Ограничение прав доступа... и не только!

← →
Ламот © (2006-08-10 16:30) [0]

Добрый день!
Подскажите пож. каким образом можно оставить пользователю только мою прогу (ОС WinXP Home Editional)?!
В смысле - запретить Все! остальные операции...?

Попробовал в реестре прописать ее вместо шела - слабо, потому как тот же Alt+Ctrl+Del (или Ctrl+Shift+Es) и запускай все что захочешь...! ((

Сейчас думаю сделать "контрольный список процессов" и безбожно рубить всё невходящее в этот список... только криво это как-то... да и не факт что чего-то не пропущу!

Может кто на пальцах объяснит как в таких случаях поступают нормальные люди?! ))

Зарание спасибо и извениете за невнятность...! ))))

← →
KilkennyCat © (2006-08-10 16:35) [1]

наверное, крутая прога...

может, проще написать ее под дос, и оставить только ее плюс коммандком? :)

Если виндоусу запретить все остальные операции, то в лучшем случае увидишь окошко с таймером обратного отсчета 60 секунд...

← →
Ламот © (2006-08-10 16:45) [2]

2 KilkennyCat © - Комп будет ставиться в цех, там бешенный проходняк (от которого никуда не деться). оператор будет вбивать выпуск/брак/проч. и все!
Комп подключен к общей сетке, домена нет (70% компов на предприятии под WinXP HE). Таким образом, чтоб меньше лазили где ненадо (от той же скуки) необходимо порезать им все, кроме ввода данных (через мою прогу)... как это грамотней сделать?! Или я ваабще не в ту сторону смотрю??!

← →
umbra © (2006-08-10 16:45) [3]

в локальных политиках безопасности посмотрите раздел "Ограничение програмного обеспечения" (или что-то в этом роде, у меня винда английская). Похоже на то, что Вам надо

← →
KilkennyCat © (2006-08-10 16:47) [4]

> [2] Ламот © (10.08.06 16:45)

Тогда действительно проще всего дос.

← →
KilkennyCat © (2006-08-10 16:48) [5]

И надежней. И машину можно старье.

← →
ПЛОВ © (2006-08-10 16:48) [6]

В компьютерных клубах то-же самое - все порезано кроме игр. Сделать так же.
Ну или ДОС :)

← →
Desdechado © (2006-08-10 17:20) [7]

А выйти из твоей проги они могут?
SystemModal не спасет? :))

← →
umbra © (2006-08-10 17:25) [8]

можно еще дополнительно в свойствах пользователя на вкладке "окружение" (или как-то так :)) поставть галку "Запускать при логоне программу" и указать путь к Вашей проге. Это само по себе не спасает от запуска других программ, просто если закрыть Вашу, то сессия завершится.

← →
Gero © (2006-08-10 17:26) [9]

Прописать ее как оболочку, диалог «выполнить» запретить. Делов-то.

← →
Ketmar © (2006-08-10 18:17) [10]

угу. копать в направлении gpedit.msc. там много всего полезного есть.

← →
Ламот © (2006-08-10 18:17) [11]

> [3] umbra © (10.08.06 16:45)
- ...извините за неграмотность, но где в ВинХП Домашнем издании можно найти локальные политики???! я считал что их там просто нет! ))

> [4] KilkennyCat © (10.08.06 16:47)
- Заманчиво, но я не знаком с клиентами службы терминалов под Дос, а он нужен... поищу! ))

> [6] ПЛОВ © (10.08.06 16:48)
- я понимаю про комп. клубы... просто думал есть более "дружелюбное для пользователя" решение...! ))

> [7] Desdechado © (10.08.06 17:20)
- По кнопке PowerOff происходит power off... ))
SystemModal (Безопасный режим?) действительно проблема с которой не знаю что делать...! ((

> [8] umbra © (10.08.06 17:25)
- при закрытии моей программы комп выключается, так что это меня меньше всего волнует...! ))))

> [9] Gero © (10.08.06 17:26)
- Дык прописывал уже (в первом посте описано), а как вырубить диспетчер задач, через который можно запустить все что угодно?!!

← →
Ламот © (2006-08-10 18:21) [12]

> [10] Ketmar © (10.08.06 18:17)
- не, или лыжи не едут, или...
c:\windows\system32\gpedit.msc - так?! и где оно в Home Edition????

← →
Ketmar © (2006-08-10 18:23) [13]

ну возьми и скопируй это из pro. какая, нафиг, разница?

