UAC ohne Passwort?

[himitsu]

Mahlzeit,

ich hab hier grade ein eigenartiges Problem und ich weiß nicht wonach ich da suchen soll.

Wenn ein Programm den Admin anfordert oder ich versuche es als Admin auszuführen, dann kommt ja das UAC an und fragt mich was.
Nur kann ich das nicht beantworten ... Geben sie das Passwort ein ... wie? :gruebel:
Anhang 36635

Bei CMD als Admin funktioniert es, nur nicht bei allen anderen Programmen. :shock:

[Popov]

Also ich kann dir sagen wie das bei XP ist. Und zwar ist es nicht verboten sich ein Administratorkonto ohne Kennwort zu erstellen und man kommt auch in das Konto rein ohne Kennwort. Alles möglich. Trotzdem sollte man immer ein Administratorkonto mit einem Kennwort haben, denn wenn du von einem anderen Konto über RunAs über ein Administrator-Konto installierst, will er ein Kennwort haben. Hat das Adminkonto kein Kennwort, kannst du auch nicht drauf zugreifen. Ist eben ein kleiner Schutz. Zumindest unter XP.

[himitsu]

Das Adminkonto hat natürlich ein Passwort und wie erwähnt, funktioniert es bei CMD dennoch.
Bis heute früh ging es auch noch.
Und nein, ich hab heute nichts neu installiert.

Außer ein paar Delphis, aber die in einer VM.

[Popov]

Das ist ja das was ich immer predige, sch... UAC. Bei XP startet man es entweder mit eingeschränkten Rechten, dann weiß man wieso es nicht klappt, oder als richtiger Admin. Bei 7 mit UAC arbeitet man als Admin, aber ist kein richtiger Admin, usw.

Ich schätze das ist eine Barriere für die man ein Kennwort benötigt. Schon versucht das Programm über RunAs als Administrator mit Kennwort und allem pipapo zu starten? Ein Programm mit UAC installieren ist eine Sache, Systemeinstellungen zu ändern eine andere. Vielleicht braucht man dafür ein Kennwort. Und wenn es nicht in dem Dialogfenster ist, dann vielleicht schon beim Start.

[Andreas L.]

@himitsu: Was steht da wenn du unten auf "Details anzeigen" klickst?

[himitsu]

Bei Deteils wird nur noch der Pfad der EXE eingeblendet.



Wer sagt, daß ich als Admin arbeite?
Normaler Benutzer-Account.

Ansonsten währe es praktisch, wenn auch mal hilfreiche Antworten kommen würden. geht langsam los :)

[Popov]

Bedenke: :glaskugel:

[himitsu]

Ich weiß auch nichts, drum brauch ich ja Hilfe. :zwinker:
Ich weiß nichtmal wonach ich genau suchen soll, drum fand ich auch noch nichts.
Und was jemand vom UAC hält, ist vollkommen irrelevant.

[himitsu]

Arg, Antwort gefunden. :wall:

Und noch was zum UAC-Bashing ... das ist ein Problem, welches man mit jedem WinNT-System bekommen könnte, auch mit dem ach so coolen XP ohne UAC. :stupid:



Ich hab nun den sichersten Computer der Welt ... nichtmal mit einem Passwort kann jemand was am System ändern. :roll:

Wegen diesem Strg+Alt+Entf-Abschalten-Threads hatte ich mal was ausprobiert
und darin waren auch Varianten mit 'nem NET USER drin.

Scheinbar hab ich mir damit das Administatorkonto deaktivert.
(wußte garnicht daß das so einfach geht, mit einem einzigen unscheinbaren Befehl)

An die Bentuzerverwaltung komm ich nicht mehr ran, aber mit etwas Mühe bekommt man Luckies XPUsermanager zum Laufen.
@Luckie: Es ist etwas unpraktisch, daß man den nur mit Adminrechten starten kann, selbst wenn man nur mal was nachsehn will.

