UMnieDziala.pl

 Część druga była , tak jak wsponiłaem w poprzednim poście, poświęcona kontroli dostępu aplikacji .NET. Poza standardowym przedstawieniem przystawki MMC do administrowania. Kolejne 30min. było omówieniem w jakich sytuacjach  uruchamianie aplikacji z ograniczonymi uprawnieniami nie działa (w skrócie - kiedy jest ustawiona polisa full control). Jak się okazało nie działa prawie zawsze (tzn. działa jak włączymy, ale trzeba włączyć) - co było skwitowane przez prowadzącego: "to nie jest błąd" - i sala po cichu dopiewiedziała - "to jest zaleta".

Ponizej kilka zdjęć wyrwanych z przerwy śniadaniowej:

Znany obrazek duzej wersji

 

Ludzi jest trochę duzo

Więc drzwi i schodów brakuję

Informatcy są raczej wygłodzeni, więc coffe bar jest trochę zajęty

---

Razacym bakiem bezpieczeństwa w Gadu-Gadu zajeło sie juz ONZ.

  Organizacja tej konferencji jest straszna. Spóźniwszy się 30min. , myślałem że nie będe miał problemów z rejestracją. Ku mojemu zdziwieniu, kolejka chętnych do wejścia była widoczna z daleka. Na szczęscie spotkałem fookiego i nexora; stwierdziliśmy, że nie warto czekać w 30minutowej kolejce i poszliśmy na kawę. Po około 30 min. kolejka zmniejszyła się o połowę, i w końcu po dalszych 15min. mogliśmy się zarejestrować.
  Dostaliśmy ładne karteczki z oznaczeniami sal, problemem tylko jest to, że rozpiska jest stara. I tak na mojej pisało że pierwszy wykład znajduję się w sali D, a znajdował się w sali B - oczywiście nigdzie nie ma informacji o zmianach, rzeba samemu poszukać sal.
 Na ogromny plus zasługuje tylko obecność sieci wifi  - obecna jest niemal wszędzie - jedynym problemem jest to, że nie jest szyfrowana.

 Wykład Bezpieczeństwo w Winforms zaczoł się punktualnie. Pierwsza część dotyczyła podpisywania komponentów .NETowych StrongName - coś o czym widzą wszyscy programiści .NETa piszący kiedykolwiek biblioteki ładowane dynamicznie. Dalej zaczeło się już ciekawie - polisy CAS - ale o tym już póżniej

Jak to zwykle z unattendami bywa, dokumentacji zero.Ale trzeba sobie jakoś radzić. Przełączniki standardowe (-q , -quiet, -qn) jakoś nie działają , zadziałał natomiast -silent. Niestety z -silent Corel nie zainstalował się do końca. Po krótkoim grzebaniu w googlu znalazłem w końcu działające rozwiązanie - trzeba najpierw przejść na sucho instalację logując instalatora :

SETUP32.EXE  /creatersp=d:\silentrsp.txt

a następnie wrzucić instalki silent:

SETUP32.EXE /silent /rspfile=d:\silentrsp.txt

 Często się zdarza że użytkownikom sie rozjerzdża pulpit Active Desktop. Aby temu zapobiec, ustawiamy na jednym użytkowniku pulpit tak jak ma wygłądać, a następnie robimy zrzut pliku z rejestru z gałęzi HKCU\Software\Microsoft\Internet Explorer\Desktop\Components. Zrzut wygląda np. tak:

[HKEY_USERS\S-1-5-21-1220945662-362288127-1606980848-10081\Software\Microsoft\Internet Explorer\Desktop\Components]
"DeskHtmlVersion"=dword:00000110
"DeskHtmlMinorVersion"=dword:00000003
"Settings"=dword:00000001
"GeneralFlags"=dword:00000004

