2008 - Сервер не пускает юзеров с правами пользователя

[fitter1977]

Сервер 2008. Поднята терминалка.

Со вчерашнего дня перестал пускать по рдп всех пользователей не имеющих прав админа.

Доходит дело до "Подготовка рабочего стола" висит минуты 2 и отваливается с ошибкой:

"Вы подключены к удаленному компьютеру. Однако, произошла ошибка при инициализации пользовательской программы, поэтому будет выполнен выход из системы. Обратитесь к системному администратору" Скрин прилагаю.



Уточнение. Пользователей не имеющих прав админа не пускает и локально с консоли. После ввода пароля висит просто синий экран. Как буд-то не работает проводник explorer.exe.

Вручную запустить explorer.exe тоже не выходит. Диспетчер задач не запускается.

Так что терминалка не при чем.

Несколько раз сервер аварийно выключался из-за пропадания электричества. Из-за перепадов сгорел упс перед этим.



Права на explorer.exe такие: System, администраторы, пользователи - чтение и выполнение, чтение. Trustedinstaller - полные.



sfc /scannow находит поврежденные файлы, но исправить не может.

Все критические обновления установлены.

Антивирус ESET.



не пускает как новых юзеров, так и существующих.



Да, из под админа диспетчер задач тоже не запускается, просто ничего не происходит при его запуске.

Пока запускаю ярлыком на C:\Windows\SysWOW64\taskmgr.exe

Вложения

[Расширение jpg было запрещено, вложение больше недоступно.]

[fitter1977]

Огромадное спасибо! Удаление taskmgr.exe решило проблему с диспетчером устройств. Параметра debugger в egui.exe и iexplore.exe нет. Сравню эти ветки с другим терминалом. Но уже сейчас решены те две проблемы: невход юзеров и незапуск диспетчера задач!

Статьи непременно почитаю и постараюсь сам, используя, Process Monitor отлавливать проблемы!

СПАСИБО!

[fitter1977]

Лог sfc /scannow прикрепил.

В журнале событий такие записи при попытке логиниться:

Журнал Windows / Приложения

Имя журнала: Application

Подача: Microsoft-Windows-Winlogon

Дата: 15.11.2017 14:42:01

Код события: 6003

Категория задачи:Отсутствует

Уровень: Сведения

Ключевые слова:Классический

Пользователь: Н/Д

Компьютер: termserv

Описание:

Ошибка обработки критического события уведомления из-за недоступности подписчика уведомлений winlogon .

Xml события:

6003

0

4

0

0

0x80000000000000

1361887

Application

termserv

Sens

D9060000

Имя журнала: Application

Подача: Microsoft-Windows-Winlogon

Дата: 15.11.2017 14:42:01

Код события: 4101

Категория задачи:Отсутствует

Уровень: Сведения

Ключевые слова:Классический

Пользователь: Н/Д

Компьютер: termserv

Описание:

Лицензия Windows проверена.

Xml события:

4101

0

4

0

0

0x80000000000000

1361888

Application

termserv

0x00000000

0x00000001

Имя журнала: Application

Подача: Microsoft-Windows-CertificateServicesClient

Дата: 15.11.2017 14:42:01

Код события: 1

Категория задачи:Отсутствует

Уровень: Сведения

Ключевые слова:

Пользователь: TERMSERV\test

Компьютер: termserv

Описание:

Клиент служб сертификации запущен.

Xml события:

1

0

4

0

0

0x8000000000000000

1361890

Application

termserv

После появления ошибки при логине и нажатии кнопки ОК, происходит отлогинивания юзера и запись в журнал двух событий:

Имя журнала: Application

Подача: Microsoft-Windows-User Profiles Service

Дата: 15.11.2017 14:45:46

Код события: 1530

Категория задачи:Отсутствует

Уровень: Предупреждение

Ключевые слова:Классический

Пользователь: SYSTEM

Компьютер: termserv

Описание:

Операционная система обнаружила, что файл реестра используется другими приложениями или службами. Файл будет сейчас выгружен. Приложения или службы, которые используют файл реестра, могут впоследствии работать неправильно.

