Vídeo-Tutorial: RunAs Powerful - Script super poderoso

Objetivo: Quero demonstrar através deste tutorial como criar um script runas powerful, o que eu chamo de script super poderoso. Para entender melhor este conceito peço que você veja o nosso cenário.

Cenário: Atualmente você trabalha em uma empresa chamada Contoso Corp, a infra-estrutura é formada por 10 servidores e 500 usuários/estações, foi instalada uma aplicação nas estações de trabalho dos usuários na qual necessita ser executada com privilégio de administrador. Você é o administrador de redes desta empresa e está muito preocupado com esta situação, visto que você não deseja que nenhum dos usuários administrativos tenha este nível de privilégio nas estações de trabalho, o que fazer?

Talvez a resposta mais rápida e lógica fosse dar aos 500 usuários direitos de administrador local na suas estações.

Neste caso, resposta errada. Vou mostrar neste tutorial que com apenas com um usuário é possível resolver este cenário.

Pessoal, este tipo de cenário é muito comum, onde podemos observar que a equipe de tecnologia ou mesmo o profissional responsável pela infra-estrutura acaba concedendo um nível de privilégio ao usuário bastante perigoso.

Então aprenda neste tutorial como resolver esta situação de forma mais segura. Quero aproveitar e agradecer ao meu amigo Warley por esta dica.

1º Vamos utilizar um aplicativo chamado Autohotkey, é gratuito pode ser baixado no seguinte link http://www.autohotkey.com/download/ com este aplicativo podemos criar um script com o notepad por exemplo e transformá-lo em .exe, muito interessante.

Segue abaixo as imagens de instalação do aplicativo:
Execute o instalador:

Clique em "Next":

Clique em "I Agree"

 
Deixa somente as opções marcadas conforme a imagem, depois clique em "Next".

Por padrão o aplicativo é instalado no diretório C:\Arquivos de Programas\Autohotkey, deixe assim e depois clique em "Next".

Aguarde a cópia dos arquivos:

Clique em "Finish":

2º Acesse o help do aplicativo para conhecer os parâmetros que podemos utilizar no nosso script.

Repare que existe várias opções, para o nosso exemplo clique na guia search (pesquisar).

Digite no campo a instrução RUNAS e dê um Enter, o primeiro tópico retornado será o que nós iremos utilizar.

Ao abrirmos o tópico, segue as instruções de como utilizar a o comando RUNAS, veja também que o programa já traz um exemplo utilizando RUNAS, junto com o comando RUN.

Com o comando RUNAS definimos o usuário e senha que queremos executar a aplicação, com o comando RUN definimos o caminho da aplicação.

 Voltando ao nosso cenário, vamos agora criar o script que será executado nas 500 estações de trabalho. Uma prática recomendada neste tipo de situação é criarmos uma conta de usuário no AD. Vamos criar com o nome services e com a senha password.1. Agora precisamos permitir que esta conta seja administrador local nas estações de trabalho. A observação que faço neste momento é que você também pode executar a aplicação com a conta de administrador local das estações, veja o que melhor se aplica no seu cenário.

Para permitir que a conta services seja administrador local, vamos criar um grupo no AD chamado GG-SERVICES. Após criar o GRUPO adicione a conta services como membro deste grupo.

 

Vamos criar uma GPO , vamos aplicar na OU dos DESKTOPS como mostra a imagem abaixo, utilizando a opção Restricted Groups, nesta opção vamos definir que o grupo GG-SERVICES irá fazer parte do grupo de administrador local das estações.

Escolha o grupo conforme a imagem e clique ok.

Na próxima janela que se abre escolha a primeira opção e clique em adicionar:

Agora adicione o grupo GG-SERVICES criado anteriormente, adicione também o grupo DOMAIN ADMINS caso não esteja presente. Clique em Apply e depois em OK.



Sua imagem deve ficar parecida com essa.

Agora podemos criar o script, para isso abra o notepad e digite o seguinte comando:

;
; Aplicativo
; Desenvolvido por: Leonardo
; Platforma: Windows XP
;
;O ponto e virgula podem ser usados para comentário
;services - a conta que criamos no AD
;password.1 - refere-se ao password da conta services
;contoso - o nome do nosso domínio

RunAs, services, password.1, contoso

; Na linha abaixo vamos executar o aplicativo CCleaner
; No caminho C:\windows\temp devemos informar caso a aplicação necessite criar arquivos temporarios durante a execucação
; Depois uso a variavel ErrorLevel caso dê algum erro ele nos informa

Run, C:\Arquivos de programas\CCleaner\CCleaner.exe, c:\windows\temp, Max UseErrorLevel

if ErrorLevel = Error
                Msgbox Entre em contato com o Administrador
runas

; Fim do script

Agora salve o script com a extensão .ahk (essa extensão é utilizada pelo autohotkey).

Nosso Exemplo: Teste.ahk

Agora após salvar o arquivo ele deverá ter esse formato, como mostra a imagem abaixo:

Depois vamos clicar com o botão direito em cima do arquivo e escolher a opção compile script:

Seu script vai ser transformado em teste.exe, veja:

Agora basta você copiar este arquivo para suas estações. Vamos executar o script teste.exe e veja o que acontece: O usuário paulo.souza não tem privilégio de administrador, consegue executar o aplicativo com privilégio através da conta services.

Observação: Como a conta que nós estamos utilizando para executar o aplicativo faz parte do domínio, fique ligado caso a senha seja alterada, se isto acontecer você vai ter que editar o script, compilar e copiar novamente para as estações.

Publiquei o vídeo deste tutorial no seguinte link:

http://www.youtube.com/watch?v=uyKYYk8ZJxE

Bons estudos e até mais!

Clique aqui para voltar ao início da página