Berechtigungen von Diensten in Windows über die Kommandozeile ändern

Ein Windows-Dienst ist ein sicherungsfähiges Objekt. Wer ihn starten, beenden oder umkonfigurieren darf, entscheidet eine eigene Zugriffsliste und nicht die Gruppenmitgliedschaft. Berechtigungen von Diensten ändern heißt deshalb: diese Liste bearbeiten, und die ganze Schwierigkeit liegt darin, dass sie in Zugriffsmasken geschrieben ist und nicht in Verben.

Was in einem Dienst-DACL steht

Jeder Dienst und jeder Kerneltreiber, der beim Dienststeuerungs-Manager registriert ist, trägt einen Sicherheitsdeskriptor: einen Besitzer, eine Gruppe, eine Überwachungsliste und die diskretionäre Zugriffsliste, die entscheidet, wer was darf. Nur letztere ist gemeint, wenn von Dienstrechten die Rede ist.

Der Standarddeskriptor ist bewusst eng. Administratoren haben Vollzugriff. Hauptbenutzer dürfen, wo diese Gruppe noch existiert, starten und beenden. „Jeder" hält eine kleine Lesemaske, damit gewöhnlicher Code überhaupt feststellen kann, ob ein Dienst läuft. Kein Eintrag erlaubt einem normalen Konto das Starten: der häufigste Grund, überhaupt eine Zugriffsliste anzufassen.

Drei Situationen wiederholen sich. Ein Dienst soll nur bei Bedarf laufen, und die Personen, die ihn brauchen, sind keine Administratoren. Ein Programm im Benutzermodus muss einen bestimmten Gerätetreiber laden oder entladen. Oder eine Anwendung installiert einen Hilfsdienst und erwartet, dass unprivilegierter Code ihn steuert. Alle drei löst eine genaue Maske für eine bestimmte Gruppe, und alle drei verschlimmert es, stattdessen Vollzugriff zu vergeben, weil das schneller ging.

Deskriptor auf einen Blick

Gespeichert unter

HKLM\SYSTEM\CurrentControlSet\Services\<Name>

Standardbesitzer

NT-AUTORITÄT\SYSTEM

Deskriptor lesen

sc sdshow <Dienst>

Deskriptor schreiben

sc sdset <Dienst> <SDDL>

Flottenweit

Sicherheitsrichtlinie, Knoten „Systemdienste"

Wirksam

bei jedem Dienststart, für neue Zugriffsprüfungen sofort

Die Zugriffsmaske, Buchstabe für Buchstabe

Die Maske ist der Teil, der sich dem Auswendiglernen entzieht: ein Dienst hat zwölf sinnvolle Rechte und vier gebräuchliche Zusammenfassungen davon. Am kompaktesten hat das scacl.exe dokumentiert, ein kleines Freeware-Werkzeug für Windows NT, das jedem Recht einen Buchstaben gab und sie zu einer Zeichenfolge zusammensetzen ließ. Diese Buchstaben sind bis heute eine brauchbare Lernnotation, weil jeder genau einer Win32-Konstante und einem SDDL-Kürzel entspricht, mit dem aktuelle Werkzeuge arbeiten.

Ein Sammelrecht unten auswählen zeigt, welche Einzelrechte es enthält und wie die entstehende Vergabe aussieht. Die vier Zusammenfassungen sind keine Bequemlichkeits-Erfindung des Werkzeugs, sondern die Gruppierungen, die die Win32-Dienstschnittstelle selbst definiert, weshalb sie in der Herstellerdokumentation immer wieder auftauchen.

Kein Sammelrecht gewählt — die zwölf Einzelrechte stehen unten alle einzeln.

R = CHLIQ — Alles, was nur liest: die Konfiguration, den Status, die Abhängigkeiten, die Zugriffssteuerungsliste und das Abfragen, das den Dienst selbst zur Meldung auffordert.

X = CPSEU — Den Dienst bedienen, ohne ihn umkonfigurieren zu können — die Maske, die ein Bedienkonto wirklich braucht.

W = CG — Die Konfiguration ändern, aber nicht den Sicherheitsdeskriptor. Bewusst vergeben: der Binärpfad gehört dazu.

F = HGQLSEPIUDCO — Jedes Recht darüber, einschließlich Löschen des Dienstes und Neuschreiben seiner Zugriffssteuerungsliste.

Lesen, bevor man in Windows etwas ändert

Der erste Befehl auf einem Dienst sollte ein Lesevorgang sein. Ein Deskriptor mit aufgelösten Sicherheitskennungen zeigt beides: wer aktuell was hält, und ob die Einträge auf diesem Rechner überhaupt auflösbar sind. Die alte Ausgabe nannte den Besitzer und dann jeden Eintrag mit seiner Maske in Klammern:

C:\> scacl \\AMARETTO tcpip /S

Security settings of service tcpip on \\AMARETTO:
Owner: NT-AUTHORITY\SYSTEM (S-1-5-18)
DACL:
00: [RIU] \World (S-1-1-0)
01: [XR]  (null)\(null) (S-1-5-32-547)
02: [F]   BUILTIN\Administrators (S-1-5-32-544)
04: [XR]  NT-AUTHORITY\SYSTEM (S-1-5-18)

Zwei Details lohnen den Blick. Eintrag 01 hat keinen Namen, weil die Gruppe der Hauptbenutzer auf dem ausgebenden Rechner nicht existiert. Der Eintrag gilt trotzdem und vergibt eine Maske. Und „Jeder" hält RIU statt nichts, weshalb unprivilegierter Code normalerweise feststellen kann, dass ein Dienst existiert.

