7217
Dec 21, 2004, updated at Jan 09, 2009 (UTC)
8555
1
0
Benutzer können in Windows-Systemverzeichnis schreiben...
... und zwar mit einem "PDF-Dateidrucker"
Hallo,
ich habe mit der Anleitung unter http://www.rumborak.de/produktives/ghostscript/win2k/pdf.html entsprechend einen funktionierenden PDF-Dateidrucker eingerichtet und habe nun feststellen müssen, dass man durch Benutzung dieses Druckers fähig ist, im Windows-Systemverzeichnis Dateien anzulegen.
Besitzer der erzeugten Dateien ist die Gruppe "Administratoren", obwohl jetzt der Benutzer nur der Gruppe Benutzer angehört. Die Benutzer können die Datei Lesen, das war aber auch schon alles.
Für mich verwirrend ist nun: die kommt es zu diesem Effekt? Erklärungsversuch: der Drucker wird mit Adminrechten "ausgeführt", bzw. der Druckerspooler, der ja jetzt die Datei schreibt, läuft irgendwie als Administrator durch die Lande.
Gibt es eine Möglichkeit, dieses Verhalten zu ändern, so dass die erzeugten Dateien mit Benutzerrechten erzeugt werden (und somit nicht mehr in das Systemverzeichnis geschrieben werden können)?
Ich habe es jetzt noch nicht versucht, aber ich vermute, dass man auf diese Art und Weise ggf. sogar Systemdateien überschreiben könnte... es wird zwar automatisch eine Dateiendung ".pdf" angehängt, aber darauf sollte man ja nun nicht vertrauen...
Kann sich jemand hier einen Reim drauf machen bzw. kann mir jemand einen Tipp geben, wie ich das Problem zumindest eingrenzen kann?
Gruß, Mupfel
ich habe mit der Anleitung unter http://www.rumborak.de/produktives/ghostscript/win2k/pdf.html entsprechend einen funktionierenden PDF-Dateidrucker eingerichtet und habe nun feststellen müssen, dass man durch Benutzung dieses Druckers fähig ist, im Windows-Systemverzeichnis Dateien anzulegen.
Besitzer der erzeugten Dateien ist die Gruppe "Administratoren", obwohl jetzt der Benutzer nur der Gruppe Benutzer angehört. Die Benutzer können die Datei Lesen, das war aber auch schon alles.
Für mich verwirrend ist nun: die kommt es zu diesem Effekt? Erklärungsversuch: der Drucker wird mit Adminrechten "ausgeführt", bzw. der Druckerspooler, der ja jetzt die Datei schreibt, läuft irgendwie als Administrator durch die Lande.
Gibt es eine Möglichkeit, dieses Verhalten zu ändern, so dass die erzeugten Dateien mit Benutzerrechten erzeugt werden (und somit nicht mehr in das Systemverzeichnis geschrieben werden können)?
Ich habe es jetzt noch nicht versucht, aber ich vermute, dass man auf diese Art und Weise ggf. sogar Systemdateien überschreiben könnte... es wird zwar automatisch eine Dateiendung ".pdf" angehängt, aber darauf sollte man ja nun nicht vertrauen...
Kann sich jemand hier einen Reim drauf machen bzw. kann mir jemand einen Tipp geben, wie ich das Problem zumindest eingrenzen kann?
Gruß, Mupfel
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 5025
Url: https://administrator.de/contentid/5025
Printed on: April 18, 2024 at 11:04 o'clock
1 Comment
Hi,
der Spooler läuft im Normalfall als Service unter LOCAL SYSTEM, hat also volle Rechte.
Entweder lässt Du den Dienst unter einem Benutzeraccount laufen (services.msc -> Druckwarteschlange und dann dort einen Account eintragen). Oder Du verwendest einen Adminaccount und entziehst diesem aber die Schreibrechte in Systemverzeichnissen.
Ich kann mir nicht vorstellen, daß das Standardverhalten ist. Evtl gibts noch andere Lösungen hierzu, Du bist bestimmt nicht der einzige Admin mit diesem Problem Poste doch mal in http://www.rumborak.de/enterboard.php?BoardID=5 oder such dort nach Lösungen.
Grüße,
Fritz
der Spooler läuft im Normalfall als Service unter LOCAL SYSTEM, hat also volle Rechte.
Entweder lässt Du den Dienst unter einem Benutzeraccount laufen (services.msc -> Druckwarteschlange und dann dort einen Account eintragen). Oder Du verwendest einen Adminaccount und entziehst diesem aber die Schreibrechte in Systemverzeichnissen.
Ich kann mir nicht vorstellen, daß das Standardverhalten ist. Evtl gibts noch andere Lösungen hierzu, Du bist bestimmt nicht der einzige Admin mit diesem Problem Poste doch mal in http://www.rumborak.de/enterboard.php?BoardID=5 oder such dort nach Lösungen.
Grüße,
Fritz