← →
Gero © (2006-08-10 18:24) [14]

> [11] Ламот © (10.08.06 18:17)

> - Дык прописывал уже (в первом посте описано), а как вырубить
> диспетчер задач, через который можно запустить все что угодно?
> !!

HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
"NoRun"(DWORD)=0

← →
Gero © (2006-08-10 18:24) [15]

> [13] Ketmar © (10.08.06 18:23)

> ну возьми и скопируй это из pro. какая, нафиг, разница?

То, что в Home не должно запускаться, в нем не запустится.

← →
Gero © (2006-08-10 18:25) [16]

> "NoRun"(DWORD)=0

1, конечно.

← →
umbra © (2006-08-10 18:26) [17]

2 Ламот © (10.08.06 18:17) [11]

да я тоже не знаю, есть ли они там. если в командной строке выполнить
secpol.msc /s, что получится?
а вообще редактор локальных политик - это %SystemRoot%\system32\secpol.msc

← →
Ketmar © (2006-08-10 18:26) [18]

> [15] Gero © (10.08.06 18:24)

пардон, не проверял. собственно, надо было написать "ну пропиши в реестр руками". по-сути, gpedit больше ничего и не делает-то. %-)

← →
tesseract © (2006-08-10 18:30) [19]

> Попробовал в реестре прописать ее вместо шела - слабо, потому
> как тот же Alt+Ctrl+Del (или Ctrl+Shift+Es) и запускай все
> что захочешь...! ((

Убери право листинга файлов со всех каталогов.

← →
Mike Kouzmine © (2006-08-10 21:26) [20]

Ламот © (10.08.06 16:30)
Добрый день!
Подскажите пож. каким образом можно оставить пользователю только мою прогу (ОС WinXP Home Editional)?!

Не лгите. Это написали не вы.

← →
Чапаев © (2006-08-10 22:07) [21]

По таймеру: всё, что принадлежит юзеру ХХХ и имеет имя исполняемого файла не ЫЫЫ.exe -- TerminateProcess(). Оформить как службу.

В Home политиками безопасности таки не порулишь.

> Попробовал в реестре прописать ее вместо шела - слабо, потому
> как тот же Alt+Ctrl+Del (или Ctrl+Shift+Es) и запускай все
> что захочешь...! ((

Твикером можно запретить ТаскМанагер. Не уверен на 100%, что под Хоумом сработает, но процентов 95 -- таки да.

> домена нет

Хоум всё равно в домене работать не умеет.

> необходимо порезать им все, кроме ввода данных (через мою
> прогу)...

Главное -- чтоб ты сам потом мог её отключить...

> можно еще дополнительно в свойствах пользователя на вкладке
> "окружение" (или как-то так :)) поставть галку "Запускать
> при логоне программу" и указать путь к Вашей проге. Это
> само по себе не спасает от запуска других программ, просто
> если закрыть Вашу, то сессия завершится.

Имхо фантазируешь. Во-первых, нету ни там, ни где-то вблизи такой галки. Во-вторых, большие сомнения относительно "сессия завершится".

> SystemModal (Безопасный режим?)

Нет.

> Безопасный режим?) действительно проблема с которой не знаю
> что делать...!

Службу можно прописать так, что будет и в безопасном стартовать.

← →
Ketmar © (2006-08-10 22:21) [22]

спецкомбинации можно обработать и при помощи низкоуровневого хука на клавиатуру, например. или CBT. плюс -- заменить шелл.
изврат, но вариант. %-)

← →
Чапаев © (2006-08-10 22:31) [23]

> спецкомбинации можно обработать и при помощи низкоуровневого
> хука на клавиатуру

Ctrl-Alt-Del не обработаешь. А оттуда ТаскМгр запустить -- как два байта...

> заменить шелл

А смысл? Шелл или -- и того глубже -- UserInit заменить не сложно. Только что толку?

← →
Ketmar © (2006-08-10 22:36) [24]

> [23] Чапаев © (10.08.06 22:31)

низкоуровневым хуком на клаву -- можно, афаир. %-) точнее, не "обработать", а отрубить нафиг. после чего смело менять шелл.

← →
Anatoly Podgoretsky © (2006-08-10 22:43) [25]

Не та операционка, или ДОС, или если не устраивает и есть знания, то NT Embeded

← →
Чапаев © (2006-08-10 22:43) [26]

> Ketmar © (10.08.06 22:36) [24]

Нет. Или ты прав, а Руссинович сынок супротив тебя... &-) По идее, C-A-D получает исключительно GINA.

