Распространение файла реестра на компьютеры в домене [Версия для КПК]

Показать полную графическую версию : Распространение файла реестра на компьютеры в домене

admiForever

14-12-2009, 21:02

Здравствуйте, уважаемые участники конференции. У меня возник вопрос по распространению небольшого файла реестра на компьютеры в домене. Контроллер вин2003, все компы винХР. Как это сделать?
Файл будет составлен по 4-м первым пунктам отсюда (http://virusinfo.info/showpost.php?p=205712&postcount=1) (для отключения автозагрузки), т е он будет распространяться только на ветку HKLM. Сначала думал сделать это через ADM-файл, но потом подумал - и понял, что значения параметров реестра все равно должны быть жестко зафиксированы (чтобы полностью отключить автозагрузку), поэтому смысла создавать его нет, т к он нужен обычно для выбора разных значений какого-то параметра в групповых политиках.

stolyar

15-12-2009, 06:37

распространению небольшого файла реестра на компьютеры в домене »
Через политику безопасности. Создай батник на запуск этого reg-файла.

monkkey

15-12-2009, 10:35

Создай батник на запуск этого reg-файла. »
И поместите его в скрипты, исполняемые при старте компьютера в групповой политике нужного OU.

minusodin

15-12-2009, 23:18

А можно сделать что бы reg-файл запускался только один раз, а при следующих загрузках только проверялось бы наличие в реестре параметров созданных reg-файлом?

stolyar

16-12-2009, 07:45

при следующих загрузках только проверялось бы наличие в реестре параметров созданных reg-файлом? »
Он будет запускаться и заменять параметры этого ключа, или создавать ключ в случае его отсутствия.

admiForever

16-12-2009, 10:16

Спасибо я попробую. Еще вопрос - я поставил веткам в реестре:
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Cdrom
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\IniFileMapping\Autorun.inf
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\AutoplayHandlers\CancelAutopla y\Files
на которые и будет распространяться действие скрипта, разный доступ разным группам пользователей - "Пользователям домена" и "SYSTEM" только для чтения, "Администраторам домена" полный. Тоже самое сделал и с ветками:
MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run
Это правильно?

monkkey

16-12-2009, 11:59

"SYSTEM" только для чтения, »
При загрузке реестр не изменится. У этой записи всегда и везде должен быть полный доступ. Ветка относится к HKLM, а Вы про пользователей почему-то говорите. Пользователи идентифицируются ПОСЛЕ загрузки компьютера и веток реестра HKLM.

admiForever

16-12-2009, 16:32

Ветка относится к HKLM, а Вы про пользователей почему-то говорите »
Вы не поняли. Мне важно, чтобы пользователи после входа в винду не могли менять значение этих веток. Другими словами - чтобы вирусы от имени пользователей не могли ничего изменить.
Про запись SYSTEM тот же вопрос. Спрашиваю потому, что опасаюсь, что какой-нибудь вирус сможет запустится от имени SYSTEM. Т е надо или не надо запрещать этой записи доступ на модификацию этих веток? Вот как я сделал:
http://s50.radikal.ru/i129/0912/7a/ba459411346ct.jpg (http://radikal.ru/F/s50.radikal.ru/i129/0912/7a/ba459411346c.jpg.html)

minusodin

16-12-2009, 18:13

и заменять параметры этого ключа » Заменять только в случае если они отличаются ?

stolyar

16-12-2009, 20:27

Заменять только в случае если они отличаются ? »
Да. Или не существуют вообще.
Кстати, в батнике обязательно укажи ключ /S, чтобы не было запроса у пользователя о запуске рег-файла:

regedit /s "<имя_файла>.reg"

тогда все будет проходить в фоновом режиме, не видном пользователю, так же как при запуске скрипта.

minusodin

16-12-2009, 23:36

stolyar, спасибо.
А не скажите как в батнике лучше сделать определение версии OC (2000, XP, 2003) ?

monkkey

17-12-2009, 09:16

А не скажите как в батнике лучше сделать определение версии OC (2000, XP, 2003) ? »
Никак. Реестр одинаковый REGEDIT 5

admiForever

18-12-2009, 19:14

Так может кто-нибудь ответит на мой вопрос? Если ли смысл запрещать записи SYSTEM редактирование этих веток реестра?

Ivan Bardeen

19-12-2009, 08:41

Если ли смысл запрещать записи SYSTEM редактирование этих веток реестра? »
Вообще-то нет.
Отключите автозапуск в политиках и раздайте пользователям минимально нужные права на компьютерах. Зловреды в этом случае будут запускаться от имени ограниченной учетки пользователя и не смогут произвести своих деструктивных действий.
И microsoft таки не зря предупреждает, что никогда не модифицируйте реестр, если только это не средство последней возможности. В вашем случае возможностей защититься от вирусов предостаточно.

stolyar

19-12-2009, 08:48

Никак. Реестр одинаковый REGEDIT 5 »
Может быть в начале кода рег-файла если написать:

Windows Registry Editor Version 5.0 - то это для XP/2003, а для 2000 пишется в начале:
Regedit 4

или не так?..

admiForever

19-12-2009, 11:39

Отключите автозапуск в политиках »
Вообще-то, даже если так сделать, останется возможность запустить вирус с флешки двойным кликом по значку этой флешки. Но я нашел вот это: http://support.microsoft.com/kb/967715/ - должно решить проблему.
stolyar,
REGEDIT4
Именно так, большими буквами.