Как получить доступ к компьютеру после отключения учетной записи администратора

В этой статье описывается, как получить доступ к компьютеру на основе Microsoft Windows Server 2003 с помощью учетной записи администратора после отключения локальной учетной записи администратора.

Исходная версия продукта: Windows Server 2003
Исходный номер КБ: 814777

Аннотация

Для отключения локальной учетной записи администратора можно использовать Windows Server 2003. Эта функция включена для обеспечения дополнительного уровня безопасности в организации. Кроме того, установка служб удаленной установки (RIS) по умолчанию отключает учетную запись локального администратора на компьютере назначения.

Вход в Windows в безопасном режиме

Чтобы войти в Windows с помощью отключенной локальной учетной записи администратора, запустите Windows в безопасном режиме. Даже если учетная запись администратора отключена, вход с учетной записью администратора в безопасном режиме не предотвращается. После успешного входа в безопасный режим повторно вйдите в учетную запись администратора и снова войдите в систему. Для этого выполните следующие действия:

1. Запустите компьютер и нажмите клавишу F8 после завершения самостоятельного тестирования Power On (POST).
2. В меню «Дополнительные параметры Windows» выберите «Безопасный режим» с помощью клавиш СТРЕЛКА, а затем нажмите клавишу ВВОД.
3. Выберите операционную систему, которую нужно запустить, и нажмите ввод.
4. Войдите в Windows с учетной записью администратора. Если вам будет предложено сделать это, щелкните, чтобы выбрать элемент в списке «Почему компьютер неожиданно закрылся» и нажмите кнопку «ОК».
5. В сообщении о том, что Windows работает в безопасном режиме, нажмите кнопку «ОК».
6. Щелкните «Начните», щелкните правой кнопкой мыши «Мой компьютер» и выберите «Управление».
7. Разйдите «Локальные пользователи и группы», щелкните «Пользователи», щелкните правой кнопкой мыши «Администратор» в правой области и выберите «Свойства».
8. Щелкните, чтобы отключать учетную запись, а затем нажмите кнопку «ОК».

Если сервер является контроллером домена, локальные пользователи и группы недоступны в средстве управления компьютером. Чтобы включить учетную запись администратора, выполните следующие действия.

Переначните работу компьютера в безопасном режиме с поддержкой сети.

Войдите с учетной записью администратора.

Нажмите кнопку «Начните», нажмите кнопку «Выполнить», введите cmd и нажмите ввод.

Введите в командной строке следующую команду, а затем нажмите клавишу ВВОД:

Вход в Windows с помощью консоли восстановления

Консоль восстановления можно использовать для доступа к компьютеру, даже если учетная запись локального администратора отключена. Отключение локальной учетной записи администратора не помешает вам войти в консоль восстановления с учетной записью администратора.

Управление административными шарами (Admin$, IPC$, C$, D$) в Windows 10

Административные общие ресурсы (шары) используются в Windows для удаленного доступа и управления компьютером. Если открыть консоль управления компьютером ( compmgmt.msc ), развернуть секцию System Tools -> Shared Folders -> Share (Общие папки -> Общие ресурсы) или выполнить команду net share , вы увидите список административных общих папок (эти папки скрыты в сетевом окружении и доступ к ним ограничен).

По-умолчанию Windows создает следующие админ шары:

• Admin$ — Remote admin (это каталог %SystemRoot%)
• IPC$ — Remote IPC (используется в named pipes)
• C$ — Default Share

Если на компьютере имеются другие разделы, которым назначена буква диска, они также автоматически публикуются в виде административных шар ( D$ , E$ и т.д.). Если вы предоставляете общий доступ к принтеру, то должна быть шара Print$ или FAX$ — при использовании факс-сервера.

Обратите внимание, что имена общих административных шар заканчиваются знаком $. Этот знак заставляет службу LanmanServer скрывать данные SMB ресурсы при доступе по сети (конкретные файлы и папки в общем сетевом каталоге можно скрыть с помощью Access-Based Enumeration). Если вы попытаетесь в проводнике отобразить список доступных на компьютере сетевых папок ( \\computername ), вы не увидите их в списке доступных общих SMB каталогов.