Die Admin-Passwortabfrage bei CMD hatte ich falsch mitbekommen.
Denn komischer Weise wird mit dort mein Benutzeraccount aufgelistet.
Sobald nur ein Administratorkonto benötigt wird, dann gibt es kein aktives Konto mehr und deswegen wird es nicht mehr angezeigt.
Netter Weise kann man sich beim CMD und im Taskmanager (Prozesse aller Benutzer anzeigen) mit dem Benutzerkonntopasswort als Pseudoadmin anmelden (keine Fehlermeldung, Admin-Rechte bekommt dennoch nucht, aber die Programme denken sie hätten welche)
Über den Pseudoadmin des Taskmanagers hatte ich mir dann Luckies Usermanager ebenfalls als Pseudoadmin gestartet. (das Manifest zu entfernen war mir nicht eingefallen)


So, natürlich helfen auch keine Tipps mehr, welche man so findet, denn zum Aktivieren des Adminkontos benötigt man Adminrechte, welche man ohne ein Adminkonto nur schwr bekommt.
http://www.pro-chip.de/windows/91-wi...tor-aktivieren
http://www.winhelpline.info/forum/fa...ktivieren.html
http://www.drwindows.de/windows-anle...ktivieren.html
...


Nja, also bleibt mir dann wohl nur das Windows zurückzusetzen.



[add]
Wenigstens bin ich nicht alleine,
http://www.winboard.org/forum/win7-a...-moeglich.html
nur daß ich die Sache richtig gemacht hab und wirklich alles gesperrt ist. :angle:

[edit]
windows ausgesperrt kein administrator
Dann bin ich ja erleichtert ... sind wir doch nicht nur zu Zweit. :lol:

[jobo]

Ich hab das grad nicht vor Augen, wie das abläuft, aber vor einem Neuaufsetzen vielleicht n Versuch wert.
Kannst Du nicht den Rechner in (irgendeine ) Firma mitnehmen und von dort in die Domäne aufnehmen?
Dann mit Domöänadmin neues lokaladmin Konto anlegen usw.?
Wahrscheinlich ist so ein Vorgang auch abgesichert und arbeitet irgendwie mit dem lokalen Admin Account, aber so in der Art könnte vlt was gehen. Kann man ja auch noch mal im Netz stöbern.

Vlt hilft auch sowas, geht natürlich nicht ums Password, aber der Prozess (DVD Boot) bringt einem einen ja irgendwie einen ungesperrten Admin Account. ...
http://www.recoverwindowspassword.co...-password.html
Dort ist auch ein Administrator enable beschrieben, aber sowas hast Du vermutlich schon ausprobiert. (Hab Deine Links nicht verfolgt)
Vielleicht bekommt man so eine Boot CD noch ohne Kosten irgendwo her bekommt.

[himitsu]

[info]
sie mein letztes Edit (eine Minute vor dir)
[/info]

Hab da auch grade noch vieles gefunden, aber was ich bis jetzt gefunden hab, dann braucht man dafür immer irgendwelche Rechte dort etwas verändern zu dürfen und diese fehlen mir natürlich.
Selbst de Tipp mit der Passwortdiskette, welche man ja anlegen soll, brächte nicht viel. (hab kein Diskettenlaufwerk und an dem Mini-PC gibt es nichtmal ein CD-Laufwerk, für's Installieren wurde das USB-CD-Laufwerk vom Netbook angesteckt)

Und zu deinem Link:
- ein Passwortknacker hilft nix (das kenn ich auch so schon)
- den "Disable"-Hacken beim Adminkonto bekommt man nicht weg, denn dafür benütigt man die Adminrechte, welche mir ja nicht zur Verfügung stehen
- und mal sehn was sonst noch

Code:

C:\Users\Frank>net user

Benutzerkonten für \\KLEINER-SERVER

-----------------------------------------------------------
Administrator            Frank                    Gast
Mc-FRANK-PC              MediaStreamingAdmin

"Administrator" ist ja (ausversehn) deaktiviert
"Frank" hat keine Adminrechte
"Gast" hat natürlich evenfalls keine Rechte und ist auch inaktiv
"MediaStreamingAdmin" ist in der Admingruppe, ist aber auch aus
"Mc-FRANK-PC" ist ebenfalls inaktiv und ist sowieso nur in der Windows-Media-Center-Gruppe drin
und dann gibt es noch versteckte Konten ala "KLEINER-SERVER$" und "FRANK-PC$", welche aber in keiner Gruppe drin sind (das Letzte ist wohl der Zugang für das Backup des Netbooks)


PS: In Zukunft wird es bei mir auch noch ein Notfalladminkonto geben.