← →
Gydvin © (2006-08-10 22:45) [27]

> - Дык прописывал уже (в первом посте описано), а как вырубить
> диспетчер задач, через который можно запустить все что угодно?
> !!

А если просто поискать окно и убить

← →
Ketmar © (2006-08-10 22:54) [28]

> [26] Чапаев © (10.08.06 22:43)
ну я ж сказал -- афаир. а в этом плане мой "р" не шибко надёжный -- задача нежизненная. %-)
а вообще -- gina так gina. писать свою, значит. %-)

> [27] Gydvin © (10.08.06 22:45)
неспортивно.

← →
Чапаев © (2006-08-10 23:01) [29]

> а вообще -- gina так gina. писать свою, значит.

Эхъ. Вот осенью, видимо, придётся этим заняться. А я в МСДН глазом окинул тему написания своей гины и страшно стало...

← →
Ketmar © (2006-08-10 23:37) [30]

> [29] Чапаев © (10.08.06 23:01)
да ладно. большинство функций обычно можно делегировать старой и не заморачиваться. %-)

← →
KilkennyCat © (2006-08-10 23:39) [31]

> [20] Mike Kouzmine © (10.08.06 21:26)

:)
Так вот он - Билли! Бейте его!!!

← →
DVM © (2006-08-10 23:42) [32]

1) Программу делаем шеллом.
2) Программа создает свой десктоп и переключается на него (CAD там будет работать, но диспетчер задач будет вызываться на десктоп по умолчанию и его не видно)
3) Программой типа Restorator покоцать диспетчер задач, убрав оттуда кнопку новая задача
4) Запретить SafeMode
5) Ctrl+Esc - низкоуровневый хук на клавиатуру. Хотя без проводника он вроде ничего и не делает.

← →
Petr V. Abramov © (2006-08-11 00:18) [33]

Ну неужто весть этот геморрой стОит 150 баксов (цена XP prof)? Ну стырьте вы, ее, prof, если так денег жалко. Но зачем так страдать-то?

← →
Чапаев © (2006-08-11 00:28) [34]

> Программа создает свой десктоп и переключается на него (CAD
> там будет работать, но диспетчер задач будет вызываться
> на десктоп по умолчанию и его не видно)

А у меня вот CAD не работало в такой ситуации... По крайнеу мере, вслепую завершение сеанса сделать не удалось.

> Запретить SafeMode

Как??? Это имхо из области фантастики. Хотя сделать так, что в сейфе не залогинишься -- реально.

← →
DVM © (2006-08-11 01:01) [35]

> По крайнеу мере, вслепую завершение сеанса сделать не удалось.

Ясное дело. Таскменеджер же на другом десктопе.
CAD он работает всегда.

> Как??? Это имхо из области фантастики. Хотя сделать так,
> что в сейфе не залогинишься -- реально.

HKEY_LOCAL_MACHINE\\System\\CurrentControlSet\\Control\\SafeBoot

← →
Don Nikola © (2006-08-11 01:12) [36]

Еще можно поставить 98SE очень Lite и прога чтобы себя запускала как скринсейвер, ну и msdos.sys подрихтовать от шибко умных.

← →
Tirael © (2006-08-11 05:02) [37]

видел прогу в инете, она в реестр пишет список прог какие можно запускать, на остальные выдается чтото типа "запуск запрещен обратитесь к админу" сам пробовал, работает. тока вот куда в реестре она пишет не помню, и пробовал на 98, но мож фишка сохранилась... поищи в инете

а насчет таск менеджера - так замени его каким нить блокнотом или прогой выводящей надпись "фиг тебе"...

← →
Tirael © (2006-08-11 05:08) [38]

ЗЫ прога нипричем, она только в реестр пишет, фишка системная

← →
DeadMeat © (2006-08-11 09:26) [39]

От таск манагера можно спрятаться минимум 4мя (известными мне) способами:
1. Десктоп (уже описали).
2. Реестр (запретить его вызов).
3. Заменить его самого через реестр (как делает ProcessExplorer).
4. Хватать CAD через LL хуки (тоже описали, но есть дополнение, если поставить галку "Использовать страницу приветствия", то помогает на 100%).

А проще в реестре список, типа "Запускать только это".

← →
DeadMeat © (2006-08-11 09:27) [40]

> От таск манагера можно спрятаться минимум 4мя (известными
> мне) способами:

Пардон.. Конечно не от него спрятаться (чур меня, а то побьют), а его спрятать.

