[решено] Изменение реестра пользователями

[GuseV]

Всем доброго дня. У меня сеть, домен Win 2003, сеть из WinXp.

Поставил gpmс, сделал так, чтоб все пользователи (кроме админа) не могли редактировать реестр (типа regedit.exe и все файлы *.reg). Вроде все хорошо, действительно пробраться в реестр нельзы, запустить reg файл тоже нельзя, то есть нельзя изменить реестр. НО! Каким то образом люди добовляют и изменяют реестр! КАК? Кроме утилит винды в сети не чего нет. Help....

[Vadikan]

Можно загрузиться с любого LiveCD и делать с реестром что угодно.

[GuseV]

"Хмм.. А дописать пару байт в конец файла, чтобы хеш изменить?"

Будет ли работать утилита, если в нее записать пару байт? Тем более c:\windows\system32\reg.exe - только на чтение.

[xoxmodav]

Точно не скажу, но по-моему у пользователей по умолчанию есть право добавлять и изменять некоторые ветки реестра - это связано с работоспособностью системных приложений и прикладных программ.



Права у пользователей на локальных машинах какие - просто пользовательские (User), расширенные пользовательские (Power User) или админские (Administrators)?

[monkkey]

Какие ветки реестра? На HCSU, естественно, у пользователя есть права.

[monkkey]

Нет, наверное я немного неясно объяснил. Прав нет вообще. При попытке ввести пользователем regedit.exe пишет "данная команда запрешена администратором, пошли мол все на"...типа того. И при запуске файла *.reg посылает туда же! Народ вчера дал подсказку, пишу дословно: чем можно еще отредактировать реестр? Утилита виндовая. Или чем можно экспортировать данные в реестр? Не каких других способов загрузки, типа LiveCd нет, все закрыто, USB, Flop, CD, ВСЕ! Как они это делают???!!!!

[xoxmodav]

Есть ещё также стандартные "regedt32.exe", "reg.exe". Да и большая куча сторонних программ.



Какая ветка реестра редактируется и что именно они туда вводят?



P.S. Запрещал "regedit.exe" по пути к нему или по хэшу?

[GuseV]

regedit.exe запрещяет групповая политика gpmc. То есть, я ставлю утилиту gpmc, потом делаю новую групповую политику (которая нравиться мне, то есть чтоб не кто ни куда не лазил, типа реестра, настройки экрана ну и тд ) и применяю к пользователям или группам эту политику. Ветка реестра не имеет значение, имеет значение доступ к нему в целом, типа добовления ключей и тд. Сторонние программы принестись не могут, все закрыто.

Да, по ходу дела дыра найдена. Это reg.exe, эта команда выполняеться даже если закрыт доступ к regedit. Вот блин Microsoft недоглядел...Завтра на работе узнаю точно, но на домашнем компе при неразрешенной команде regedit я с помошью reg.exe удалил ветку реестра....

[Vadikan]

GuseV

См.

Применение политик ограниченного использования программ для защиты от несанкционированного программного обеспечения

[GuseV]

Тему считаю решенной. Всему виной была "Утилита редактирования системного реестра из командной строки reg.exe". Дыру закрыл путем изменения политики ограниченного использования программ (хеш).