Запуск / остановка службы Windows из учетной записи пользователя, не являющегося администратором

ниже я собрал все, что я узнал о запуске/остановке службы Windows из учетной записи пользователя без администратора, если кому-то нужно знать.

в первую очередь, есть два способа запуска / остановки службы Windows. 1. Прямой доступ к сервису через учетную запись пользователя Windows. 2. Доступ к службе через IIS с помощью учетной записи сетевой службы.

команда командной строки для запуска / остановки услуги:

C:/> net start <SERVICE_NAME>
C:/> net stop <SERVICE_NAME>

C# код для запуска / остановки служб:

ServiceController service = new ServiceController(SERVICE_NAME);

//Start the service
if (service.Status == ServiceControllerStatus.Stopped)
{
      service.Start();
      service.WaitForStatus(ServiceControllerStatus.Running, TimeSpan.FromSeconds(10.0));
}

//Stop the service
if (service.Status == ServiceControllerStatus.Running)
{
      service.Stop();
      service.WaitForStatus(ServiceControllerStatus.Stopped, TimeSpan.FromSeconds(10.0));
}

Примечание 1: При доступе к службе через IIS создайте Visual Studio C# ASP.NET веб-приложение и положить код там. Развертывание веб-службы в корневой папке IIS (C:\inetpub\wwwroot\) и вы хорошо идти. Доступ к нему осуществляется по url http:///.

1. Метод Прямого Доступа

если учетная запись пользователя Windows, из которой либо вы даете команда или запуск кода-это учетная запись, не являющаяся учетной записью администратора, а затем вам нужно установить привилегии для этой конкретной учетной записи пользователя, чтобы она могла запускать и останавливать службы Windows. Вот как ты это делаешь. войдите в учетную запись администратора на компьютере с учетной записью, отличной от учетной записи администратора, с которой вы хотите запустить/остановить службу. Откройте командную строку и введите следующую команду:

C:/>sc sdshow <SERVICE_NAME>

выход из этого будет что-то вроде это:

D:(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWLOCRRC;;;IU)(A;;CCLCSWLOCRRC;;;SU)S:(AU;FA;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;WD)

в нем перечислены все разрешения, которые каждый пользователь / группа на этом компьютере имеет в отношении .

A description of one part of above command is as follows:

    D:(A;;CCLCSWRPWPDTLOCRRC;;;SY)

It has the default owner, default group, and it has the Security descriptor control flags (A;;CCLCSWRPWPDTLOCRRC;;;SY):

ace_type - "A": ACCESS_ALLOWED_ACE_TYPE,
ace_flags - n/a,
rights - CCLCSWRPWPDTLOCRRC,  please refer to the Access Rights and Access Masks and Directory Services Access Rights
CC: ADS_RIGHT_DS_CREATE_CHILD - Create a child DS object.
LC: ADS_RIGHT_ACTRL_DS_LIST - Enumerate a DS object.
SW: ADS_RIGHT_DS_SELF - Access allowed only after validated rights checks supported by the object are performed. This flag can be used alone to perform all validated rights checks of the object or it can be combined with an identifier of a specific validated right to perform only that check.
RP: ADS_RIGHT_DS_READ_PROP - Read the properties of a DS object.
WP: ADS_RIGHT_DS_WRITE_PROP - Write properties for a DS object.
DT: ADS_RIGHT_DS_DELETE_TREE - Delete a tree of DS objects.
LO: ADS_RIGHT_DS_LIST_OBJECT - List a tree of DS objects.
CR: ADS_RIGHT_DS_CONTROL_ACCESS - Access allowed only after extended rights checks supported by the object are performed. This flag can be used alone to perform all extended rights checks on the object or it can be combined with an identifier of a specific extended right to perform only that check.
RC: READ_CONTROL - The right to read the information in the object's security descriptor, not including the information in the system access control list (SACL). (This is a Standard Access Right, please read more http://msdn.microsoft.com/en-us/library/aa379607(VS.85).aspx)
object_guid - n/a,
inherit_object_guid - n/a,
account_sid - "SY": Local system. The corresponding RID is SECURITY_LOCAL_SYSTEM_RID.

