Zuweisen von Benutzerrechten in welcher Datei?

[Reinhard77]

also ich habe mich auf einen XP Rechner ausgesperrt beim zuweisen von Benutzerrechten in der lokalen Sicherheitsrichtlinie. Nun würde ich gerne wissen in welcher .inf Datei diese gespeichert werden, damit ich die von einem Bootmedium aus bearbeiten kann um mir wieder den Login zu ermöglichen. Ich will deswegen nicht schon wieder neu installieren. Also wo packt Windows Variablen wie "SeInteractiveLogonRight" rein, wenn ich über die Management Console Richtlinien bearbeite? Interessant zu wissen wäre erstmal die Lokale Richtilinie wie "Zuweisen von Benutzerrechten". Ich finde momentan diese Datei nicht wieder.

 

[User007]

Hallo erstmal...ich weiß nicht, ob Sie's schon wussten...selbst ein Bauer grüßt, wenn er i-wo rein kommt.

Aus WinXP bin ich zwar schon 'ne Weile raus, aber evtl. sollten entsprechende Dateien unter C:\Windows\System32\GroupPolicy zu finden sein.
Ansonsten: Wäre Zugriff mittels des Standard Administrator-Kontos eine Möglichkeit?

 

[forceafn]

Mann sollte eben nicht rumspielen wovon man keine Ahnung hat.

Aus WinXP bin ich zwar schon 'ne Weile raus, aber evtl. sollten entsprechende Dateien unter C:\Windows\System32\GroupPolicy zu finden sein.
Ansonsten: Wäre Zugriff mittels des Standard Administrator-Kontos eine Möglichkeit?

Könnte man löschen, und die GPO´s werden wieder als default erstellt. Aber die Security settings werden damit nicht zurückgesetzt.
Hier bei Microsoft ist das sehr schön beschrieben.
https://support.microsoft.com/de-de...re-security-settings-to-a-known-working-state
Aber am einfachsten ist es sicherlich ein Backup zurückzuspielen.

 

[Reinhard77]

Hallo erstmal...ich weiß nicht, ob Sie's schon wussten...selbst ein Bauer grüßt, wenn er i-wo rein kommt.

Aus WinXP bin ich zwar schon 'ne Weile raus, aber evtl. sollten entsprechende Dateien unter C:\Windows\System32\GroupPolicy zu finden sein.
Ansonsten: Wäre Zugriff mittels des Standard Administrator-Kontos eine Möglichkeit?

Hallo.

Nein den standart Adminstrator habe ich aus Sicherheitsgründen deaktiviert.
Nein dieses Verzeichnis ist es nicht was ich meine. Diesen Hinweis hatte ich gestern im Netz auch schon gefunden.

Mann sollte eben nicht rumspielen wovon man keine Ahnung hat.

Also ich finde meine Logik diesbezüglich absolut logisch: ich habe alles in "zuweisen von Benutzerrechten", was mit Administrator gekennzeichnet ist, rausgeschmissen und durch den von mir erstellten Benutzer ersetzt, der ja Administrator ist und offensichtlich hat Microsoft diesbezüglich eine andere Logik. Man könnte in diesem Zusammenhang ja auf die wahnwitzige Idee kommen, das jeder mit Administratorrechten der Zugriff aufs Netzwerk hat sich sonst an so ein System versuchen kann anzumelden.

Würde diese Logik funktionieren, hätte man für einen Desktop PC mit einem Benutzerkonto mit Administratorrechten wahrscheinlich einen enormen Sicherheitsgewinn und müsste sich nicht mit mehren Benutzerkonten rumschlagen, um einen fragwürdigen Sicherheitszuwachs zu erhalten.

 

[HerrAbisZ]

Kommst du in den abgesicherten Modus noch ?

 

[Reinhard77]

Kommst du in den abgesicherten Modus noch ?

