Schutz vor Remote-Shutdown

[Neelix]

Hallo,

aus aktuellem Anlaß würde mich interessieren, wie man seinen XP-Rechner im LAN gegen ein nicht autorisiertes Remote-Shutdown schützen kann. :x Geht das auch ohne Installation einer Firwall?

[Jasocul]

Den Remote-Zugriff sperren?

[GuenterS]

Braucht dieses ShutDown nicht eh das Passwort des Administratoraccounts?

[Neelix]

Zitat:

Zitat von GuenterS

Braucht dieses ShutDown nicht eh das Passwort des Administratoraccounts?

Nein. das haben wir ausprobiert.

Zitat:

Zitat von Jasocul

Den Remote-Zugriff sperren?

Und wie? Wenn der PC-benutzersevice auf unsere Rechner will, dann muß ich dem zustimmen. Aber beim Shutdown sehe ich nur ein Meldungsfenster und habe etwas Zeit meine Daten zu sichern. :shock:

[alcaeus]

Hi Neelix,

der Remote-Shutdown funktioniert mit Hilfe der shutdown.exe
Bei Windows-Standardeinstellung haben nur Administratoren das Recht die Datei auszufuehren. Nun gibt es zwei Szenarios:

1. Die Shutdown.exe wird von deinem PC aus gestartet: in diesem Fall wird nur heruntergefahren, wenn der startende Prozess Adminrechte hat.
2. Das Herunterfahren wird remote gestartet. Dazu muss das Passwort des Adminaccounts auf dem Zielcomputer uebergeben werden, ansonsten wird der Shutdown nicht ausgefuehrt.

Loesungsmoeglichkeiten: nicht als Admin arbeiten, Adminpasswort aendern, oder ueber die Gruppenrichtlinie auch dem Admin das Ausfuehren von Shutdown.exe verweigern.
Und nachdem du ja Zeit hast, die Daten zu sichern kannst du auch das herunterfahren mit Hilfe des Schalters "-m" beenden. Gib in der Konsole einfach mal "shutdown" ein, dann siehst du die Parameterliste. Ein Aufruf von "shutdown -m" sollte das Herunterfahren abbrechen, aber ich bin mir nicht mehr ganz sicher.
Aber ich wuerde der Sache mal auf den Grund gehen: Warum wird der Shutdown ausgefuehrt?

Greetz
alcaeus

[GuenterS]

Also wir hatten das Problem in der Schule damals auch schon, es nützt aber zum Beispiel nix wenn dein User Admin heißt und in der Administratoren Gruppe sitzt.

Man muss wirklich dem User "Administrator" ein Passwort zuweisen, ansonsten gehts auch ohne Passwort, zumindest war es bei uns damals dann nicht mehr möglich mit dem tool.

[Neelix]

Zitat:

Zitat von alcaeus

Aber ich wuerde der Sache mal auf den Grund gehen: Warum wird der Shutdown ausgefuehrt?

Beide Anwender haben auf Ihren PC's lokale Adminrechte und gehören nicht der globalen Administratorgruppe an. Das ist zumindest mein Kenntnisstand!

Und Günther, es geht ohne Kennwort!

[GuenterS]

Zitat:

Zitat von Neelix

Zitat:

Zitat von alcaeus

Aber ich wuerde der Sache mal auf den Grund gehen: Warum wird der Shutdown ausgefuehrt?

Beide Anwender haben auf Ihren PC's lokale Adminrechte und gehören nicht der globalen Administratorgruppe an. Das ist zumindest mein Kenntnisstand!

Und Günther, es geht ohne Kennwort!

Naja ich kann dir nur sagen, wie es bei mir damals war und da war nun mal ein Passwort notwendig, sofern man eines für den einen User gesetzt hat.

[alcaeus]

Zitat:

Zitat von Neelix

Beide Anwender haben auf Ihren PC's lokale Adminrechte und gehören nicht der globalen Administratorgruppe an. Das ist zumindest mein Kenntnisstand!

Sobald ein Benutzer Adminrechte hat gehoert er automatisch einer Administratorengruppe an.
Und ich meinte nicht das, sondern ich wollte vielmehr wissen, warum der Shutdown ausgefuehrt wird (Wartung, Wurm, Spass an der Freude, ...)

Greetz
alcaeus

[Neelix]

Zitat:

Zitat von alcaeus

Sobald ein Benutzer Adminrechte hat gehoert er automatisch einer Administratorengruppe an.

Kann nicht sein, es wird unterschieden zwischen lokalen und globalen Adminrechten. Die lokalen werden auf Anforderung userbezogen für einzelne Rechner freigeschaltet!

[deti]

Hallo

Ich hatte in der Schule dasselbe Problem..
Ich löste das Problem so, indem ich eine Batchdatei erstellte mit dem folgendem text:
-----------------------------------
echo off
shutdown /a
%0

-----------------------------------
Das sollte bei XP funktionieren...

[r_kerber]

Hallo deti,

Und woher weiß man, wann diese Batch-Prozedur laufen soll? Wenn ich mich richtig erinnere, kann man mit /a nur einen einmal gestarteten Shutdown abbrechen.

[alcaeus]

Hallo Rainer,

Zitat:

Zitat von r_kerber

Und woher weiß man, wann diese Batch-Prozedur laufen soll? Wenn ich mich richtig erinnere, kann man mit /a nur einen einmal gestarteten Shutdown abbrechen.

das stimmt, aber wenn der "Herunterfahrer" (;)) freundlich genug ist, das Timeout nicht auf 0 zu setzen, dann siehst du auch ein Meldungsfenster, welches dir die verbleibende Zeit zum Speichern anzeigt. Sobald das Fenster kommt, einfach "shutdown /a" eingeben und das wars.