[add]
http://gborn.blogger.de/stories/857906/
half mir

Letzter Absatz "im abgesicherten Modus" ist das Adminkonto immer aktiv.

Also ist Microsoft doch nicht ganz so doof.
- die Standardkonten Administrator und Gast können nicht gelöscht oder umbenannt werden (auch wenn ich das beim Gastkonto einfach nicht versteh)
- im abgesicherten Modus ist das Adminkonto immer aktiv (zum Glück hab ich kein Windows 8, denn dort kommt man irgendwie nicht mehr in den abgesicherten Modus rein)

[Luckie]

wie hast du es geschafft das Administratorkonto zu deaktivieren?

[himitsu]

Vermutlich über

Delphi-Quellcode:

net user Administrator /active:no

,
aber bestimmt funktioniert das auch bei deinem Usermanager.

[edit]
ausprobiert, es geht auch mit dem Usermanager, also das Deaktivieren.


Nur die Administratoren-Gruppe kann man nicht vom Administrator entfernen. :-D

Zitat:

---------------------------
Fehler - Benutzer speichern
---------------------------
Es ist folgender Fehler aufgetreten:



Fehlercode: 1371

Fehlertext: Dieser Vorgang kann nicht mit vordefinierten Konten durchgeführt werden.


---------------------------
OK
---------------------------

[Luckie]

Wird es.

[Popov]

Was ich dir empfehlen kann sind Tools z. B. auf Hiren's BootCD. Das ist eine Programmsammlung mit einem Menü, mit einigen der Programmen kannst du von außen auf die Konten "zugreifen". Zumindest kannst du das alte Passwort löschen oder neues setzten (nicht raus lesen), aber auch Konten aktivieren und deaktivieren.

Ich hab noch eine alte CD, also weiß ich nicht was inzwischen so alles drauf ist, aber auch die neue CD ist Freeware. Wie gesagt, die CD ist interessant und damit habe ich bisher jedes System wieder freigeschaltet.

[UliBru]

Ich schreib hier mal einen Text aus dem com!-Magazin 3/2012 ab:

Windows-Kennwörter zurücksetzen

Die Computerreparaturfunktionen von Windows 7 setzen die Kennwörter für beliebige Benutzerkonten zurück. Das funktioniert auch für Konten mit Admin-Rechten.
So geht's:
Das Windows Recovery Environment starten. Öffnen Sie die Kommandizeile mit "Eingabeaufforderung" und dann den Registrierungseditor mit regedit.
Markieren Sie den Schlüssel "HKEY_LOCAL_MACHINE" und wählen Sie "Datei, Struktur laden...". Navigieren Sie zum Verzeichnis "C:\Windows\System32\config" bzw. "D:\Windows\System32\config". Markieren Sie die Datei "SYSTEM" und binden Sie sie mit "Öffnen" ein. Geben Sie als Namen System_Windows ein.
Navigieren Sie nun im Registrierungseditor zu "HKEY_LOCAL_MACHINE\System_Windows\Setup". Klicken Sie doppelt auf den Parameter "SetupType" und legen Sie als Wert 2 fest. Ändern Sie den Wert des Parameters "CmdLine" auf cmd.exe.
Markieren Sie den Unterschlüssel "System_Windows". Entfernen Sie ihn wieder mit "Datei, Struktur entfernen..." und mit einem Klick auf Ja.
Beenden Sie den Registrierungseditor und starten Sie dann den Rechner neu. Beim Neustart erscheint einmalig - noch vor dem Anmeldebildschirm - eine Kommandozeile. Dieser Befehl setzt die Kennwörter zurück:
net user Benutzername Passwort
Ersetzen Sie Benutzername durch ein Benutzerkonto und Passwort durch ein neues Passwort. Geben Sie nach dem Ändern der Passwörter exit ein.

[EWeiss]

Das ist ja mal krass warum dann überhaupt noch ein Passwort vergeben/verwenden.
Mach das mal mit Linux.

gruss

[himitsu]

Fällt dir an der Beschreibung was auf?

Alles vollkommen sinnlos.


