Отслеживание Access denied в реестре

← →
clickmaker © (2006-11-17 09:48) [0]

Есть некий компонент (без исходников), который пытается что-то записать в реестр и получает отлуп по причине недостатка прав. Компонент входит в состав веб-приложения ASP.NET, работает соотв. под Local System.
NTRegmon это обращение не отслеживает, из failure выдает только NOTFOUND и BUFOVRFLOW
Как бы выяснить, куда лезет эта DLL? Судя по ошибке, это связано с регистрацией источника событий, но у ИИСки-то должны же быть права...
Текст ошибки

Security Exception Description: The application attempted to perform an operation not allowed by the security policy. To grant this application the required permission please contact your system administrator or change the application"s trust level in the configuration file. Exception Details: System.Security.SecurityException: Requested registry access is not allowed. Source Error: An unhandled exception was generated during the execution of the current web request. Information regarding the origin and location of the exception can be identified using the exception stack trace below. Stack Trace: [SecurityException: Requested registry access is not allowed.] Microsoft.Win32.RegistryKey.OpenSubKey(String name, Boolean writable) +473 System.Diagnostics.EventLog.CreateEventSource(String source, String logName, String machineName, Boolean useMutex) +445 System.Diagnostics.EventLog.CreateEventSource(String source, String logName, String machineName) +11 System.Diagnostics.EventLog.CreateEventSource(String source, String logName) +11 Itslearning.TimeZoneComponent.ExeptionProcess(Exception Ex) Itslearning.TimeZoneComponent..ctor(Boolean isFullInitialization, String pathToConfig) Itslearning.TimeZoneComponent..ctor() Itsolutions.ItslUtils.ItslTimeZone..ctor() +78 Itsolutions.ItslUtils.ItslTimeZone..cctor() +20 -------------------------------------------------------------------------------- Version Information: Microsoft .NET Framework Version:1.1.4322.2300; ASP.NET Version:1.1.4322.2300

← →
Рамиль © (2006-11-17 09:51) [1]

А если аудит на доступ к реестру включить на отказы?

← →
Чапаев © (2006-11-17 09:52) [2]

> связано с регистрацией источника событий, но у ИИСки-то
> должны же быть права
На запись в HKLM? Ой сомневаюсь!

← →
clickmaker © (2006-11-17 10:04) [3]

> [1] Рамиль © (17.11.06 09:51)
> А если аудит на доступ к реестру включить на отказы?

Ноль эффекта. Либо я не умею его готовить. Поставил Fail audit на HKLM для everyone - ни одной новой записи в журнале секьюрити не появилось

← →
PEAKTOP © (2006-11-17 10:05) [4]

RegMonNT ?

← →
Чапаев © (2006-11-17 10:10) [5]

> [3] clickmaker © (17.11.06 10:04)
Перезагружался?

← →
clickmaker © (2006-11-17 10:13) [6]

> [5] Чапаев © (17.11.06 10:10)
> > [3] clickmaker © (17.11.06 10:04)
> Перезагружался?

это обязательно? рабочий сервер просто, там не один я сижу.
Прикол весь в том, что на локальных машинах все у всех работает, а как надо демо разворачивать - так начинаются пляски с бубном...

← →
AlexKniga © (2006-11-17 10:16) [7]

clickmaker
Сначала в политиках gpedit.msc закажи аудит. А потом HKLM.
RegMon от Руссиновича www.sysinternals.com должен логировать.

← →
clickmaker © (2006-11-17 10:22) [8]

> RegMon от Руссиновича www.sysinternals.com должен логировать

не-а.. акцес денай не ловит. То что ловит, я в вопросе написал

← →
Чапаев © (2006-11-17 10:25) [9]

> [6] clickmaker © (17.11.06 10:13)
Насколько я понимаю, не обязательно, но на это единственный вариант, который придумался...

← →
Рамиль © (2006-11-17 10:27) [10]

А на сервере iis точно под system работает?

А вообще, это в порядке вещей в NET: выдать код, но не признаться что конкретно пыталась сделать? :)

И потом, аудит должен ловить. Какой это тогда нафиг аудит, если не ловит?

← →
BiN © (2006-11-17 10:27) [11]

> clickmaker ©

Проверь права на HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\EventLog\Application\ и подпапки

← →
Чапаев © (2006-11-17 10:31) [12]

> А на сервере iis точно под system работает?
Чего ему под SYSTEM работать? Насколько я знаю, у него свой специальный юзер.

> [11] BiN © (17.11.06 10:27)
Гм... А и правда... Можно просто разрешить писать, куда надо. Только лучше предварительно отследить, куда именно надо.

← →
Рамиль © (2006-11-17 10:34) [13]

> Гм... А и правда... Можно просто разрешить писать, куда
> надо. Только лучше предварительно отследить, куда именно
> надо.

Так автор это и пытается выяснить :)

← →
Чапаев © (2006-11-17 10:37) [14]

Та это не шпилька в адрес автора, это я размышляю вслух. А то с кровати подняли, а разбудить забыли. Вот и просыпаюсь по ходу дела...

> Компонент входит в состав веб-приложения ASP.NET, работает
> соотв. под Local System.

Если бы все приложения ASP.Net работали под Local System, дырка бы в системе была размером с шахту.

Обычно на компьютере есть пользователь ASPNET специально для таких приложений и пользователь IWAM_имя для запуска серверных приложений IIS

> Обычно на компьютере есть пользователь ASPNET специально
> для таких приложений и пользователь IWAM_имя для запуска
> серверных приложений IIS

Да, я в курсе. Но и inetinfo.exe и w3wp.exe работают под Local System. aspnet_state.exe вообще под Network System. Видимо, дочерние процессы просто под другими логинами идут.

Решил проблему. Сорри за беспокойство всем, видимо не проснулся еще ))
Оказывается дело было в отсутствии конфигурационного файла *.config для этого компонента.
Но ума не приложу, каким боком тут права на реестр...

> Но ума не приложу, каким боком тут права на реестр...

Может в конфиге указано куда надо писать?

> [15] Игорь Шевченко © (17.11.06 10:40)
>
>
>
> Если бы все приложения ASP.Net работали под Local System,
> дырка бы в системе была размером с шахту.

Некоторые линуксоиды-сисадмины, с которыми приходилось сталкиваться, примерно так ииску и называют )) "Дырявая насквозь", говорят

> Может в конфиге указано куда надо писать?

да нет... не настолько я еще влез во все тонкости asp.net, пока для меня это загадка...

Отслеживание Access denied в реестре Найти похожие ветки