[HKEY_USERS\S-1-5-21-1220945662-362288127-1606980848-10081\Software\Microsoft\Internet Explorer\Desktop\Components\0]
"Source"="http://activebss/"
"SubscribedURL"="http://activebss/"
"FriendlyName"=""
"Flags"=dword:00002002
"Position"=hex:2c,00,00,00,4b,00,00,00,00,00,00,00,35,04,00,00,44,03,00,00,00,\
  00,00,00,01,00,00,00,01,00,00,00,01,00,00,00,00,00,00,00,00,00,00,00
"CurrentState"=dword:00000004
"OriginalStateInfo"=hex:18,00,00,00,ff,ff,00,00,ff,ff,00,00,ff,ff,ff,ff,ff,ff,\
  ff,ff,04,00,00,80
"RestoredStateInfo"=hex:18,00,00,00,50,02,00,00,35,01,00,00,00,01,00,00,f6,00,\
  00,00,01,00,00,00

[HKEY_USERS\S-1-5-21-1220945662-362288127-1606980848-10081\Software\Microsoft\Internet Explorer\Desktop\Components\1]
"Source"="About:Home"
"SubscribedURL"="About:Home"
"FriendlyName"="My Current Home Page"
"Flags"=dword:00000002
"Position"=hex:2c,00,00,00,10,03,00,00,15,01,00,00,e0,00,00,00,d6,00,00,00,ea,\
  03,00,00,01,00,00,00,01,00,00,00,01,00,00,00,00,00,00,00,00,00,00,00
"CurrentState"=dword:00000001
"OriginalStateInfo"=hex:18,00,00,00,ff,ff,00,00,ff,ff,00,00,ff,ff,ff,ff,ff,ff,\
  ff,ff,04,00,00,00
"RestoredStateInfo"=hex:18,00,00,00,ff,ff,00,00,ff,ff,00,00,ff,ff,ff,ff,ff,ff,\
  ff,ff,01,00,00,00

[HKEY_USERS\S-1-5-21-1220945662-362288127-1606980848-10081\Software\Microsoft\Internet Explorer\Desktop\Components\2]
"Source"="http://n:8080/ActiveBss/index.html"
"SubscribedURL"="http://n:8080/ActiveBss/index.html"
"FriendlyName"="BssActive"
"Flags"=dword:00000002
"Position"=hex:2c,00,00,00,10,02,00,00,1f,00,00,00,e0,00,00,00,d6,00,00,00,ec,\
  03,00,00,01,00,00,00,01,00,00,00,01,00,00,00,00,00,00,00,00,00,00,00
"CurrentState"=dword:00000001
"OriginalStateInfo"=hex:18,00,00,00,ff,ff,00,00,ff,ff,00,00,ff,ff,ff,ff,ff,ff,\
  ff,ff,04,00,00,80
"RestoredStateInfo"=hex:18,00,00,00,10,02,00,00,1f,00,00,00,e0,00,00,00,d6,00,\
  00,00,01,00,00,00

Teraz tworzxymy szybki skrypcik batchowy który doda nam te wpisy do default usera i użytkownika mandatoryjnego:

 W związku z małymi czystkami w kanciapie, dostałem komputer na router. W sumie ma całką niezłą specyfikację:

CPU: pII266MHz

RAM: 256Mb

HDD: 17,2GB

NIC: 2x3COM925x (Parell Logic II)

Jak na standardową konfigurację na router IPv6(czyli p200Mhz, 32MB ram) całkiem nieźle. 

Piątek - na pierwszy ogień poszło najnowsze FREEBSD - 5.4. Po zainstalowaniu i skonfigurowanu apacha,php5, ssh i samby zrekompilowałem kernela włączając firewalla dla ipv6 i dla ipv4 - kompilacja trwa ok. 4h więc instalację wykonałem zdalnie. Jeszcze tylko reboot i ... komputer milczy.