Schreibzugriff auf HKEY_LOCAL_MACHINE > man benötigt gewisse Rechte

und wenn man diese Rechte hat, dann kann man die Passwörter auch auf normalem Wege ändern.
> Benutzerkontensteuerung oder XPUsermanager oder NET USER und das ohne vorher irgendwie an der Registry rumzupfuschen.

[EWeiss]

Zitat:

und wenn man diese Rechte hat, dann kann man die Passwörter auch auf normalem Wege ändern.

Korrekt bin scheinbar noch nicht richtig wach.

gruss

[Popov]

@himitsu

Besteht noch weiter das Problem oder ist es bereits gelöst? Und wenn es weiter besteht, warum? Mag sein, dass man für den Tipp von UliBru gewisse Rechte benötigt, aber es gibt tausend und eine Möglichkeiten sich ein Konto mit Adminrechten zu schaffen, zu aktivieren, zu deaktivieren, sich neue Passwörter zu schaffen. Zumindest wenn man Zugriff auf die Platte hat. Also wenn du immer noch ein Problem hast, dann stellt sich mir die Frage warum?

[himitsu]

Im abgesicherten Modus gestartet, dann ist das Administratorkonto immer aktiviert, selbst wenn es über die Benutzersteuerung geaktiviert wurde.

Konnte mich also im abgesicherten Modus als Admin anmelden und alles wieder hinbiegen.
Es ist also immernoch unpraktisch, daß man alles verbieten kann, aber im Notfall gibt es immer noch ein Schlupfloch. :-D

Man sollte also sicherstellen, daß das Administratorkonto ein Passwort besitzt.
Und im Notfall macht sich die "Passwortdiskette" ganz praktiscg, falls man dieses Passwort mal vergißt.

Dann braucht man auch keine windigen Passwortknacker.
PS: Bei einem ordentlichen/sicheren Passwort, können diese Programme auch nichts ausrichten, außer man hat ein paar Jahre/Jahrunderte Zeit.



Ein Windows-Live-System ist auch immer paktisch (hab mir eines auf einem USB-Sick erstellt), dann kann man Dateien retten, wenn wirklich mal alles futsch ist.
Wenn man die Verschlüsselungsfunktion des NTFS nutzt, sollte man auch noch unbedingt die Schlüsseldateien der User sichern.

[Popov]

Zitat:

Zitat von himitsu (Beitrag 1159656)

Man sollte also sicherstellen, daß das Administratorkonto ein Passwort besitzt.
Und im Notfall macht sich die "Passwortdiskette" ganz praktiscg, falls man dieses Passwort mal vergißt.

Nach meiner Kenntnis ist das Passwort nirgendwo hinterlegt, ich kann mich aber auch irren. Das einzige was mir bei Windows bekannt ist ist die Brute-Force-Methode, ob brutal bei a abgefangen oder etwas intelligenter.

Was es aber gibt sind Admintools (weder windig, noch sturmfrei), die einen Zugang zum System herstellen. Das sind keine Hackertools, denn du kommst damit nicht unbemerkt rein, aber Admintools. Das ist was anderes.

PS: was ist eine Diskette?

[himitsu]

Das Ding nennt sich halt so, aber man kann die Datei auch wo anders abspeichern. (USB-Stick und Co.)

Darin ist ein Sicherheitsschlüssel, mit welchem man sich anmelden kann, anstelle des Passwortes, um danach das Passwort zu ändern.

[UliBru]

Zitat:

Zitat von himitsu (Beitrag 1159641)

Fällt dir an der Beschreibung was auf?

Alles vollkommen sinnlos.

Schreibzugriff auf HKEY_LOCAL_MACHINE > man benötigt gewisse Rechte

und wenn man diese Rechte hat, dann kann man die Passwörter auch auf normalem Wege ändern.
> Benutzerkontensteuerung oder XPUsermanager oder NET USER und das ohne vorher irgendwie an der Registry rumzupfuschen.

@Himitsu:
ich hab a) nur den Text wiedergegeben wie eben im Magazin niedergeschrieben. Kann mich erinnern dass das auch schon in der ct' gestanden hat. b) Für die Computerreparaturfunktion muss man per Installations-DVD starten und eben die Reparatur anwählen, nicht installieren. Wenn denn der Text stimmen sollte (ich geb zu ich hab es nicht getestet), dann kommt man dann eben doch von aussen ohne Kennwort in die Registry mit Schreibzugriff. In diesem Sinn auch die spätere einmalige Passworteingabe, bevor Windows richtig gestartet hat.