теперь нам нужно установить соответствующие разрешения для запуска / остановки служб Windows для групп или пользователей, которых мы хотим. В этом случае нам нужно, чтобы текущий пользователь, не являющийся администратором, мог запускать/останавливать службу, поэтому мы собираемся установить разрешения для этого пользователя. Для этого нам нужен SID этой конкретной учетной записи пользователя Windows. Чтобы получить его, откройте копию реестра (пуск > regedit) и найдите следующий раздел реестра.

LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList

под этим есть отдельный ключ для каждой учетной записи каждого пользователя на этом компьютере, а имя ключа-это SID каждой учетной записи. Сид, как правило, формата с-1-5-21-2103278432-2794320136-1883075150-1000. Нажмите на каждый ключ, и вы увидите на панели справа список значений для каждого ключа. Найдите "ProfileImagePath", и по его значению вы можете найти имя пользователя, которому принадлежит SID. Для например, если имя пользователя учетной записи SACH, то значение "ProfileImagePath" будет что-то вроде "C:\Users\Sach". Поэтому запишите SID учетной записи пользователя, для которой вы хотите установить разрешения.

примечание 2: Вот простой пример C# код, который может быть использован для получения списка указанных ключей и значений.

//LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList RegistryKey
RegistryKey profileList = Registry.LocalMachine.OpenSubKey(keyName);

//Get a list of SID corresponding to each account on the computer
string[] sidList = profileList.GetSubKeyNames();

foreach (string sid in sidList)
{
    //Based on above names, get 'Registry Keys' corresponding to each SID
    RegistryKey profile = Registry.LocalMachine.OpenSubKey(Path.Combine(keyName, sid));

    //SID
    string strSID = sid;
    //UserName which is represented by above SID    
    string strUserName = (string)profile.GetValue("ProfileImagePath");
}

теперь, когда у нас есть SID учетной записи пользователя, для которой мы хотим установить разрешения, давайте перейдем к нему. Предположим, что идентификатор безопасности учетная запись пользователя S-1-5-21-2103278432-2794320136-1883075150-1000. Скопируйте выходные данные команды [sc sdshow] в текстовый редактор. Это будет выглядеть так:

D:(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWLOCRRC;;;IU)(A;;CCLCSWLOCRRC;;;SU)S:(AU;FA;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;WD)

скопировать (A;; CCLCSWRPWPDTLOCRRC;;; SY) часть текста выше, и вставьте его перед the S: (AU;... часть текста. Затем измените эту часть, чтобы выглядеть так этот: (A;; RPWPCR;;; S-1-5-21-2103278432-2794320136-1883075150-1000)

затем добавить sc sdset спереди, и заключите вышеуказанную часть с кавычками. Ваша последняя команда должна выглядеть примерно так:

sc sdset <SERVICE_NAME> "D:(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWLOCRRC;;;IU)(A;;CCLCSWLOCRRC;;;SU)(A;;RPWPCR;;;S-1-5-21-2103278432-2794320136-1883075150-1000)S:(AU;FA;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;WD)"

теперь выполните это в командной строке, и он должен дать выход следующим образом в случае успеха:

[SC] SetServiceObjectSecurity SUCCESS

теперь мы можем идти! Вашей учетной записи пользователя, не являющегося администратором, были предоставлены разрешения Запуск / остановка вашего сервиса! Попробуйте войти в учетную запись пользователя и запустить/остановить службу, и она должна позволить вам это сделать.

2. Доступ через IIS метод

в этом случае нам нужно предоставить разрешение пользователю IIS "сетевые службы" вместо учетной записи пользователя Windows для входа в систему. Процедура та же, только параметры команды будут изменены. Поскольку мы установили разрешение на "сетевые службы", замените SID строкой "NS" в поле финал sdset команда, которую мы использовали ранее. Последняя команда должна выглядеть примерно так:

sc sdset <SERVICE_NAME> "D:(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWLOCRRC;;;IU)(A;;CCLCSWLOCRRC;;;SU)(A;;RPWPCR;;;NS)S:(AU;FA;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;WD)"

выполните его в командной строке из учетной записи администратора, и вуаля! У вас есть разрешение на запуск / остановку службы из любой учетной записи пользователя (независимо от того, является ли она учетной записью администратора или нет) с помощью WebMethod. См. Примечание 1, чтобы узнать, как это сделать.