Sobota - Jak się okazało zapomniałem włączyć opcji obsługi I686 w konfiguracji kernela. Zbootowanie do starego kernela i szybkie dokompilowanie brakującego modułu pomogło. Pora przyszła na przetestowanie IPv6. Do testów wybrałem protokół ISATAP - w końcu jeśli ISATAP działa, to cała reszta jest juz z górki. Dopisałem więc do interfejsu potrzebne adresy, włączyłem forwardowanie pakietów IPv6, i uaktywniłem rtadvd(czyli rozgłaszanie dróg) na interfejsie. Niestety nie zadziałało. Po krótkim googlowaniu zobaczyłem ze potrzebuje w jadrze uaktywnic pseudo-device ist. Szukam w konfiguracji jądra i nic. Przestali wspierać w wersji 5?Postanowiłem zainstalować 4.11. Oczywiście pierwszą rzeczą po instalacji było sprawdzenie czy w tej wersji jest ist w kernelu. Tez nie ma ... dziwne. Pozostało więc googlowanie. Po chwili mnie oświeciło - oczywiście ze tych opcji nie ma w kernelu, przeciez do zastosowań IPv6 tzreba przekompilować specjalny kernel który mozna sciągnąć ze stron projektu KAME. Po wejściu na stronę zobaczyłem ze sa pliki zródłowe kernela 5.3 - sciągnołem, rozpakowałem i zobaczyłem ze tu rzeczywiscie jest pseudo-device ist. Nie zostalo mi nic innego do zrobienia jak zainstalowac ponownie freebsd 5.4. Po zainstalowaniu od razu sciągnąłem zródła kernela z projektu kame, włączyłem interfejs ist oraz dual-stackowego firewalla i ponowna kompilacja jądra. W oczekiwaniu na koniec skonfigurowałem jeszcze apacha, php5 i sambę. Instalacja kernela znowu odbyła si zdalnie, tylko tym razem komputer się podnióśł.

 

Niedziela - próbuję zdalnie skonfigurować ISATAPA - niestty coś mi nie wychodzi. Wszystko robię według instrukcji, a coś nie mogę dostać adresu. Apache tez mi nie wystartował podczas startu. Po dotarciu na uczelnie i zapuszczeniu packet snifferów na obu końcach okazało się ze klient nie otrzymuje pakietów RA. Rtadvd zglasza ze nie moze wysylac pakietow po interfejsie ist0. Okazało się ze wersja rtadvd dostarczana z systemem jest niekompatybilna z ISATAP, wiec trzeba zainstalować wersję z KAME. Jako ze IPv6 juz działał, a zestawiania tuneli i tak nie mogę zrobić bez zewnętrznego IPv4, postanowiłem troszkę się pobawić www. Skopiowałem więc stronkę z starego routera ,zainstalowałem mrtg i właczyłem statystyki na interfejsy sieciowe - niestety statystyk zuzycia procesora pamieci i procesora nie udalo mie się jeszcze zrobić. Stronki są dostępne pod adresami http://six.pjwstk.one.pl  i http://six.pjwstk.one.pl/mrtg/ dla IPv6 i http://six.pjwstk.one.pl.ipv4.sixxs.org oraz http://six.pjwstk.one.pl.ipv4.sixxs.org/mrtg/ dla IPv4

 Całą sprawę załatwia wpis w rejestrze:

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Streams]
"Settings"=hex:09,00,00,00,04,00,00,00,00,00,00,00,00,77,7e,13,73,35,cf,11,ae,\
69,08,00,2b,2e,12,62,04,00,00,00,02,00,00,00,43,00,00,00


Lub prosty batch:

reg load HKU\TempUser "\\%1\c$\Documents and Settings\Default User\ntuser.dat"
reg add  HKU\Tempuser\Software\Microsoft\Windows\CurrentVersion\Explorer\Streams /v Settings /t REG_BINARY /d 09000000040000000000000000777e137335cf11ae6908002b2e1262040000000200000043000000  /f
reg unload HKU\TempUser

reg load HKU\TempUser "\\%1\c$\Documents and Settings\mandatory\ntuser.man"
reg add  HKU\Tempuser\Software\Microsoft\Windows\CurrentVersion\Explorer\Streams /v Settings /t REG_BINARY /d 09000000040000000000000000777e137335cf11ae6908002b2e1262040000000200000043000000  /f
reg unload HKU\TempUser