Der heutige Lesevorgang heißt sc sdshow tcpip und liefert dieselbe Information als eine SDDL-Zeichenfolge. Sie ist dichter und schlechter vorlesbar, aber genau das Format, das sc sdset zurück erwartet: ein Lesen-Ändern-Schreiben-Zyklus muss also nicht zwischen zwei Notationen übersetzen.

Rechte über die Kommandozeile vergeben und verweigern

Gefährlich ist beim Bearbeiten einer Zugriffsliste nicht die Maske, sondern der Unterschied zwischen Ändern und Ersetzen. Ein ersetzender Aufruf schreibt genau die genannten Einträge und verwirft alles andere, auch den Eintrag, der Ihnen das Bearbeiten erlaubt. Sowohl das alte Werkzeug als auch sc sdset ersetzen im Zweifel, weshalb der Ändern-Schalter wichtiger ist als jedes einzelne Recht.

C:\> scacl \\AMARETTO tcpip /E /G BUILTIN\Users:SE /D Tom:SE

Do you really want to apply the new security settings [Yes/No]: y
Successfully applied new security settings to service tcpip

Diese Zeile gibt der Gruppe „Benutzer" Starten und Beenden und verweigert dieselben zwei Rechte einem Konto. Verweigernde Einträge werden immer zuerst geprüft, unabhängig von ihrer Position in der Liste. Die Verweigerung gewinnt also gegen die Gruppenvergabe. In der Ausgabe ist sie durch ein vorangestelltes Minus gekennzeichnet:

00: -[SE] BISTRO\Tom (S-1-5-21-859451957-1360023216-1846434929-1003)
01: [RIU] \World (S-1-1-0)
06: [SE]  BUILTIN\USERS (S-1-5-32-545)

Auswertungsreihenfolge

Die Schalter wirken nicht in der Reihenfolge, in der sie getippt werden. Die Folge unten ist die des älteren Werkzeugs und gilt genauso für jeden korrekten Lesen-Ändern-Schreiben-Zyklus, weil Besitzübernahme und Standardwiederherstellung alles Vorherige verwerfen.

Ohne Rückfrage

unterdrückt die Bestätigung für alle folgenden Schritte

Besitz übernehmen

die lokale Administratorengruppe wird neuer Besitzer

Standard herstellen

der bei der Installation geschriebene Deskriptor wird Grundlage für alles Folgende

Ändern

nachfolgende Änderungen bearbeiten die bestehende Liste statt sie zu ersetzen

Ausführlich

gibt die entstehende Liste aus

Entfernen, ersetzen, geben, verweigern

zuletzt, in dieser Reihenfolge

Dasselbe heute mit sc sdset

Berechtigungen von Diensten haben das Werkzeug überlebt, das sie zuerst lesbar gemacht hat. Am Objektmodell hat sich nichts geändert, die Überlegung überträgt sich also direkt. Geändert hat sich die Notation: statt Buchstaben zu kombinieren, setzt man eine SDDL-Zeichenfolge zusammen und übergibt den vollständigen Deskriptor. Eine Vergabe von Starten, Beenden und Statusabfrage an die Gruppe „Benutzer", an den Standarddeskriptor angehängt, sieht so aus.

C:\> sc sdshow Spooler
D:(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWLOCRRC;;;IU)...

C:\> sc sdset Spooler "D:(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWRPWPLORC;;;BU)..."

Der eingefügte Eintrag ist ein Erlauben-Eintrag ohne Vererbungsflags mit den Rechten Konfiguration lesen, Status lesen, Abhängige auflisten, Starten, Beenden, Abfragen und Rechte lesen, für die integrierte Gruppe „Benutzer". Der Vergleich mit dem Raster oben ist der schnellste Weg, eine fremde SDDL-Zeichenfolge zu prüfen: jedes Zwei-Buchstaben-Kürzel im Maskenteil ist eine Zeile dieser Tabelle.

Eine praktische Warnung zu sc sdset: der Befehl nimmt den übergebenen Deskriptor wörtlich und führt nichts zusammen. Aktuelle Zeichenfolge lesen, den eigenen Eintrag einfügen, das Ganze zurückschreiben. Nur den eigenen Eintrag zu schreiben ist die moderne Schreibweise für „den Ändern-Schalter vergessen": mit derselben Folge.

Wozu die alte Notation weiterhin taugt

Zwei praktische Gründe. Erstens ist sie lesbar: /G BUILTIN\Users:SE versteht auch jemand, der über den Tisch schaut, was für eine vierzig Zeichen lange SDDL-Zeichenfolge nicht gilt. Zweitens ist ein großer Teil der noch existierenden Dokumentation, Forenantworten und internen Handbücher in ihr geschrieben, und wer Berechtigungen von Diensten ändern muss, erbt diesen Textbestand. Zu wissen, dass X „steuern, aber nicht umkonfigurieren" bedeutet, entscheidet, ob eine fünfzehn Jahre alte Antwort übernommen werden darf.

Die Werkzeuge selbst sind Zeitdokumente. scacl.exe erschien als Freeware für Windows NT und Windows 2000 und wird nicht gepflegt; auf einem aktuellen System sind sc, PowerShell oder eine Sicherheitsrichtlinie der unterstützte Weg. Ein Detail hält viele auf, bevor sie überhaupt beim Deskriptor ankommen: sc erwartet den Schlüsselnamen des Dienstes, nicht den Anzeigenamen aus der Konsole. sc sdshow Spooler funktioniert, sc sdshow "Druckwarteschlange" nicht, und die Meldung sagt, der Dienst existiere nicht, statt dass von zwei Namen der falsche gewählt wurde.