Роман Клименко - Windows Vista. Для профессионалов

Право предоставлено: никому.

Редактирование DACL объекта

По умолчанию, если вы еще не отключили механизм UAC, большинство ветвей реестра подраздела HKEY_LOCAL_MACHINE и системных файлов доступны администраторам только для чтения. Полный же доступ на них имеет пользователь TrustedlnstaLLer, который также является и их владельцем. Поэтому администраторы не смогут изменить права доступа на ветвь реестра или файл, пока не сменят владельца на него.

Операция смены владельца проходит так же, как и в Windows ХР. Например, для смены владельца файла нужно отобразить окно Свойства данного файла, перейти на вкладку Безопасность и нажать кнопку Изменить. После этого отобразится копия окна Безопасность, в которой нужно нажать кнопку Дополнительно, чтобы отобразилось еще одно окно, имеющее вкладку Владелец. Чтобы сменить владельца файла, нужно перейти на данную вкладку и в поле Изменить владельца на: выбрать нового владельца. После нажатия кнопки ОК владелец файла будет изменен, и вы сможете изменить разрешения на доступ к файлу. Похожим образом выполняется изменение владельца ветви реестра.

Программа для работы с DACL icacls.exe

Вы, наверное, знаете, что в предыдущих версиях операционной системы Windows присутствовала программа командной строки cacls.ехе, с помощью которой можно изменять DACL определенного файла. Данная программа присутствует и в Windows Vista, однако, кроме нее, в новой операционной системе есть еще одна программа для работы с DACL – icacls.ехе. Основные возможности данной программы лучше всего рассмотреть на примерах ее использования. Полное же описание ее возможностей можно увидеть, введя в командной строке команду icacls /?.

Архивирование и восстановление DACL файла или нескольких файлов и каталогов

Интересной возможностью данной программы является возможность архивирования DACL файлов или каталогов с целью их дальнейшего восстановления на локальном или удаленном компьютере.

Для архивирования DACL файла достаточно воспользоваться командой icacls.ехе <���путь к файлу и его имя> /save <���путь к архиву и его имя>. Например:

• Icacls c: \windows\system32\cmd.exe/save d: \cmd ACL old – копирует ACL файла cmd.ехе в файл cmd_ACL_old;

• Icacls c: \windows\system32\* /save d: \System32 ACL old – копирует ACL всех файлов и каталогов папки %systemroot%\system32 в файл System32_ACL_old.

Не забывайте, что если какая-нибудь программа, DACL которой нужно скопировать, в данный момент открыта другой программой, то icacls.ехе не сможет получить к ней доступ и завершит свою работу. В этом случае, если вы копируете DACL содержимого целого каталога, нужно использовать параметр /С, чтобы программа icacls.ехе не завершала свою работу, а продолжила, не копируя DACL занятого файла. Также при копировании DACL содержимого каталога можно использовать параметр /Т, чтобы также копировалось содержимое всех вложенных в выбранный каталог подкаталогов.

Если же вы хотите восстановить DACL из созданного ранее файла, то нужно воспользоваться командой icacls.exe <���путь к файлу и его имя> /restore <���путь к архиву и его имя>.

Например, Icacls c: \windows\system32\ /restore d: \System32 ACL old /С. Команда восстанавливает DACL для всех файлов, подкаталогов и содержимого подкаталогов папки %systemroot%\system32 из файла System32_ACL_old. Если какой-то файл в данный момент заблокирован, то он будет пропущен программой (благодаря параметру /С). Заметьте, что в команде при указании каталога не нужно указывать маску *.

Смена владельца файлов и каталогов

С помощью данной программы также очень легко сменить владельца для определенного файла или для всего содержимого каталога. Для этого применяется командаicacls.exe <���путь к файлу и его имя или путь к каталогу> /setowner <���логин нового владельцах

Например, leads c: \windows\system32\* /setowner administrator /С. Команда изменяет владельца всего содержимого каталога %systemroot% на владельца Администратор. Заметьте, что в команде применяется параметр /С. Он имеет такое же действие, что и в предыдущих командах. При смене владельца можно также использовать параметр /Т. Точнее, параметры /С и /Т можно использовать во всех командах программы icacls.ехе.

Поиск файлов, в DACL которых есть упоминание о SID определенного пользователя

Для реализации этой возможности используется команда icacls.ехе <���путь к файлу и его имя или путь к каталогу> /findsid . В ней вы можете также использовать параметры /С и /Т.

Изменение DACL

Изменение DACL можно выполнить не только с помощью программы cads.ехе, но и с помощью новой программы icacls.ехе. Но перед изменением DACL сначала вспомним обозначения прав пользователей, которые применяются в программах cacls.ехе и icacls.ехе:

• F – определяет право на полный доступ к объекту;

• М – указывает право на изменение объекта;

• RE – определяет право на чтение и выполнение объекта;

• R – указывает право только на чтение объекта;

• W – определяет право на запись объекта;

• D – указывает право на удаление объекта;

• RC – определяет разрешение на чтение разрешения;

• WDAC – указывает разрешение на запись DAC;

• W0 – определяет разрешение на смену владельца;

• S – указывает разрешение на синхронизацию;

• AS – определяет разрешение на доступ к системе безопасности;

• МА – указывает разрешение на полный доступ к объекту;

• RD – определяет разрешение на просмотр содержимого папок и чтение данных;

• WD – указывает разрешение на создание файлов и запись данных;

• AD – определяет разрешение на создание папок и дозапись данных;

• REA – указывает разрешение на чтение дополнительных атрибутов;

• WEA – определяет разрешение на запись дополнительных атрибутов;

• ЕХ – указывает разрешение на обзор папок и выполнение файлов;

• DC – определяет разрешение на удаление;

• RA – указывает разрешение на чтение атрибутов;

• WA – определяет разрешение на запись атрибутов.

Для добавления DACL, разрешающих определенное действие, нужно использовать командуicacls.ехе <���путь к файлу и его имя или путь к каталогу> /grant

Например, такая команда, как Icacls c: \windows\system32\* /grant: r administrator: (D, WO) /С, изменяет разрешения для администратора на разрешение удаления и разрешение смены владельца всех файлов и папок каталога %systemroot%\system32. Как обычно при изменении DACL нескольких файлов, в команде используется параметр /С.

Для добавления DACL, запрещающих определенное действие, нужно использовать команду icacls.ехе <���путь к файлу и его имя или путь к каталогу> /deny : (разрешения через запятую).

Например, Icacls c: \windows\system32\* /deny administrator: (D,WO) /С. Данная команда запрещает администратору удалять или изменять владельца для всех файлов и папок каталога %systemroot%\system32. Как обычно при изменении DACL нескольких файлов, в команде используется параметр /С.

Для удаления DACL используется команда icacls.ехе <���путь к файлу и его имя или путь к каталогу> /remove