Habe ich noch nicht versucht. Ich tippe aber wird auch nicht möglich sein, da ich mich nicht anmelden kann.

die Fehlermeldung von WinXP lautet:
"Die lokale Richtlinie erlaubt es Ihnen nicht, sich interaktiv anzumelden."
und erlaubt keine Anmeldung.

Die Einträge befinden sich in (wie ich meine gefunden zu haben): Windows\inf\defltwk.inf

SeInteractiveLogonRight und SetDenyInteractiveLogonRight sollte dies sein, wie ich vermute.

SeInteractiveLogonRight hat übrigens den Eintrag der für Administrator steht.
und bei SetDenyInteractiveLogonRight ist nur Gast eingetragen.

Verändern und Überprüfen weiterer Werte bei [Privilege Rights] brachte mich auch nicht weiter.
zu finden auf Zuweisen von Benutzerrechten

Dort steht aber nicht in welcher Datei solche Einträge zu finden sind. Ist immer nur mit diversen Tools usw. möglich...

 

[forceafn]

Ganz blöde Idee. Est steht in den GPO fast immer nur "Administratoren" drinn und nicht "Administrator".
Administratoren ist eine Gruppe, und kein einzlener benutzer. Es hätte gereicht, Dich in die Gruppe der Administratoren hinzuzufügen, und den Administrator zu deaktivieren. Aber ein Sicherheitsgewinn ist das nicht unter XP, im Gegenteil. Erstens am besten mit XP nicht mehr ins Internet, da Supportende. Zweitens unter XP am besten einen Benutzer mit dem man Arbeitet ( ohne Adminrechte ), und einen 2ten Admin erstellen um Software zu installieren und einstellungen anzupassen. Ich glaube eher Du hast die Rechtevergabe von Windows noch nicht verstanden.

Ergänzung (28. Mai 2020)

Die Einträge befinden sich in (wie ich meine gefunden zu haben): Windows\inf\defltwk.inf

Ganz falsch, in dieser Datei stehen die Winows Standarteinstellungen ( Defaultwerte ) und nicht die ausgeführten.
Bitte Finger von dieser Datei lassen. Du müsttest den Standard wieder mit secedit wiederherstellen. Ein ausführliche Anleitung steht unter https://www.gruppenrichtlinien.de/artikel/seceditexe-in-der-cmd/
Viel Erfolg

 

[User007]

"Die lokale Richtlinie erlaubt es Ihnen nicht, sich interaktiv anzumelden."
und erlaubt keine Anmeldung.

Hast Du's nach der Vorgehensweise
- PC im abgesicherten Modus starten (F8 drücken am Anfang) - im abgesicherten Modus ist das Administrator-Konto immer aktiviert - 2x <Strg> + <Alt> + <Entf> drücken - es erscheint das Anmeldefenster - Administrator + Passwort eingeben ---> anmelden
probiert?

 

[Samurai76]

Na das wäre doch toll, wenn man keine Anmeldedaten für ein System hat, einfach Live Linux booten, Datei XY löschen, und jeder kann sich anmelden. Mein persöhnlicher Alptraum. Ich hoffe und gehe davon aus, das es keine Möglichkeit gibt, denn Dieses wäre ein Scheunentor im Sicherheitskonzept.

Meine Meinung: Ohne Anmeldung keine Änderungen an Anmeldedaten und Sicherheitseinstellungen. Backup oder Neuinstallation.

 

[forceafn]

Na das wäre doch toll, wenn man keine Anmeldedaten für ein System hat, einfach Live Linux booten, Datei XY löschen, und jeder kann sich anmelden. Mein persöhnlicher Alptraum. Ich hoffe und gehe davon aus, das es keine Möglichkeit gibt, denn Dieses wäre ein Scheunentor im Sicherheitskonzept.

Meine Meinung: Ohne Anmeldung keine Änderungen an Anmeldedaten und Sicherheitseinstellungen. Backup oder Neuinstallation.

