Programme als System oder TrustedInstaller ausführen

[EN]Gelegentlich wäre es hilfreich, wenn man Programme wie den Registrierungseditor mit den höchstmöglichen Berechtigungen (unter dem Kontext System oder TrustedInstaller) ausführen könnte. Im Blog-Beitrag stelle ich entsprechende Lösungen vor.

Das Problem …

Manche Registrierungseinträge oder Dateien lassen sich von Administratoren nicht ändern, weil das System oder der TrustedInstaller diese im Besitz hat. Der Ratschlag, den man in Foren findet, lautet, die Berechtigungen anzupassen. Bei Dateien geht dies in den Eigenschaften über die Registerkarte Sicherheit und bei Registrierungseinträgen läuft es ähnlich. Problem ist aber, dass es am Ende des Tages auf die Übernahme des Besitzes des betreffenden Objekts hinausläuft. Der Besitzer hat alle Berechtigungen, d.h. er bekommt Vollzugriff auf das Objekt.

Aus Sicherheitsgründen finde ich die Besitzübernahme oder das Anpassen der Berechtigungen nicht optimal, auch wenn ein Administrator so kurzfristig sein Problem des Zugriffs auf das Objekt lösen kann. Nicht umsonst haben die Windows-Entwickler manchen Objekten (Dateien, Registrierungseinträge) in den Besitz des Systems oder des TrustedInstallers gestellt und verwehren anderen Benutzern den Vollzugriff. Cleverer ist es daher in meinen Augen, die Programme zum Zugriff auf die Objekte unter dem Kontext des Systems oder des TrustedInstallers auszuführen. Also quasi wie die "Indianer" agieren: "hereinschleichen, seine Sachen erledigen und ohne Spuren zu hinterlassen wieder verschwinden". Das ist möglich, birgt aber auch Klippen. Hierzu habe ich immer einige Tools auf meinen Festplatten herumliegen, die mir in solchen Fällen gute Dienste leisten.

Zugriff als System mit PsExec.exe

Um die Übernahme des Besitzes bzw. die Anpassung der Berechtigungen zu vermeiden, kann man ggf. den Registrierungseditor (regedit.exe) mit Systemprivilegien ausführen. Ich hatte diesen Ansatz im Blog-Beitrag VMLite/VirtualBox und der USB-Support beschrieben, als ich einen Registrierungseintrag auch mit Administratorberechtigungen nicht per Registrierungseditor löschen konnte.

In der Sysinternals-Suite gibt es das Program PsExec.exe, welches in der Eingabeaufforderung läuft und eine Anwendung unter dem Systemkonto starten kann. Mit dem Befehl:

PsExec.exe -s -i regedit

wird PsExec mit dem Schalter –s angewiesen, den Registrierungseditor unter dem Systemkonto laufen zu lassen. Der Schalter –i bewirkt die interaktive Ausführung (so dass Regedit auf dem Desktop angezeigt wird). Der Befehl muss in einer administrativen Eingabeaufforderung eingegeben werden. Dann erscheint das Fenster des Registrierungseditors und die im Besitz von System befindlichen Schlüssel lassen sich manipulieren.

Vorsicht beim Explorer

Wer sich jetzt die Hände reibt und das Gleiche auf das Programm explorer.exe anzuwenden gedenkt, erleidet Schiffbruch. Auch wenn man die Explorer.exe über Als Administrator ausführen oder mit obigem PsExec-Kommando aufruft, läuft der betreffende Prozess mit normalen Berechtigungen.

Das ist erkennbar, weil beim Zugriff auf bestimmte Systemordner weiterhin das Dialogfeld zur Anpassung der Zugriffsberechtigungen angezeigt wird.

Wenn der Administrator über Fortsetzen den Zugriff per Benutzerkontensteuerung freigibt, passt der Explorer die Zugriffsberechtigungen auf NTFS-Ebene für das Administratorkonto an. Wenn der Explorer mit Administratorrechten liefe, wäre dies nicht notwendig.

Ich habe das Thema 2011 im Blog-Beitrag Explorer als Administrator ausführen behandelt. Die Lösung für dieses Dilemma besteht darin, einen alternativen Dateimanager statt des Explorer.exe zu verwenden.

Im Beitrag Windows: Ordner mit Schloss markiert und unlöschbar habe ich gezeigt, wie man portable Dateimanager wie FreeCommander oder Explorer++ für diesen Zweck verwendet und mittels PSExec mit erhöhten Systemrechten ausführt.

PowerRun: Programme mit TrustedInstaller-Privilegien ausführen

Bleibt noch der Wunsch, Programme wie den Registrierungs-Editor oder den Windows-Editor Notepad.exe mit den Privilegien des TrustedInstallers auszuführen. Die portable Freeware PowerRun erledigt genau das. Diese lässt sich von der Seite sodrum.org kostenlos herunterladen. Nach dem Download ist das ZIP-Archiv in einen Ordner zu entpacken.

Im Anschluss starten Sie PowerRun und bestätigen die Abfrage der Benutzerkontensteuerung. Wählen Sie anschließend den Eintrag notepad.exe mit einem Rechtsklick an und verwenden Sie den Kontextmenübefehl Datei laufen. Nach Bestätigung der Benutzerkontensteuerung läuft der Editor unter dem Kontext des TrustedInstallers (habe ich im Blog-Beitrag Windows-Updates: Deinstallation nicht entfernbarer Pakete erzwingen genutzt).

In PowerRun sind bereits die Eingabeaufforderung cmd, die PowerShell und der Windows-Editor fertig vorkonfiguriert. Sie können aber auch andere .exe-Dateien in das Programmfenster ziehen oder die Schaltfläche mit dem Pluszeichen wählen und eine Anwendung wählen. Dieses Programm wird in der Liste der Programme eingetragen. Mit PowerRun erhalten Administratoren also ein leistungsfähiges Tool, um auf Systemkomponenten zuzugreifen, ohne deren Berechtigungen anpassen oder deren Besitz übernehmen zu müssen.

Ähnliche Artikel:
VMLite/VirtualBox und der USB-Support
Windows 10: Eingabeaufforderung als Administrator öffnen
Sysinternals-Tools: Januar-Update und weitere Details
Explorer als Administrator ausführen
Windows: Ordner mit Schloss markiert und unlöschbar