Dass der Trick, so er denn funktioniert, eigentlich die ganze Passwortgeschichte aushebelt, ist klar.

[himitsu]

Gutt, wenn man von außen, über ein anderes Betriebssystem drauf zugreift und dazu noch einen NTFS-Treiber nutzt, welche alle Berechtigungen ignoriert (der Linuxtreiber macht das gerne, aber auch nur, weil MS die wchtigsten Teile geheimhält und man keine Lust hatte alles zu entziffern).
Oder wenn man ohne Treiber direkt auf die Festplatte/Partition zugreift, dann dann kann man natürlich alles ändern.

Deswegen sichert man sein BIOS/EFI besser mit einem Passwort und verbietet das Booten von externen Medien.

[Valle]

[OT]

Zitat:

Zitat von himitsu (Beitrag 1159738)

Deswegen sichert man sein BIOS/EFI besser mit einem Passwort und verbietet das Booten von externen Medien.

Ist auch Quatsch. Das einzig Wahre ist eine Verschlüsselung der Festplatte. Damit hat ein Angreifer keinen Zugriff auf deine Daten mehr. Alles andere ist leicht auszuhebeln. Und selbst die Verschlüsselung lässt sich, zB. durch eine Art Rootkit, umgehen. Also sieh zu, dass niemand physikalischen Zugriff auf deinen Rechner hat. Alles andere ist prinzipiell unsicher.
[/OT]

[Dalai]

Zitat:

Zitat von himitsu (Beitrag 1159641)

Fällt dir an der Beschreibung was auf?

Alles vollkommen sinnlos.


Schreibzugriff auf HKEY_LOCAL_MACHINE > man benötigt gewisse Rechte

... die man bekommt bzw. automatisch hat, wenn man das genannte Windows Recovery Environment (= Windows PE 3.x) gebootet hat. Der Zweig HKLM, der in diesem Live-Windows (nichts anderes ist das) existiert, hat nichts mit dem installierten Windows zu tun. Aber nur dort lassen sich die Registry-Hives eines anderen Windows laden/einbinden. Und genau das ist in dem genannten Artikel beschrieben.

MfG Dalai

[himitsu]

Das auch.
Dann noch den Rechner in einen Save, den Strom über einen Trenntrafo mit Überspannungsschutz und das Netzwerk über Optokoppler.

[Popov]

@himitsu

Das hat nichts mit Murks zu tun, das ist normal. Jeder Admin hat gewisse Rechte. Und wenn du mit einem externen OS zugreifst, dann eben als Admin. Dann wird die Systempartition zu einer normalen Daten-Festplatte.

Was aber geht, aber Gefahren mir sich bringt, ist sich als System anmelden und den Admins Rechte bescheiden. Das macht Spaß, das macht Freude. Dann klappt es auch nicht von außen, bzw. der von Außen muß sich auch als System anmelden. Und kaum einer weiß wie das geht. Also kein richtiger Schutz, aber eine Hürde.

[himitsu]

System?
Ich hab schon als Admin allen Admins die Rechte genommen, das reicht auch zu.

Man könnte auch den Administratoren das Editieren der Benutzerrechte verbieten, dann wird es auch noch viel besser.

[Popov]

Ja, das schon, aber wenn du als Admin dem Admin Schreibrechte nimmst, dann kann er zwar nicht schreiben, das stimmt, aber er kann sich wieder die Rechte selbst geben. Das ist nur eher ein Sichtschutz, kein echter Schutz. Das wirkungsvollste ist dem Admin das Recht auf Änderung der Rechte nehmen. Dann ist er raus. Aber er kann einen weiteren Admin erstellen, oder ein anderer Admin kann ihm die Rechte wieder geben. Also nichts Richtiges. Wenn, dann mußt du allen Admins das Recht nehmen. Stimmt, das kannst du auch als Admin. Aber dann bist du komplett raus. Und um das geht es nicht. Wir machen hier keinen Wettbewerb wie man sich am leichtesten die Rechte beschneiden kann.

Als System und Admin kannst du allen Admins die Rechte nehmen, du kannst es dann aber nur als System wieder geben. Denn System steht über Admin.