Top-Themen

AppleEntwicklungHardwareInternetLinuxMicrosoftMultimediaNetzwerkeOff TopicSicherheitSonstige SystemeVirtualisierungWeiterbildungZusammenarbeit

Aktuelle Themen

Administrator.de FeedbackApache ServerAppleAssemblerAudioAusbildungAuslandBackupBasicBatch & ShellBenchmarksBibliotheken & ToolkitsBlogsCloud-DiensteClusterCMSCPU, RAM, MainboardsCSSC und C++DatenbankenDatenschutzDebianDigitiales FernsehenDNSDrucker und ScannerDSL, VDSLE-BooksE-BusinessE-MailEntwicklungErkennung und -AbwehrExchange ServerFestplatten, SSD, RaidFirewallFlatratesGoogle AndroidGrafikGrafikkarten & MonitoreGroupwareHardwareHosting & HousingHTMLHumor (lol)Hyper-VIconsIDE & EditorenInformationsdiensteInstallationInstant MessagingInternetInternet DomäneniOSISDN & AnaloganschlüsseiTunesJavaJavaScriptKiXtartKVMLAN, WAN, WirelessLinuxLinux DesktopLinux NetzwerkLinux ToolsLinux UserverwaltungLizenzierungMac OS XMicrosoftMicrosoft OfficeMikroTik RouterOSMonitoringMultimediaMultimedia & ZubehörNetzwerkeNetzwerkgrundlagenNetzwerkmanagementNetzwerkprotokolleNotebook & ZubehörNovell NetwareOff TopicOpenOffice, LibreOfficeOutlook & MailPapierkorbPascal und DelphiPeripheriegerätePerlPHPPythonRechtliche FragenRedHat, CentOS, FedoraRouter & RoutingSambaSAN, NAS, DASSchriftartenSchulung & TrainingSEOServerServer-HardwareSicherheitSicherheits-ToolsSicherheitsgrundlagenSolarisSonstige SystemeSoziale NetzwerkeSpeicherkartenStudentenjobs & PraktikumSuche ProjektpartnerSuseSwitche und HubsTipps & TricksTK-Netze & GeräteUbuntuUMTS, EDGE & GPRSUtilitiesVB for ApplicationsVerschlüsselung & ZertifikateVideo & StreamingViren und TrojanerVirtualisierungVisual StudioVmwareVoice over IPWebbrowserWebentwicklungWeiterbildungWindows 7Windows 8Windows 10Windows InstallationWindows MobileWindows NetzwerkWindows ServerWindows SystemdateienWindows ToolsWindows UpdateWindows UserverwaltungWindows VistaWindows XPXenserverXMLZusammenarbeit
GELÖST

Terminalserver user können Registry ändern. Wie kritisch ist das?

Frage Microsoft Windows Server

Mitglied: Laefiss

Laefiss (Level 1) - Jetzt verbinden

25.11.2014, aktualisiert 11:15 Uhr, 1252 Aufrufe, 8 Kommentare

Guten Tag zusammen,

nach einer ausführlichen Suche in den handelsüblichen Suchmaschinen fehlt mir leider immer noch eine Antwort. (u.a. wie setzt sich die Registry eines terminalserver users zusammen?)

Szenario:
In einer großen AD-Umgebung hat sich heraus gestellt, dass die User des ADs auf ihre registry zugreifen und ggf. auch ändern dürfen.
Wurde per GPO abgestellt.

Meine Frage(n) ist/sind folgende.
Wie kritisch ist das? Könnte der User damit den terminalserver zerschießen?
Ich bin mir nämlich nicht sooo sicher, ob das "globale" Konsequenzen hätte, wenn er zum Beispiel Wert/Schlüssel aus HKEY_USERS löscht.

Gerne wäre ich auch für weiterführende Lektüre (deutsch oder englisch) dankbar.

Ich hoffe die Frage(n) sind verständlich, ansonsten bin ich natürlich bereit weitere Fragen zur Umgebung zu beantworten.
bedanke im Voraus.
Mitglied: DerWoWusste
25.11.2014 um 10:27 Uhr
Hi.