Oczywiście można też zrezygnować z domyślnego ustawienia widoku i ustawić domyślnie np. tylko widok na details do mój komputer np takim wpisem do rejestru:
[-HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\BagMRU]


[HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\BagMRU]
"NodeSlots"=hex:02
"MRUListEx"=hex:01,00,00,00,00,00,00,00,ff,ff,ff,ff
"0"=hex:14,00,1f,50,e0,4f,d0,20,ea,3a,69,10,a2,d8,08,00,2b,30,30,9d,00,00

[HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\BagMRU\0]
"NodeSlot"=dword:00000001
"MRUListEx"=hex:ff,ff,ff,ff



[-HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\Bags]

[HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\Bags]

[HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\Bags\1]

[HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\Bags\1\Shell]
"Rev"=dword:00000000
"WFlags"=dword:00000000
"ShowCmd"=dword:00000001
"FFlags"=dword:00000000
"HotKey"=dword:00000000
"Buttons"=dword:ffffffff
"Links"=dword:00000000
"Address"=dword:ffffffff
"Vid"="{137E7700-3573-11CF-AE69-08002B2E1262}"
"Mode"=dword:00000004
"Sort"=dword:00000000
"SortDir"=dword:00000001
"Col"=dword:ffffffff
"ColInfo"=hex:00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,fd,df,df,fd,0f,\
  00,05,00,24,00,10,00,2e,00,46,00,00,00,00,00,01,00,00,00,02,00,00,00,03,00,\
  00,00,04,00,00,00,78,00,96,00,60,00,60,00,78,00,00,00,00,00,01,00,00,00,02,\
  00,00,00,03,00,00,00,05,00,00,00,ff,ff,ff,ff,cf,f3,a8,b0,33,43,ab,4b,88,73,\
  1c,cb,1c,ad,a4,8b,30,f1,25,b7,ef,47,1a,10,a5,f1,02,60,8c,9e,eb,ac,04,00,00,\
  00

Najważniejszą wartością jest oczywiście "Mode" - tu ustawiamy jaki będzie widok.

 Niestety z tego drugiego sposobu nie udało mi się zrobić skryptu.

Jak się okazało w moim przypadku, xcopy i założenie acl na rejestr dziła znacznie lepiej. Dlaczego? Microsoftowe narzędzie po prostu nie kompuje katalogu Local Settings z katalogu profilu, a xcopy tak. O ile w większości aplikacji to nie ma znaczenia, to vs.net z zainstalowanym msdn będzie się odpalał ok 10min. Wynika to z tego że vs.net prawdopodobnie tworzy sobie indexy z msdn dla dynamic helpa, i zapisuje je w katalogu Local Settings\Microsoft Help

XP - Wyłącza Take a Tour dla danego użytkownika

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Tips]
"SHOWIE4"=0

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Applets\Tour]
"RunCount"=dword:00000000

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Applets\Tour]
"RunCount"=dword:00000000

XP - Wymusza używanie klasycznego menu start

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
"NoSimpleStartMenu"=dword:00000001

XP,W2k - Ustawia zmienne środowiskowe dla danego użytkownika

[HKEY_CURRENT_USER\Environment]
"TEMP"="c:\temp"
"TMP"="c:\temp"

W2k- Zmienia domyślny rozmiar rejestru na ok 48Mb

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control]
"RegistrySizeLimit"=dword:03000000

W2k,XP - Umożliwia używanie Taba jako autocomplete  w command linie dla danego profilu

[HKEY_CURRENT_USER\Software\Microsoft\Command Processor]
"CompletionChar"=dword:00000009
"DefaultColor"=dword:00000000
"EnableExtensions"=dword:00000001

