau.
Was liefert denn

Delphi-Quellcode:

GetLastError

, wenn du das danach aufrufst?
Was der entsprechende Wert bedeutet, kannst du dann hier nachlesen

[tomkupitz]

Zitat:

"Läuft als Admin" heißt exakt was?

Für Project2 ist unter Optionen "Administratorrechte aktivieren" gesetzt.

Was RaiseLastOSError zeigt siehe Anhang.

[Dalai]

Wird die zweite EXE gestartet? Erscheint die UAC? Ist für den verwendeten Nutzer ein Passwort gesetzt?

Grüße
Dalai

[jaenicke]

Also bei mir funktioniert der oben gezeigte Quelltext offenbar:
Korrektes Passwort --> exe startet, falsches Passwort --> nichts passiert

[tomkupitz]

@jaenicke:

Bei mir eben nicht. Wie genau bist du vorgegangen? Vielleicht habe ich etwas übersehen...

[jaenicke]

Ich habe nur den Quelltext 1:1 kopiert, Benutzername, Passwort und cmd.exe eingetragen.

Wie ist denn deine Benutzerkonstellation? Hast du einen Adminuser mit aktiver UAC, unter dem du das ausführst? Oder einen normalen Benutzer ganz ohne Adminrechte?

[tomkupitz]

Es soll so funktionieren:

- es läuft ein Lokaler Windows-User (ohne Passwort)
- nun muss ich in dieser Umgebung eine Exe starten, die Admin-Rechte erfordert
- es existiert ein Windows-Admin-User mit Passwort, dessen Rechte ich benötige (Username und Password sind bekannt)
- den UAC Dialog möchte ich nicht haben

[himitsu]

Das Problem ist, dass einige APIs ein Passwort benötigen, also man es angeben muß, aber wenn es kein Passwort gibt, dann geht es nicht.

[Dalai]

Zitat:

Zitat von tomkupitz (Beitrag 1467938)

- es läuft ein Lokaler Windows-User (ohne Passwort)
- nun muss ich in dieser Umgebung eine Exe starten, die Admin-Rechte erfordert
- es existiert ein Windows-Admin-User mit Passwort, dessen Rechte ich benötige (Username und Password sind bekannt)
- den UAC Dialog möchte ich nicht haben

Solange die UAC aktiviert ist, wird diese immer Adminrechte anfragen, wenn das gestartete Programm sie verlangt/fordert, z.B. per Manifest. Könnte man einfach die UAC umgehen, indem man einen Admin und dessen Passwort angibt, wäre sie ja ziemlich sinnfrei (auch wenn die UAC meiner Meinung nach sowieso ziemlich sinnbefreit ist, aber das ist nicht das Thema).

Wie man trotz UAC Programme mit anderen Rechten (auch Adminrechte) starten kann kann, hat himitsu ja schon in Beitrag #5 ausgeführt.

Grüße
Dalai

[Incocnito]

Vielleicht mal als Denkanstoß.
Für administrative Aufgaben haben wir beim Endanwender einen Dienst registriert.
Das kostet natürlich einmalig Energie für die Einrichtung,
aber wenn wir Aufgaben haben, die nur ein Administrator durchführen kann,
dann übernimmt das der Dienst.

LG Incocnito

[Sherlock]

Verstehe ich etwas falsch? Was ist so schlimm daran, daß die Sicherheitsmaßnahme funktioniert? Warum soll etwas anders laufen, als vom Anwender vorgesehen? Wenn der Anwender möchte, daß Admin-Rechte nur per Paßwort verfügbar sind, dann ist das eben so. Gut, daß Windows wenigstens an dieser Stelle konsequent ist.

Sherlock