एडमिनिस्ट्रेटर विशेषाधिकार के बिना एप्लिकेशन से विंडोज सेवाएं शुरू करना

कई परिदृश्यों में अलग-अलग एप्लिकेशन से विंडोज सेवाएं शुरू करना या बंद करना शामिल है। हालाँकि, सुरक्षा चिंताओं के कारण यह गैर-प्रशासक उपयोगकर्ताओं के लिए प्रतिबंधित लग सकता है। हम इस सीमा को कैसे पार कर सकते हैं और सिस्टम स्थिरता से समझौता किए बिना सेवा प्रबंधन पर विस्तृत नियंत्रण के साथ उपयोगकर्ताओं को सशक्त बना सकते हैं?

समाधान: सेवा अनुमतियों को संशोधित करना

इस मुद्दे की कुंजी निहित है सेवा ऑब्जेक्ट की अनुमतियों को संशोधित करने में। गैर-प्रशासनिक उपयोगकर्ताओं को उचित अधिकार प्रदान करके, हम उन्हें नियंत्रित तरीके से सेवाओं के साथ बातचीत करने की अनुमति दे सकते हैं।

निम्न कोड स्निपेट दर्शाता है कि आवश्यक अनुमतियों को शामिल करने के लिए किसी सेवा के लिए सुरक्षा डिस्क्रिप्टर कैसे सेट किया जाए:

wchar_t sddl[] = L"D:"
  L"(A;;CCLCSWRPWPDTLOCRRC;;;SY)"           
  L"(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)"   
  L"(A;;CCLCSWLOCRRC;;;AU)"                 
  L"(A;;CCLCSWRPWPDTLOCRRC;;;PU)"           
  L"(A;;RP;;;IU)"                         
;

PSECURITY_DESCRIPTOR sd;

if (!ConvertStringSecurityDescriptorToSecurityDescriptor(sddl, SDDL_REVISION_1, &sd, NULL))
{
   fail();
}

if (!SetServiceObjectSecurity(service, DACL_SECURITY_INFORMATION, sd))
{
   fail();
}

यह विशिष्ट सुरक्षा डिस्क्रिप्टर निम्नलिखित अनुमतियाँ प्रदान करता है:

• स्थानीय सिस्टम के लिए डिफ़ॉल्ट अनुमतियाँ: स्थानीय सिस्टम खाते पर पूर्ण नियंत्रण प्रदान करता है।
• प्रशासकों के लिए डिफ़ॉल्ट अनुमतियाँ: के लिए पहुँच प्रदान करता है प्रशासक।
• प्रमाणित उपयोगकर्ताओं के लिए डिफ़ॉल्ट अनुमतियाँ: सभी प्रमाणित उपयोगकर्ताओं के लिए सीमित पहुँच प्रदान करता है।
• पावर उपयोगकर्ताओं के लिए डिफ़ॉल्ट अनुमतियाँ: के लिए पूर्ण नियंत्रण प्रदान करता है पावर उपयोगकर्ता।
• इंटरैक्टिव उपयोगकर्ताओं के लिए अतिरिक्त अनुमति: इंटरैक्टिव के लिए सेवा शुरू करने की अनुमति देता है उपयोगकर्ता।

सुरक्षा डिस्क्रिप्टर स्ट्रिंग (एसडीडीएल) को विभिन्न उपयोगकर्ता समूहों के लिए पहुंच के वांछित स्तर के आधार पर विशिष्ट अनुमतियां जोड़ने या हटाने के लिए अनुकूलित किया जा सकता है। उदाहरण के लिए, यदि आप चाहते हैं कि गैर-व्यवस्थापक उपयोगकर्ता सेवा को रोकने में सक्षम हों, तो निम्नलिखित SDDL का उपयोग किया जा सकता है:

L"(A;;RPWP;;;IU)" 

यह WP (WRITE_PROPERTY) को दाईं ओर जोड़ देगा, जिससे इंटरैक्टिव उपयोगकर्ताओं को सेवा शुरू करने और बंद करने की अनुमति मिल जाएगी।

अनुमतियों को ध्यान से सेट करके, गैर-प्रशासक उपयोगकर्ता प्रदर्शन कर सकते हैं सिस्टम सुरक्षा से समझौता किए बिना आवश्यक सेवा प्रबंधन कार्य।