Greetz
alcaeus

[Neelix]

Guten Morgen alcaeus,

der Einwurf von r_kerber ist durchaus berechtigt. Unter meinem Schreibtisch stehen zwei PC's. Wenn auf dem einen ein Langläufiger aktiv ist (teilweise auch über Nacht!), schalte ich auf den zweiten um. Also sehe ich die freundliche Warnung nicht. Bisher ist ja zum Glück noch nichts passiert, wir haben das nur einmal ausprobiert. Aber weiß man, ob es nicht jemand gibt, der gerne mal solche "Späße" macht?

[edit=r_kerber]Doppeltes Posting gelöscht. Mfg, r_kerber[/edit]

[deti]

Hallo r_kerber.

wenn du es so machst wie ich es dir beschrieben haben, dann läuft das Programm immer wieder von vorne.
%0 bedeutet, dass er die Datei nochmals aufstartet..
mfg Deti

[Neutral General]

Schreib doch ein Programm das im Hintergrund läuft und die ganze Zeit shutdown.exe -a aufruft und wenn du deinen PC runterfahren willst machst du vorher "Prozess beenden" und fährst runter.
So ist dein PC "runterfahr-gesichert" ....oder ?

[alcaeus]

Zitat:

Zitat von Neutral General

Schreib doch ein Programm das im Hintergrund läuft und die ganze Zeit shutdown.exe -a aufruft und wenn du deinen PC runterfahren willst machst du vorher "Prozess beenden" und fährst runter.
So ist dein PC "runterfahr-gesichert" ....oder ?

Du kannst den PC immer noch normal runterfahren, in dem Fall wird nämlich nicht das shutdown-tool verwendet. Das Tool wendet nur die entsprechenden APIs an, um Administratoren die Möglichkeit einer gewissen "Fernkontrolle" zu liefern.

Greetz
alcaeus

[Assarbad]

Leute, Leute ... ihr kennt ja eure Systeme :-/

Man führe GPEDIT.MSC aus (zB durch drücken von Win+R und dann Eingabe von "gpedit.msc" + <ENTER>).

Danach kann man diverse Werte anpassen. Relevant sind alle markierten im Bild. Besonders wichtig ist jedoch der rot markierte Eintrag!

Da es sich um eine administrative Option handelt, ist es nur logisch, daß nur Admins sie ändern können. Achtung, Domain-Policy geht normalerweise über Lokale Policy!!!

Deshalb ist das alles Quark mit ständig "Abort Shutdown" aufrufen, denn unter Vollast könnte das Abort zu spät kommen, weil die Systemprozesse normalerweise höherprivilegiert sind, welche den Shutdown initiieren!

[Neelix]

Guten Morgen Assarbad,

ich werde das nachher gleich mal ausprobieren. Allerdings muß ich aufpassen, daß ich die "echten" Administratoren nicht aussperre, sonst gibt es eventuell Ärger. :(

[edit]
Tja, leider steht bei "Erzwingen des Herunterfahrens von einem Remotesystem aus" nur die Gruppe Administratoren drin, und die darf ich nicht aussperren. Soll das heißen, daß jeder der lokale Adminrechte bekommen hat in der globalen Gruppe Administratoren Mitgleid ist? :gruebel:
[/edit]

[Assarbad]

Du kannst zB eine neue Gruppe einführen. Dieser Gruppe fügst du nur die lokale Gruppe Administratoren hinzu (obwohl dies sinnlos ist, da wir ja vom Herunterfahren von einem entfernten System aus sprechen). Dann entfernst du für die Gruppe Administratoren dieses Recht und fügst stattdessen die neu erstellte Gruppe für dieses Recht hinzu.

[Assarbad]

Zitat:

Zitat von Neelix

Tja, leider steht bei "Erzwingen des Herunterfahrens von einem Remotesystem aus" nur die Gruppe Administratoren drin, und die darf ich nicht aussperren.

Nochmal, es geht um Herunterfahren von einem Fremdsystem aus. Um dies zu tun, muß sich der Nutzer dieses Fremdsystems gegen deinen Rechner authentifizieren. Ist die geglückt und hat er die entsprechenden Rechte (auch ruhend), kann er das Recht aktivieren und wahrnehmen.
Wenn du feinere Körnung der Rechte zwischen verschiedenen Rechner brauchst, dann willst du eine Domain und keine Arbeitsgruppe. Und damit bräuchtest du wiederum einen Server.

Zitat:

Zitat von Neelix

Soll das heißen, daß jeder der lokale Adminrechte bekommen hat in der globalen Gruppe Administratoren Mitgleid ist? :gruebel:

Umgekehrt wird ein Schuh draus. Bestimmte bereits eingebaute und vordefinierte Gruppen ermöglichen erst Adminrechte. Schau dir mal die einschlägigen "IsAdmin()"-Routinen an. Die prüfen auf eine bestimmte Gruppenmitgliedschaft des Nutzertokens. Das ist es was zählt.

[mschaefer]

Moin, moin,

wenn man selbst die entsprechenden Rechte hat, kann man shutdown.exe umbenennen...

Grüße // Martin

[Luckie]

Zitat:

Zitat von mschaefer

wenn man selbst die entsprechenden Rechte hat, kann man shutdown.exe umbenennen...

Das nützt dir nichts, wenn der Shutdown von einem remote Rechgner via InitiateSystemshutdown ausgelöst wird.