Solange Du die Platte nicht verschlüsselst, kannst Du Dir natürlich Zugriff auf das System ergaunern. Das dauert keine 5 Minuten bei XP, und ich habe Dir den Administrator aktiviert und das Passwört zurückgesetzt.

 

[Reinhard77]

Es hätte gereicht, Dich in die Gruppe der Administratoren hinzuzufügen, und den Administrator zu deaktivieren. Aber ein Sicherheitsgewinn ist das nicht unter XP, im Gegenteil. Erstens am besten mit XP nicht mehr ins Internet, da Supportende. Zweitens unter XP am besten einen Benutzer mit dem man Arbeitet ( ohne Adminrechte ), und einen 2ten Admin erstellen um Software zu installieren und einstellungen anzupassen. Ich glaube eher Du hast die Rechtevergabe von Windows noch nicht verstanden.

Ergänzung (28. Mai 2020)

Also dies sehe ich nicht so: wenn ich ein System so konfigurieren kann, das ich z.B. schon auf der Ebene der Benutzerrechte die Zugangsrechte zu meinem privat PC so festnageln kann, das nur ich Zugriff mit meinen Zugangsdaten erhalte, dann sehe ich einen gewissen Vorteil darin, da ich mir keine Gedanken mehr über diverse Angriffe mehr machen muss, die theoretisch möglich sind.

Und diese Sache mit mehreren Benutzerkonten ist in der Praxis sehr unpraktisch wie ich finde, wenn man z.B. sowieso andauernd etwas am eigenen Rechner verändert. Ich würde ja mal gerne die Zeit ausrechnen die z.B. ein Programmierer damit verbringt sich auf diese Weise andauernd an- bzw. abzumelden.

Hast Du's nach der Vorgehensweise
- PC im abgesicherten Modus starten (F8 drücken am Anfang) - im abgesicherten Modus ist das Administrator-Konto immer aktiviert - 2x <Strg> + <Alt> + <Entf> drücken - es erscheint das Anmeldefenster - Administrator + Passwort eingeben ---> anmelden
probiert?

OK werde ich gleich mal versuchen. Ist übrigens F5 und nicht F8

Na das wäre doch toll, wenn man keine Anmeldedaten für ein System hat, einfach Live Linux booten, Datei XY löschen, und jeder kann sich anmelden. Mein persöhnlicher Alptraum. Ich hoffe und gehe davon aus, das es keine Möglichkeit gibt, denn Dieses wäre ein Scheunentor im Sicherheitskonzept..

Und mein persönlicher Alptraum ist es, wenn ich wegen diversen Problemen tagelang nach komplizierten Varianten suchen muss, die im Prinzip auch in ein paar Minuten zu beheben wären.

Ich verstehe was du meinst, nur hilft diese Sichtweise privaten Anwendern die sich an ihrer eigener Hardware solche Probleme eingefangen haben nicht weiter.

Außerdem gibt es diverse Medien im Netz zum Download die genau sowas ermöglichen.
Also dein persönlicher Alptraum existierte schon lange bevor ich hier diese Frage gestellt habe.

 

[forceafn]

Kauf Dir nen C64 da ist nach aus und einschalten alles wierder Clean

Und diese Sache mit mehreren Benutzerkonten ist in der Praxis sehr unpraktisch wie ich finde, wenn man z.B. sowieso andauernd etwas am eigenen Rechner verändert. Ich würde ja mal gerne die Zeit ausrechnen die z.B. ein Programmierer damit verbringt sich auf diese Weise andauernd an- bzw. abzumelden.

Dafür funktioniert Doch die UAC in Win10 bestens, du musst halt nur dein Admin Passwort eingeben wenn Du was rumstellen wills, ist bei Linux nicht anders, dafür gibts das Komando sudo. In Linux ist man ja auch nicht mit root rechten unterwegs, bei OSX das gleiche. Wenn man so ein altes OS verwenden möchte betreibt man es am besten Oflline, oder lebt mit den gegebenheiten.

