Как стать владельцем ветки реестра и удалить ее?

Question

Дмитрий Шумов @dshumov

Олдскул - Фигурнов форева

Как стать владельцем ветки реестра и удалить ее?

Коллеги, есть нужда, удалить ветку реестра: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\AlternateShells на многих серверах. Но для начала, нужно стать владельцем этой ветки и дать группе администраторов полные права на эту ветку. Пытаюсь "намутить" батник:

subinacl.exe /subkeyreg "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\AlternateShells" /setowner=Administrators /grant=Administrators=f
reg delete HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\AlternateShells /f

но не выходит. Может я что-то не так делаю?

Вопрос задан более трёх лет назад
733 просмотра

Комментировать

Подписаться 1 Простой Комментировать

Пригласить эксперта

Ответы на вопрос 2

3 комментария

Дмитрий Шумов @dshumov Автор вопроса

Спасибо, попробую.

Написано более трёх лет назад
Ezhyg @Ezhyg

Точно, там же во второй строке кавычек нет :)

Кстати, проверил, корень принимает в обоих вариантах и длинном и аббревиатуру.

Написано более трёх лет назад
Дмитрий Шумов @dshumov Автор вопроса

Еще не попробовал, но есть 2 вопроса в догонку:
1) Удаление второе дело, первое, что не применяються разрешения и не меняеться владелиц...
2) Можно ли запускать субинкалк с сетевого ресурса?

Написано более трёх лет назад

13 комментариев

Дмитрий Шумов @dshumov Автор вопроса

субинакл установлен.
Пути? ну так, в каком то примере увидел. Попробую ваше предложение.
Ну, в ручном режиме, из редактора реестра, я только на верхний узел давал разрешения, после этого вся ветка удалялась. Но перед этим, пришлось стать владельцем узла. Поэтому я первым действием пытаюсь стать владельцем узла + назначить права, полные. Потом удаление.
Но не выходит...

Написано более трёх лет назад
Ezhyg @Ezhyg

Дмитрий Шумов, да, владельцем надо стать, при чём и владельцем всего вложенного, через консольный редактор это обычно срабатывает сразу, но иногда бывает и только со второго раза.

А ошибка-то какая? Это ж нужно в консоли пробовать, а там всё и будет написано, а ты запускаешь сразу батником видимо?

Написано более трёх лет назад
Дмитрий Шумов @dshumov Автор вопроса

Ezhyg, правильно ли я пончл, что в несколько действий это нужно делать? дочерниии ветви, а потом корневой раздел?
Ошибку сейчас не могу показать - на рабочем компе осталось. А смысл что аксес денайд. Но это наверное после второго действия. А при первом действии просто пишет ошибка 1 и все...

Написано более трёх лет назад
Ezhyg @Ezhyg

Дмитрий Шумов, просто первую строку два раза (я не очень точно помню, но кажется так).

Кстати, для руления сервером и рабочими станциями пользователей очень рекомендую утилиты - download.sysinternals.com/Files/PsTools.zip

Написано более трёх лет назад
Дмитрий Шумов @dshumov Автор вопроса

Ezhyg, не получилось :(
Вот какие ошибки выдает:

Написано более трёх лет назад

Дмитрий Шумов @dshumov Автор вопроса

Ezhyg, и даже с помощью PS не получаеться...