← →
wal © (2006-08-11 09:32) [41]

> [11] Ламот © (10.08.06 18:17)
А что -нибудь другое нужно кроме клиента служб терминалов? Если нет, то есть замечательные поделки на одной дискете (или через загрузку по сети).

← →
Ламот © (2006-08-11 10:53) [42]

to Gero ©
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
"NoRun"(DWORD)=1
- Дякую, то что надо! )))

to umbra © [17] – К сожалению это не про Home Edition ((

to tesseract © [19] – Запретить Win+R имхо проще! ))

to Mike Kouzmine © [20] – За невнятность объяснения уже извинялся, похоже придется еще раз… хотя, если по бузить, кто может запретить мне назвать свою программу «ОС WinXP Home Editional» ?! В серьез не воспринимать! ))))

to Чапаев ©
По таймеру: всё, что принадлежит юзеру ХХХ и имеет имя исполняемого файла не ЫЫЫ.exe -- TerminateProcess(). Оформить как службу.
- Тот же контрольный список процессов… вот только до оформления этого в службу я не догадался, она и в безопасном режиме должна работать… Пасиба! ))

Твикером можно запретить ТаскМанагер. Не уверен на 100%, что под Хоумом сработает, но процентов 95 -- таки да.
- Gero © в [14] дал то что надо… теперь отключать диспетчера вроде как и не нужно…! ))))

>> домена нет
>Хоум всё равно в домене работать не умеет.
- дык про то и писал, что смысла его ставить и настраивать при 70% … в общем и на не на…! ))

Главное -- чтоб ты сам потом мог её отключить...
- от это действительно проблема так проблема…! )))))))))))

to Anatoly Podgoretsky © [25] – Дос почти устраивает… клиента службы терминалов только я под него не нашел (если он ваабще существует), про NT Embeded слышу впервые… почитаю про нее для общего развития, но как вариант рассматривать – врядли… за совет пасиба! ))

to Gydvin © [27] – То о чем Вы говорите уже рассматривалось (частный случай из контрольного списка процессов)

to DVM © [32]
1. Согласен
2. Уже не критично (против самого диспетчера я ничего не имею, меня в нем не устраивала только функция запуска сторонних приложений… уже решено)
3. О том и речь
4. Чапаевская мысль рулит, зачем прятать то, что может очь. пригодится? Проще написать свою службу, и контролировать работу в безопасном режиме…! ))
5. Угу, на всякий случай проверил – без эксплорера не работают…

В целом схема вырисовалась, осталось реализовать… пасиба за участие! ))

to Petr V. Abramov © [33] – Этот «гемор» стоит еще дороже, я уже больше года пытаюсь протащить идею «честного» ПО. Каждый новый комп покупается с необходимым комплектом, чуть реже докупаются форточки для уже имеющихся компов, весь офис (бухгалтерия дольше всех материлась) сидит на опенофисе, а теперь самому взять и плюнуть на все это??! Ну уж нет!
А $150 действительно много, я пока $70 выбил (на домашнее издание) столько крови потерял, что ну его…! ((((

to Don Nikola © [36] – WinXP уже куплена… причем OEM… за 98’ю заикаться поздно! ((

to Tirael © [37] – пока найдешь такую прогу, которая бы:
1. Не сбоила бы
2. Реализовывала достаточный функционал
3. бла-бла-бла (куча подводных камней, всплывающих при использовании незнакомого софта)
4. Была бы бесплатной…
Самому написать легче…! )))

> [40] DeadMeat © (11.08.06 09:27)
- выше описал - прятать уже не надо...! ))

> [41] wal © (11.08.06 09:32)
- да вроде как и нет... с загрузками по сети (или с дискеты) когда-то сталкивался... помню - дюже геморно все это было... хотя вариант канечно хороший. Может в результате к нему и прийдется вернуться!

По итогу остановился на следующем:
1. Служба, знающая что можно, что нельзя, основная функция – убивать все что нельзя, вести логи…
2. Программа, стартующая в обычном варианте загрузки вместо шелла (параллельно со службой)
3. Образ диска «C:» … на всякий случай! ))))

Всем спасибо за участие, до встречи в эфире

<offtop>
to Desdechado © - Привет Феодосии, сегодня неделя как вернулся… скорблю и хочу обратно! ))))
</offtop>

> она и в безопасном режиме должна работать

Если дополнительно в реестре пропишешь. В общем случае, служба в Safe Mode запускаться не станет.

> NT Embeded слышу впервые

Штука отличная, но... Проще будет службу написать (хотя с embedded разобраться -- пользительней).