 

[Reinhard77]

Ergänzung (28. Mai 2020)

Hast Du's nach der Vorgehensweise
PC im abgesicherten Modus starten (F8 drücken am Anfang)
probiert?

Ja habe ich versucht und die Fehlermeldung ist wie vermutet die gleiche.

Wenn man so ein altes OS verwenden möchte betreibt man es am besten Oflline, oder lebt mit den gegebenheiten.

Dieser PC soll auch offline sein. Nur wenn ich z.B. die Updates einspielen will und Windows aktivieren muss, dann muss der eben kurz ans Netz. Habe sogar fast alle Updates offline verfügbar, nur selbst dieses WSUS Offline Update zieht nicht alle Updates die benötigt werden und ich muss noch anschließend eine manuelle Suche online hinterher starten.

 

[User007]

Tja, war ja nur 'ne Idee.

[...] ich muss noch anschließend eine manuelle Suche online hinterher starten.

Das lässt sich nicht hiermit umgehen?

 

[forceafn]

Das lässt sich nicht hiermit umgehen?

Müsste klappen.

Nur wenn ich z.B. die Updates einspielen will und Windows aktivieren muss, dann muss der eben kurz ans Net

Es gibt keine Aktivierungsserver mehr für XP, in den letzten Updates wird die Aktivierung von XP abgeschaltet, so dass man es nicht mehr aktivieren muss.

 

[Reinhard77]

Tja, war ja nur 'ne Idee.


Das lässt sich nicht hiermit umgehen?

Ja fragwürdige Update Packs wie ich finde! Ich meine ein Virenscanner oder so hat mal was gemeldet, aber kann mich nicht mehr genau daran erinnern. Selbst diese Installer Downloads von Chip halte ich heutzutage für höchst fragwürdig. Warum braucht ein User für eine .exe Datei für ein Programm extra diesen Installer von Chip?

Es gibt keine Aktivierungsserver mehr für XP, in den letzten Updates wird die Aktivierung von XP abgeschaltet, so dass man es nicht mehr aktivieren muss.

Telefonisch kann XP aktiviert werden. Das die Aktivierung per Updates und die Server ausgeschaltet wurden wusste ich nicht. Würde erklären warum ich dies nur telefonisch konnte.

Und wie willst du die Updates laden, wenn Windows XP nicht aktiviert ist?

habe auf gruppenrichtlinien.de noch folgenden Befehl gefunden:

secedit /configure /db %temp%\temp.sdb /cfg “%systemroot%\inf\defltwk.inf”

den ich mit einer alten Version von BartPE habe versucht auszuführen. Ging leider nicht.
Wird nun eine Neuinstallation.

Trotzdem Danke.

 

[User007]

Ja fragwürdige Update Packs wie ich finde!

Tja, wenn Du das so einschätzt, dann mußt Du wohl auch mit den Konsequenzen leben, also sprich: Was ist Dir wichtiger - simulierte Sicherheit oder praktischer Nutzen?

Aber laß Dir gesagt sein, nicht bei WinFuture...und virenverseucht könnte durchaus "alles" sein - es gibt auf dieser Kugel nix 100% Sicheres. Und dies zum Chip-Installer...

 

[Reinhard77]

Tja, wenn Du das so einschätzt, dann mußt Du wohl auch mit den Konsequenzen leben, also sprich: Was ist Dir wichtiger - simulierte Sicherheit oder praktischer Nutzen?

Die Frage sollte sein, ob diese Behauptung das praktischer Nutzen und Sicherheit würden sich ausschließen auch richtig ist!

 

[User007]

Wo ist eine Behauptung, dass die sich Ausschließen? Und wenn Du richtig liest, siehst Du eine Fragestellung bzgl. Deiner Priorisierung.