ПОДРОБНОСТИ -

1 user registry handles leaked from \Registry\User\S-1-5-21-1061663024-2165433620-2390536110-1045:

Process 1152 (\Device\HarddiskVolume1\Windows\System32\svchost.exe) has opened key \REGISTRY\USER\S-1-5-21-1061663024-2165433620-2390536110-1045\Printers\DevModePerUser

Xml события:

1530

0

3

0

0

0x80000000000000

1361892

Application

termserv

1 user registry handles leaked from \Registry\User\S-1-5-21-1061663024-2165433620-2390536110-1045:

Process 1152 (\Device\HarddiskVolume1\Windows\System32\svchost.exe) has opened key \REGISTRY\USER\S-1-5-21-1061663024-2165433620-2390536110-1045\Printers\DevModePerUser

Имя журнала: Application

Подача: Microsoft-Windows-User Profiles Service

Дата: 15.11.2017 14:45:47

Код события: 1530

Категория задачи:Отсутствует

Уровень: Предупреждение

Ключевые слова:Классический

Пользователь: SYSTEM

Компьютер: termserv

Описание:

Операционная система обнаружила, что файл реестра используется другими приложениями или службами. Файл будет сейчас выгружен. Приложения или службы, которые используют файл реестра, могут впоследствии работать неправильно.

ПОДРОБНОСТИ -

3 user registry handles leaked from \Registry\User\S-1-5-21-1061663024-2165433620-2390536110-1045_Classes:

Process 1152 (\Device\HarddiskVolume1\Windows\System32\svchost.exe) has opened key \REGISTRY\USER\S-1-5-21-1061663024-2165433620-2390536110-1045_CLASSES\Wow6432Node\CLSID\{AEAB07DD-2009-46CB-B688-3396698B6DFE}

Process 1152 (\Device\HarddiskVolume1\Windows\System32\svchost.exe) has opened key \REGISTRY\USER\S-1-5-21-1061663024-2165433620-2390536110-1045_CLASSES\Wow6432Node\CLSID\{AEAB07DD-2009-46CB-B688-3396698B6DFE}\DefaultIcon

Process 1152 (\Device\HarddiskVolume1\Windows\System32\svchost.exe) has opened key \REGISTRY\USER\S-1-5-21-1061663024-2165433620-2390536110-1045_CLASSES\Wow6432Node\CLSID

Xml события:

1530

0

3

0

0

0x80000000000000

1361893

Application

termserv

3 user registry handles leaked from \Registry\User\S-1-5-21-1061663024-2165433620-2390536110-1045_Classes:

Process 1152 (\Device\HarddiskVolume1\Windows\System32\svchost.exe) has opened key \REGISTRY\USER\S-1-5-21-1061663024-2165433620-2390536110-1045_CLASSES\Wow6432Node\CLSID\{AEAB07DD-2009-46CB-B688-3396698B6DFE}

Process 1152 (\Device\HarddiskVolume1\Windows\System32\svchost.exe) has opened key \REGISTRY\USER\S-1-5-21-1061663024-2165433620-2390536110-1045_CLASSES\Wow6432Node\CLSID\{AEAB07DD-2009-46CB-B688-3396698B6DFE}\DefaultIcon

Process 1152 (\Device\HarddiskVolume1\Windows\System32\svchost.exe) has opened key \REGISTRY\USER\S-1-5-21-1061663024-2165433620-2390536110-1045_CLASSES\Wow6432Node\CLSID

В других журналах ничего нет о логине.

Вложения

Вложение CBS.rar больше недоступно

[Petya V4sechkin]

Цитата fitter1977:

sfc /scannow находит поврежденные файлы, но исправить не может.

После выполнения sfc /scannow выложите \Windows\Logs\CBS\CBS.log в архиве.

И посмотрите в журналах событий ошибки при неудачной попытке входа.

[Petya V4sechkin]

fitter1977, можете сделать лог

Process Monitor

следующим образом:запустите Process Monitor под администратором;попытайтесь зайти в систему под пользователем, чтобы получилась ошибка;сохраните лог: меню File -> Save -> PML-формат;заархивируйте и выложите на любой файлообменник, например dropmefiles.com.

[fitter1977]

http://dropmefiles.com/NAi0r

Все сделал.

[Petya V4sechkin]

fitter1977, на разделе реестра

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options

правой кнопкой мыши -> Разрешения -> кнопка Дополнительно -> покажите скриншот.

[fitter1977]

Скрин прикрепляю.

Вложения

[Расширение jpg было запрещено, вложение больше недоступно.]

[Petya V4sechkin]

fitter1977, добавьте туда разрешения:Система - Полный доступПользователи - ЧтениеКстати, в этой ветке подраздел taskmgr.exe есть, что там?

[fitter1977]

Добавление прав для ветку решило проблему с непусканием юзеров!

Вот скрин подраздела taskmgr.exe

Глянул на втором терминале эту ветку, подраздела taskmgr.exe там нет. Удалить и тут? В нем проблема запуска диспетчера задач?

Petya V4sechkin - если не сложно, научите как анализировать и искать ошибки в логе Process Monitor. Я ж так понял, Вы с помощью него вышли на эту ветку реестра?

Вложения

Вложение reestr2.jpg больше недоступно