Der User hat Schreibrechte in seinem eigenen Berreich. Alle Änderungen, die er machen könnte, betreffen nur ihn. Er kann sich also maximal seine eigenen Programm- und Windowseinstellungen vergurken, nicht die anderer Nutzer. Natürlich kann er den Server nicht zerschießen.
Bitte warten ..
Mitglied: Chonta
25.11.2014 um 10:31 Uhr
Hallo,

?
Wie soll ich mir das vorstellen, der Benutzer logt sich am TS-Server ein darf dann regedit startten (kann man verbieten) und hat dann Schreibrechte auf den gesammten Registrybaum?
Im normal fall sollte ein Benutzer auch auf dem TS genau wie an einer Workstation nur auf bestimmte Bereiche unter HKCU und HKCC zugreifen dürfen und dort auch nicht einfach so alles löschen oder anlegen sondern max anpassen..

Gruß

Chonta
Bitte warten ..
Mitglied: departure69
25.11.2014 um 10:35 Uhr
Hallo.

Ein normaler, eingeschränkter Nutzer hat nur schreibenden (oder ändernden) Zugriff auf den Teil der Registry, der sich als einzelne Datei "ntuser.dat" in seinem Benutzerprofil befindet. Das ist an einem Windows-TS nicht anders als an einem normalen Windows-Rechner.

Daß einfache, restriktive Benutzer an der Datei "usrclass.dat" etwas ändern können, glaub ich jetzt einfach mal nicht. Hast du das wirklich getestet? Falls ja, haben Deine TS-Benutzer mehr als die ihnen zustehenden Standardbenutzerrechte. Dann würde ich genau dies mal prüfen.

Wenn es so ist, wie ich im ersten Absatz geschrieben habe, können die Nutzer den Terminalserver über die Registry nicht zerschiessen, sondern maximal nur ihr eigenes Profil.


Grüße

von

departure69
Bitte warten ..
Mitglied: Laefiss
25.11.2014 um 10:42 Uhr
Servus Chonta,

regedit starten haben wir verboten, war lange vorher nicht so...
Schreibrecht hat der user nicht komplett sondern "nur" auf seinen Bereich...

Habe mir in der Zwischenzeit weitere Gedanken gemacht.
Das wirklich kritische dabei zu sein scheint, dass er so ja seine gezogenen GPOs/ per GPO gezogenen Einstellungen umgehen kann. Müsste(der user) das aber vermutlich dann bei jeder neuen Anmeldung machen, da die registry-Einträge bei einer erneuten Anmeldung neu gesetzt werden.

Es stand bei uns die Assuage im Raum:
"JEDER USER DER ZUGRIFF AUF DIE REGISTRY HAT, KANN DEN TS KAPUTT SPIELEN"
Das habe ich jedoch stark angezweifelt und bin nun auf der Suche nach dem gegenteiligem Beweis.
Bitte warten ..
Mitglied: Chonta
LÖSUNG 25.11.2014, aktualisiert um 11:15 Uhr
Hallo,

also. Jeder der SCHREIBZUGRIFF auf den Bereich hat der über CURRENUSER hinausgeht kann den ganzen Server schrotten, jeder andere nur sein eigenes Profil.
Es gibt viele Mittel und Wege aus den Eingeschrenkten Benutzerrechten auszubrechen, die Frage ist, glaubt ihr das eure Benutzer das drauf haben?
Wenn ja sollten die evtl mit in der ID arbeiten
Die Abarbeitung von GPO erfolgt nach dem Prinzip LSDOU wobei L für Lokal steht, was dann Lokalerichtlinien öder Registryeinstellungen wären.
Viele dieser Einstellungen erfordern einen Neustart, bei dem dann die GPO neu geladen und Angewendet werden und lokale Einstellungen überschrieben werden.
Man kann das nur testen, am beten eine VM mit 8.1 aufsetzen und dann mal als Domänenbenutzer versuchen die Registry zu löschen, neustarten und dann mit einem anderen anmelden.
Das was mit der VM passiert, kann auch potentiell mit dem Server passieren.