Можно получить список доступных административных шар на удаленном компьютере с помощью команды:

net view \\computername /all

Чтобы открыть содержимое административной шары из File Explorer, нужно указать ее полное имя. Например, \\computername\c$ . Данная команда откроет содержимое локального диска C и позволит вам получить полноценный доступ к файловой системе системного диска удаленного компьютера.

Получить доступ к административным шарам могут только члены локальной группы администраторов компьютера (и группы Backup Operators) при условии, что у вас включен SMB протокол, общий доступ (Turn on file and printer sharing) и доступ по 445 порту TCP не блокируется Windows Defender Firewall.

Как отключить/включить административные шары в Windows 10?

Административные шары Windows удобны для удаленного администрирования компьютера, но несут дополнительные риски безопасности (Как минимум не стоит использовать одинаковый пароль локального администратора на всех компьютерах. Чтобы сделать пароли уникальными, используйте LAPS). Вы можете полностью запретить Windows создавать эти скрытые ресурсы.

Самый простой способ – щелкнуть правой кнопкой мыши по имени административного ресурса в оснастке управления компьютером и выбрать Stop sharing (или использовать команду net share IPC$ /delete ). Однако после перезагрузки Windows она пересоздастся автоматически.

Чтобы запретить Windows публиковать административные шары, нужно открыть редактор реестра regedit.exe, перейти в ветку реестра HKLM\System\CurrentControlSet\Services\LanmanServer\Parameters и добавить Dword параметр с именем AutoShareWks (для десктопных версий Windows) или AutoShareServer (для Windows Server) и значением 0.

Можно создать это параметр реестра вручную, из командной строки reg add или через PowerShell:

reg add HKLM\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters /f /v AutoShareWks /t REG_DWORD /d 0

New-ItemProperty -Name AutoShareWks -Path HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters -Type DWORD -Value 0

Теперь после перезагрузки административные шары не будут создаваться. При этом перестанут работать утилиты удаленного управления компьютером, в том числе psexec.

Если вы хотите включить админские шары, нужно изменить значение параметра на 1 или удалить его.

Set-ItemProperty -Name AutoShareWks -Path HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters -Value 1

Чтобы Windows пересоздала административные шары, достаточно перезапустить службу Server командой:

Разрешаем удаленный доступ к административным шарам Windows 10

При работе с административными шарами Windows на компьютере, который не добавлен в домен Active Directory (состоит в рабочей группе) есть одна важная особенность. Windows 10 блокирует удаленный доступ к дефолтным административным шарам под пользователем, входящим в группу локальных администраторов. Причем под учетной записью встроенного локального администратора (по умолчанию она отключена) такой доступ работает.

Немного подробнее как выглядит проблема. Я пытаюсь с удаленного компьютера обратится к встроенным административным ресурсам компьютера Windows 10, состоящего в рабочей группе (при отключенном файерволе) таким образом:

В окно авторизации ввожу имя и пароль учетной записи, состоящей в группе локальных администраторов Windows 10, на что появляется ошибка доступа (Access is denied). При этом доступ к общим сетевым каталогам и принтерам на Windows 10 работает нормально (компьютер виден в сетевом окружении). Доступ под встроенной учетной записью administrator к административным ресурсам при этом тоже работает. Если же этот компьютер включить в домен Active Directory, то под доменными аккаунтами с правами администратора доступ к админским шарам также не блокируется.

Дело в еще одном аспекте политики безопасности, появившемся в UAC – так называемом Remote UAC (контроль учетных записей для удаленных подключений), который фильтрует токены доступа локальных записей и аккаунтов Microsoft, блокируя удаленный административный доступ под такими учеткам. При доступе под доменным аккаунтом такое ограничение не применяется.