Jak zawsze forum msfn okazało sie niezawodne. Do wymuszenia quiclaucha wystarczy wykonać następujący skrypt:

reg load HKU\TempUser "C:\Documents and Settings\Default User\ntuser.dat"
reg add HKU\Tempuser\Software\Microsoft\Windows\CurrentVersion\Explorer\Streams\Desktop /V TaskbarWinXP /t REG_BINARY /d 0c000000080000000200000000000000b0e22bd86457d011a9
6e00c04fd705a222001c000a0100001a000000010000000000000000000
000000000004c0000000114020000000000c000000000000046830
0000010000000a0b0485e898dbd0100d89ee42a8dbd010045fe5e898
dbd01000000000000000001000000000000000000000000000000130
114001f0fe04fd020ea3a6910a2d808002b30309d190023443a5c00
00000000000000000000000000000000cd971500310000000000af24
5cb9108057696e6e7400002000310000000000af24a3b910005072
6f66696c65730050524f46494c4553001900310000000000c1240892
100069653530302e30303000002800310000000000c124089210004
170706c69636174696f6e2044617461004150504c49437e310021003
10000000000c5229d9110004d6963726f736f6674004d4943524f537
e31002900310000000000d32232a61000496e7465726e65742045787
06c6f72657200494e5445524e7e31002400310000000000db2276ba
1000517569636b204c61756e636800515549434b4c7e310000008d00
00001c000000010000001c000000360000000df0adba8c0000001a0
0000003000000e7182d231000000049453530305f58314300433a5c5
7494e4e545c50726f66696c65735c49453530302e3030305c4170706
c69636174696f6e20446174615c4d6963726f736f66745c496e74657
26e6574204578706c6f7265725c517569636b204c61756e6368000010
000000050000a01a000000a3000000000000000800000002000000cc0
0000001000000030000004a0000000100000040003200e6010000
c424159f20004c61756e636820496e7465726e6574204578706c6f7265
722042726f777365722e6c6e6b004c41554e43487e322e4c4e4b000
00040000000020000003600320048020000c424159f20004c61756e6368
204f75746c6f6f6b20457870726573732e6c6e6b004c41554e434
87e312e4c4e4b00000036000000000000002c00320051000000ec2246392
00053686f77204465736b746f702e7363660053484f5744457e
312e53434600000052000000e000000000000000160000000000000000000
00016000000000000000100000001000000aa4f2868486ad0
118c7800c04fd918b437020000e0000000000000001600000000000000000
00000160000000000000001000000 /f
reg unload HKU\TempUser

reg load HKU\TempUser "C:\Documents and Settings\mandatory\ntuser.man"
reg add HKU\Tempuser\Software\Microsoft\Windows\CurrentVersion\Explorer\Streams\Desktop /V TaskbarWinXP /t REG_BINARY 0c000000080000000200000000000000b0e22bd86457d011a9
6e00c04fd705a222001c000a0100001a000000010000000000000000000
000000000004c0000000114020000000000c000000000000046830
0000010000000a0b0485e898dbd0100d89ee42a8dbd010045fe5e898
dbd01000000000000000001000000000000000000000000000000130
114001f0fe04fd020ea3a6910a2d808002b30309d190023443a5c00
00000000000000000000000000000000cd971500310000000000af24
5cb9108057696e6e7400002000310000000000af24a3b910005072
6f66696c65730050524f46494c4553001900310000000000c1240892
100069653530302e30303000002800310000000000c124089210004
170706c69636174696f6e2044617461004150504c49437e310021003
10000000000c5229d9110004d6963726f736f6674004d4943524f537
e31002900310000000000d32232a61000496e7465726e65742045787
06c6f72657200494e5445524e7e31002400310000000000db2276ba
1000517569636b204c61756e636800515549434b4c7e310000008d00
00001c000000010000001c000000360000000df0adba8c0000001a0
0000003000000e7182d231000000049453530305f58314300433a5c5
7494e4e545c50726f66696c65735c49453530302e3030305c4170706
c69636174696f6e20446174615c4d6963726f736f66745c496e74657
26e6574204578706c6f7265725c517569636b204c61756e6368000010
000000050000a01a000000a3000000000000000800000002000000cc0
0000001000000030000004a0000000100000040003200e6010000
c424159f20004c61756e636820496e7465726e6574204578706c6f7265
722042726f777365722e6c6e6b004c41554e43487e322e4c4e4b000
00040000000020000003600320048020000c424159f20004c61756e6368
204f75746c6f6f6b20457870726573732e6c6e6b004c41554e434
87e312e4c4e4b00000036000000000000002c00320051000000ec2246392
00053686f77204465736b746f702e7363660053484f5744457e
312e53434600000052000000e000000000000000160000000000000000000
00016000000000000000100000001000000aa4f2868486ad0
118c7800c04fd918b437020000e0000000000000001600000000000000000
00000160000000000000001000000 /f
reg unload HKU\TempUser