PS C:\Windows\system32> $acl = Get-Acl "HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\AlternateShells"
$person = [System.Security.Principal.NTAccount]"BUILTIN\Administrators"          
$access = [System.Security.AccessControl.RegistryRights]"FullControl"
$inheritance = [System.Security.AccessControl.InheritanceFlags]"ContainerInherit,ObjectInherit"
$propagation = [System.Security.AccessControl.PropagationFlags]"None"
$type = [System.Security.AccessControl.AccessControlType]"Allow"
$rule = New-Object System.Security.AccessControl.RegistryAccessRule($person,$access,$inheritance,$propagation,$type)
$acl.AddAccessRule($rule)
$acl |Set-Acl
Set-Acl : Requested registry access is not allowed.
At line:9 char:7
+ $acl |Set-Acl
+       ~~~~~~~
    + CategoryInfo          : PermissionDenied: (HKEY_LOCAL_MACH...AlternateShells:String) [Set-Acl], SecurityException
    + FullyQualifiedErrorId : System.Security.SecurityException,Microsoft.PowerShell.Commands.SetAclCommand

Написано более трёх лет назад

Ezhyg @Ezhyg

Дмитрий Шумов, блин, я тебя обманул :( Субинаклом это не нужно, она сразу делает правильные разрешения.
И она у тебя не выдаёт ошибку, говорит что всё сделала.

Написано более трёх лет назад
Дмитрий Шумов @dshumov Автор вопроса

Ezhyg, Но по факту то не сделала...

Написано более трёх лет назад
Ezhyg @Ezhyg

Дмитрий Шумов, ну... отчёт даёт, что всё сделала, и сама, как видишь, делает это дважды за раз, чтоб наверняка.

Слушай, а проверь сам из редактора реестра что там за разрешения и вообще, что там и как?

Написано более трёх лет назад
Дмитрий Шумов @dshumov Автор вопроса

Ничего в редакторе реестра не изменилось. Как был владельцем TrustedInstaller, так он и остался...

Написано более трёх лет назад
Ezhyg @Ezhyg

Дмитрий Шумов, эх...
Так, погоди, а если через субинакл делать владельцем не группу "администраторы", а пользователя Администратор?

Написано более трёх лет назад

Дмитрий Шумов @dshumov Автор вопроса

Ezhyg, Спасибо за помощь! В итоге решилось вот так:

SetACL.exe -on "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\AlternateShells" -ot reg -actn setowner -ownr "n:Administrators"
SetACL.exe -on "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\AlternateShells" -ot reg -actn ace -ace "n:Administrators;p:full"
SetACL.exe -on "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\AlternateShells\AvailableShells" -ot reg -actn setowner -ownr "n:Administrators"
SetACL.exe -on "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\AlternateShells\AvailableShells" -ot reg -actn ace -ace "n:Administrators;p:full"
reg delete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\AlternateShells" /f

Написано более трёх лет назад

Ezhyg @Ezhyg

Дмитрий Шумов, урааа! :) Главное, что решилось, как - не так важно.

Написано более трёх лет назад

Ваш ответ на вопрос

Войдите, чтобы написать ответ

Войти через центр авторизации

Похожие вопросы

C++

+1 ещё

Простой
Как это исправить?
- 1 подписчик
- 20 часов назад
- 109 просмотров
0

ответов
PowerShell

Простой
Как перечислить переменные по очереди в powershell?
- 1 подписчик
- вчера
- 38 просмотров
1

ответ
C++

+1 ещё

Средний
Как понять в чем ошибки?
- 1 подписчик
- 21 апр.
- 107 просмотров
1

ответ
Windows

+2 ещё

Простой
Как решить обрывы RDP сесиии при подключении из другого VLNа?
- 2 подписчика
- 18 апр.
- 267 просмотров
0

ответов
Сетевое администрирование

+2 ещё

Средний
Логирование посещения сайтов windows server 2008, 2008 R2, 2019?
- 1 подписчик
- 17 апр.
- 161 просмотр
0

ответов
Windows Server

+2 ещё

Средний
Как запретить смену пароля на определенных учетных записях в AD?
- 1 подписчик
- 17 апр.
- 91 просмотр
1

ответ
PowerShell

+1 ещё

Простой
Как запросить права администратора при выполнение скрипта?
- 1 подписчик
- 17 апр.
- 81 просмотр
2

ответа
Windows Server

+2 ещё

Средний
Как восстановить работу Active Directory в связке Mikrotik + Windows Server?
- 2 подписчика
- 17 апр.
- 236 просмотров
1

ответ
Windows Server

+3 ещё

Простой
Почему теряется владелец файла при создании копии?
- 1 подписчик
- 16 апр.
- 89 просмотров
2

ответа
Windows Server

+2 ещё

Простой
Почему не работает проброс портов на SMB?
- 2 подписчика
- 16 апр.
- 134 просмотра
0

ответов
Показать ещё Загружается…

Ведущий системный администратор

Москворечье Трейдинг • Москва

от 170 000 ₽

Младший системный администратор

LuckyDucky • Москва

от 50 000 до 70 000 ₽

Старший системный администратор

LuckyDucky • Москва

До 160 000 ₽

Установить вебхук на сайт

24 апр. 2024, в 16:19

4000 руб./за проект

Натянуть верстку Опенкарт

24 апр. 2024, в 15:34

20000 руб./за проект

SEO с опытом в контентных проектах (СМИ)

24 апр. 2024, в 15:32

130000 руб./за проект

Answer 1 · 2019-07-12 18:47:41

Константин Цветков @tsklab

Здесь отвечаю на вопросы.

reg delete HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows

Кавычки и корень как уже указали.

Ответ написан более трёх лет назад

3 комментария

Answer 2 · 2019-07-12 18:00:15

А субинакл-то установлен?

Поправка: корень куста принимается в любом видео и полном, и сокращённом

Ну и чисто вдогонку некоторые ветки имеют строго заданные разрешения, при этом для каждой вложенной ветки - свои даже если они такие же (например не наследуемые или владелец - система), поэтому нужно несколько раз стать владельцем, в том числе для каждой вложенной подветки. Если это делать из редактора реестра например, то приходится входить в каждую ранее недоступную ветку, затем выходить наверх и снова устанавливать себя владельцем ветки и всех вложенных, иногда раз по 5.

Как стать владельцем ветки реестра и удалить ее?

Войдите, чтобы написать ответ

Минуточку внимания

Войдите на сайт