Отключить Remote UAC можно путем создания в системном реестре параметра LocalAccountTokenFilterPolicy

1. Откройте редактор реестра (regedit.exe);
2. Перейдите в ветку реестра HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System ;
3. Создайте новый параметр типа DWORD (32-bit) с именем LocalAccountTokenFilterPolicy;
4. Установите значение параметра LocalAccountTokenFilterPolicy равным 1;
5. Для применения изменений потребуется перезагрузить компьютер

reg add «HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System» /v «LocalAccountTokenFilterPolicy» /t REG_DWORD /d 1 /f

После перезагрузки попробуйте удаленно открыть административный каталог C$ на Windows 10 компьютере. Авторизуйтесь под учетною записью, входящей в группу локальных администраторов. Должно открыться окно проводника с содержимым диска C:\.

Итак, мы разобрались как с помощью параметра LocalAccountTokenFilterPolicy разрешить удаленный доступ к скрытым админ-ресурсам для всех локальных администраторов компьютера Windows. Инструкция применима также к Windows 8.1, 7 и Windows Server.

Общий доступ к файлам Windows Windows file sharing

Для перемещения файлов на устройство и с него можно использовать общий доступ к файлам Windows. You can use Windows file sharing to transfer files to and from your device.

Доступ к файлам с помощью общего доступа к файлам Windows Accessing your files using Windows file sharing

Сервер общего доступа к файлам на устройстве Windows IoT базовая запускается автоматически при загрузке. The file sharing server on your Windows IoT Core device starts automatically on boot. Для подключения к нему требуется IP-адрес устройства. In order to connect to it, you need the IP address of your device. IP-адрес можно найти в приложении по умолчанию, которое загружается при запуске устройства. You can find the IP address on the default app that boots when your device starts.

Получив IP-адрес, откройте проводник на компьютере и введите \\ \c$ , где — это имя или IP-адрес устройства Windows IOT базовая, а затем нажмите клавишу ВВОД. Once you have the IP, open up File Explorer on your computer and type \\ \c$ , where is either the name or the IP Address of your Windows IoT Core device, then hit Enter.

При появлении запроса введите имя пользователя и пароль администратора. Enter your administrator username and password if prompted. Имя пользователя должно иметь префикс с IP-адресом устройства Windows IoT базовая. The username should be prefixed with the IP Address of your Windows IoT Core device. Пример: username: 192.168.1.118\Administrator пароль: . Example: Username: 192.168.1.118\Administrator Password: .

• Теперь вы можете получить доступ к файлам на устройстве, используя общий доступ к файлам Windows. Now you can access the files on your device using Windows file sharing.

Запуск и остановка сервера общего доступа к файлам Starting and stopping the file sharing server

Подключитесь к устройству с помощью PowerShell или SSH. Connect to your device through PowerShell or SSH.

По умолчанию сервер совместного использования файлов запускается при загрузке устройства. By default the file sharing server is started when the device is booted.

Чтобы отключить сервер общего доступа к файлам, введите net stop Server /y To stop the file sharing server, type net stop Server /y

Чтобы запустить сервер общего доступа к файлам, введите net start Server To start the file sharing server, type net start Server

Отключение и включение сервера общего доступа к файлам при запуске Disabling and enabling the file sharing server on startup

Подключитесь к устройству с помощью PowerShell или SSH. Connect to your device through PowerShell or SSH.

По умолчанию сервер совместного использования файлов запускается при загрузке устройства. By default the file sharing server is started when the device is booted.

Чтобы отключить сервер совместного использования файлов, чтобы он не запускался при запуске устройства, введите reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\lanmanserver /v Start /t REG_DWORD /d 0x3 /f To disable the file sharing server so that it does not start when the device starts, type reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\lanmanserver /v Start /t REG_DWORD /d 0x3 /f

Чтобы включить сервер общего доступа к файлам, который запускается при запуске устройства, введите reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\lanmanserver /v Start /t REG_DWORD /d 0x2 /f To enable the file sharing server, so that starts when the device starts, type reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\lanmanserver /v Start /t REG_DWORD /d 0x2 /f