Przy okazji widać jak w prosty sposób dorzucić wartości do rejestru innego użytkownika

 

Plik QuickLaunchDef.cmd (3.88 KB)

 NIestety ale narzędzia copyprofile.exe nie ma dla systemu windows 2000. W związkui z tym używałem skryptu:

rd /q /s "C:\Documents and Settings\risasi\Local Settings\Temp"
rd /q /s "C:\Documents and Settings\risasi\My Documents"
xcopy   "C:\Documents and Settings\risasi" "C:\Documents and Settings\mandatory" /s /E /C /Y /I /H
xcopy   "C:\Documents and Settings\risasi" "C:\Documents and Settings\Default User" /s /E /C /Y /I /H
attrib "c:\Documents and Settings\mandatory\ntuser.pol" -h -s
del "c:\Documents and Settings\mandatory\ntuser.pol"
attrib "c:\Documents and Settings\Default User\ntuser.pol" -h -s
del "c:\Documents and Settings\Default User\ntuser.pol"
echo y| cacls "C:\Documents and Settings\mandatory" /t /e /g everyone:r
echo y| cacls "C:\Documents and Settings\Default User" /t /e /g everyone:r
attrib -H "C:\Documents and Settings\mandatory\NTUSER.DAT"
ren "C:\Documents and Settings\mandatory\NTUSER.DAT" "NTUSER.MAN"
attrib +H "C:\Documents and Settings\mandatory\NTUSER.MAN"
rd /q /s "C:\Documents and Settings\risasi"

Gdzie risasi jest użytkownikiem z którego są tworzone profile mandatoryjny i Default User.

O ile z profilem Default User nie ma żadnego problemu, to profil madatroyjny się wykrzacza - powód - brak dostępu do kluczy rejestru.
Aby to zmienić trzeba zmienić w użytkowniku risasi ACL do kluczu rejestru HKCU. Jeśli to zrobimy, poolisy będą aplikowane dla danego profilu, ale niestety nie dla Explorera (tzn. takie polisy jak skrypty logon\logoff zabronienie regedita, cpl; ale już nie active desktop czy modyfikacje desktopu/menu start).

Aby polisy były w pełni aplikowane dla danego profilu, musimy jeszcze zmienić acl dla następujących kluczy rejestru:

HKCU\Software\policies
HKCU\Software\Microsoft\Windows\Current Version\Group Policy

Do zmiany acl można użyć subinacl.exe z W2kResKit. Odpowiedni skrypcik wygląda następująco:

subinacl /subkeyreg HKEY_CURRENT_USER /replace=PJWSTK\risasi=Everyone
subinacl /subkeyreg HKEY_CURRENT_USER\Software\Policies /replace=PJWSTK\risasi=Everyone
subinacl /subkeyreg "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Group Policy" /replace=PJWSTK\risasi=Everyone