Вообще собираемся в понедрельник этот (тьху-тьху-тьху чтоб не сглазить) релизить прогу, которая твоим запросам соответствует... Можно "запретить всё кроме...", а на нужные админу программы пароль поставить.

← →
dzmitry[li] (2006-08-11 11:11) [44]

создать гостевой логин (Oper)
поставить запрет на запуск explorer и taskmgr (в свойствах) для данного логина
подменить shell на твою прогу (вместо explorer)

у меня работает

> > она и в безопасном режиме должна работать
> Если дополнительно в реестре пропишешь. В общем случае,
> служба в Safe Mode запускаться не станет.
- Уже станет! ))))

> > NT Embeded слышу впервые
> Штука отличная, но... Проще будет службу написать (хотя
> с embedded разобраться -- пользительней).
- Уже ищу... чё найду - прочитаю... в ближайшее время почитать - это все что я успею (((

> Вообще собираемся в понедрельник этот (тьху-тьху-тьху чтоб
> не сглазить) релизить прогу, которая твоим запросам соответствует...
> Можно "запретить всё кроме...", а на нужные админу программы
> пароль поставить.
- Готов выступить в роли бесплатного тестера! )))))
К стати - а сколько стоить будет? может для себя и куплю! ))))

← →
dzmitry[li] (2006-08-11 11:18) [46]

забыл добавить - пароли пароли пароли...
не забыть опечатать системник (или заварить), предварительно отключив ненужные шнуры/платы физически, включая ресет...

иногда узнаются оччень интересные методы взлома (физического, а не хакерского)

> [46] dzmitry[li] (11.08.06 11:18)
- Ага, я когда первый раз загрузочный компакт с Виндой и Линухой увидел - мне плохо стало! А ведь это истчё не предел...! ((((

> К стати - а сколько стоить будет? может для себя и куплю!
> ))))

Прога бесплатно. В комплекте с устройством ввода пароля. ;-)

> [48] Чапаев © (11.08.06 13:11)
- Матер божья, а спец. комп, к которому можно будет подключить указанное устройство, в комплект не входит?! )))))
Чё-й-то Вы совсем страшное наворотили... не удевлюсь если из серии решений "Под ключ"... ))

> - Матер божья, а спец. комп, к которому можно будет подключить
> указанное устройство, в комплект не входит?! )))))

Могём организовать! ;-)

> Чё-й-то Вы совсем страшное наворотили... не удевлюсь если
> из серии решений "Под ключ"... ))

Неее... Могу руководство пользователя прислать.

> Могём организовать! ;-)

- И дажеть не сомневался! )))))

> Могу руководство пользователя прислать.

- Интересно было бы почитать... если не шибко раздутое и в достаточной мере описывающее функционал! ))))))

Отправил на мыло из анкеты. pdf ~430 килобайт. Описаны все пользовательские функции.

Указания на синтаксические, пунктуационные, стилистические ошибки -- приветствуются. ;-)

2Ламот я же сказал, фишка системная, сама винда запрещает, прога просто прописывает в реестр, только куда не помню, мона поискать в инете, я вроде c download.ru ее брал. так что сама прога и не нужна, там просто предполагается что разрешенных файлов много, и чтоб их не ручками прописывать сделали прогу

> [55] Чапаев © (11.08.06 19:06)

- Раньше не был... хотя письмо так и не пришло! (((
может на nk@hotmail.ru попробовать... ?! ))

> [54] Tirael © (11.08.06 18:55)

- Пасиба, поищу...

> Ламот © (10.08.06 16:45) [2]
> 2 KilkennyCat © - Комп будет ставиться в цех, там бешенный
> проходняк (от которого никуда не деться). оператор будет
> вбивать выпуск/брак/проч. и все!
> Комп подключен к общей сетке, домена нет (70% компов на
> предприятии под WinXP HE). Таким образом, чтоб меньше лазили
> где ненадо (от той же скуки) необходимо порезать им все,
> кроме ввода данных (через мою прогу)... как это грамотней
> сделать?! Или я ваабще не в ту сторону смотрю??!

Это решается административными мерами.

> [57] Плохиш © (14.08.06 11:11)

- Помните как у Высоцкого было:
"Смешно, не пpавда ли, смешно?..
А он шyтил - не дошyтил..."
По моему - тот случай! )))

Отправил доку ещё раз с chapaev@hotmail.ru на nk@hotmail.ru. Авось хотмэйл хотмэйлу глаз не выклюнет...

Ограничение прав доступа... и не только! Найти похожие ветки