Gruß

Chonta
Bitte warten ..
Mitglied: departure69
LÖSUNG 25.11.2014, aktualisiert um 11:15 Uhr
Nochmal:

Völlig unabhängig davon, welche Zugriffe Du dem User auf die Registry erlaubst oder verbietest, und dies per GPO oder anderswie geschieht, das ist völlig Wumpe (es gibt schließlich auch noch andere Tools außer "Regedit", die sich der User irgendwo herunterladen kann und die kein Setup benötigen):

Ein normaler, eingeschränkter Standardbenutzer kann den Terminalserver nicht per Regedit zerschiessen. Kann er es doch, hat er schlichtweg zuviele Rechte (z. B. Hauptbenutzer oder lokaler Admin am TS oder erhöhte Rechte auf die Dateien, aus denen sich die Registry zusammensetzt - das sind sieben Stück, nur eine davon darf er über Regedit ändern, nämlich die "ntuser.dat", das entspricht dann HKEY_CURRENT_USER, und mit der kann er eben maximal seinen eigenen Reg-Zweig kaputtmachen, also letztlich nur sein eigenes Profil).

Die GPO, die ihm den Aufruf von "regedit" verbietet, würde ich natürlich trotzdem belassen, denn alles, was den Spiel- oder Forscherbetrieb eines normalen Nutzers (bezogen auf's System) einschränkt, ist anzuraten.

Grüße

von

departure69
Bitte warten ..
Mitglied: DerWoWusste
25.11.2014 um 11:03 Uhr
Das wirklich kritische dabei zu sein scheint, dass er so ja seine gezogenen GPOs/ per GPO gezogenen Einstellungen umgehen kann
Kann er nicht. Unterhalb von HKCU gibt es einen Bereich "Policies", da hat er keine Schreibrechte und da sind die GPOs drin.
Bitte warten ..
Mitglied: Laefiss
25.11.2014 um 11:17 Uhr
OK, danke an alle.
Ich denke das genügt mir.

Wenn das Wörtchen "wenn" nicht wäre

Habe mir ein Bild machen können.
Wünsche noch einen angenehmen Tag.
Bitte warten ..
Neuester Wissensbeitrag
Festplatten, SSD, Raid

12TB written pro SSD in 2 Jahren mit RAID5 auf Hyper-VServer

Erfahrungsbericht von Lochkartenstanzer zum Thema Festplatten, SSD, Raid ...

Ähnliche Inhalte
Windows Userverwaltung
gelöst Programmupdates ohne Adminrechte für die User einer Domäne (3)

Frage von M.Marz zum Thema Windows Userverwaltung ...

Microsoft Office
gelöst Sharepoint Cached User Infos ? (4)

Frage von joehuaba zum Thema Microsoft Office ...

Netzwerkgrundlagen
IPsec - .conf und .secret erstellen aus Gruppe und User (16)

Frage von MaxMLe zum Thema Netzwerkgrundlagen ...

Windows Systemdateien
Keine Berechtigung trotz Domänen-Admin User (10)

Frage von M.Marz zum Thema Windows Systemdateien ...

Heiß diskutierte Inhalte
Windows Userverwaltung
Ausgeschiedene Mitarbeiter im Unternehmen - was tun mit den AD Konten? (34)

Frage von patz223 zum Thema Windows Userverwaltung ...

LAN, WAN, Wireless
gelöst Server erkennt Client nicht wenn er ausserhalb des DHCP Pools liegt (28)

Frage von Mar-west zum Thema LAN, WAN, Wireless ...

LAN, WAN, Wireless
FritzBox, zwei Server, verschiedene Netze (21)

Frage von DavidGl zum Thema LAN, WAN, Wireless ...

Viren und Trojaner
Aufgepasst: Neue Ransomware Goldeneye verbreitet sich rasant (20)

Link von Penny.Cilin zum Thema Viren und Trojaner ...