Newsgroup: it.comp.os.win.win2000
Titolo: Aggiungere e modificare accounts da prompt

Salve
sto facendo dei test x evitare di usare il + possibile la GUI di windows
aggiungo utente:
net user username pass /add
lo adda al gruppo users.
neet user username /delete
deleta l'utente.
come posso da prompt senza usare un RK, modificare i privilegi?
ho win 2003.
per XP ci sono utilites freeware?
grazie
ciao
in pratica ho bisogno di creare un utente administrator da prompt.
si possson assegnare privilegi SYSTEM sugli utenti?
grazie

 deleta l'utente.
net user Giovanni /add /fullname:"Giovanni Pascoli"
net localgroup Administrators Giovanni /add
Se hai un domain controller puoi usare anche
    net group Administrators Giovanni /add
con altri opzioni imposti anche il commento, scadenza password ecc...
HTH, James

Grazie James, lo ero riuscito a trovare anche io ieri sera girando e girando
:))
grazie cmq



 si possson assegnare privilegi SYSTEM sugli utenti?
Sempre dalla riga di comando?
Per quanto ne so Io, solo con il programma aggiuntivo del Resource Kit
chiamato "NTRights.exe".
Se cerchi un po lo trovi...
Con questo puoi impostare anche System.
Vedi uno pò qui...
http://support.microsoft.com/default.aspx?scid=kb;EN-US;279664
James

Ciao ho anche io ntrights ma non riesco a dare privilegi SYSTEM.

 Ciao ho anche io ntrights ma non riesco a dare privilegi SYSTEM.
Forse non capisco cosa intendi per SYSTEM.
Avevo capito "Act as part of the operating system", in questo caso il
comando sarebbe
    NTRights -u "James" +r SeTcbPrivilege
Se non è questo, allora dimmi come lo fai dal GUI poi vediamo che comando
serve...
James

non lo faccio da gui è quello il fatto
però so che molti exploit ottenevano sta cosa come privilege escalation
e riuscivano ad agire come LOCALSYSTEM


si. ok. Questi exploit però non aumentono i privilege dell'utente loggato.
Usano dei callback e altri trucchi per convincere un service (esempio un
antivirus) che gira sotto username "LocalSystem" ad eseguire il loro codice.
"LocalSystem è un account , *non* un privilege.
L'account "LocalSystem" (secondo SDK Microsoft) ha questi privilege:
SE_ASSIGNPRIMARYTOKEN_NAME
SE_AUDIT_NAME
SE_BACKUP_NAME
SE_CHANGE_NOTIFY_NAME
SE_CREATE_PAGEFILE_NAME
SE_CREATE_PERMANENT_NAME
SE_CREATE_TOKEN_NAME
SE_DEBUG_NAME
SE_INC_BASE_PRIORITY_NAME
SE_INCREASE_QUOTA_NAME
SE_LOAD_DRIVER_NAME
SE_LOCK_MEMORY_NAME
SE_PROF_SINGLE_PROCESS_NAME
SE_RESTORE_NAME
SE_SECURITY_NAME
SE_SHUTDOWN_NAME
SE_SYSTEM_ENVIRONMENT_NAME
SE_SYSTEM_PROFILE_NAME
SE_SYSTEMTIME_NAME
SE_TAKE_OWNERSHIP_NAME
SE_TCB_NAME
SE_UNDOCK_NAME
NTRights non assegna tutti questi....
Mi domando però perche un utente abbia bisogno di questi diritti?
Non sarebbe meglio scrivere un servizio che gira proprio sotto l'account di
LocalSystem?
James

 "LocalSystem è un account , *non* un privilege.


 can you help mE?
Maybe...
Sicuro che system lo permette? Anche da telnet? Vediamo...
Ho messo insieme qualche riga di programma che non fa altro che lanciare
"CMD.EXE", ma non con l'utente loggato: con l'account "SYSTEM".
Quindi hai un prompt dei comandi con i privilege "SYSTEM".
Se hai XP, con task manager puoi verificare che CMD e qualsiasi processo
lanciato da CMD gira con account utente "SYSTEM".
Se questo ti da la possibilità di fare quello che devi fare - bene. L'ho
provato solo su Windows Xp :-) e sembra funzionare anche in una sessione
telnet...
Nota che per utilizzare questo programma devi avere settato questi privilege
nel tuo account:
    SeTcbPrivilege
    SeChangeNotifyPrivilege
    SeIncreaseQuotaPrivilege
    SeAssignPrimaryTokenPrivilege
Si possono modifcare anche dalla sessione telnet, ma occorre fare
logoff/logon dopo averli modificati
Trovi il programma qui (e sorgente se interessa), se funziona mio ftp:
ftp://minns.dynu.com
Non garantisco niente, e chiaramente dovresti fare le prove su un PC di
prova.
James

Ciao James,
sembrerebbe funzionanare la tua idea.
ti spiego: esattamente come in IIS5 quando c'era l'elevamento di privilegi
uno poteva da prompt, con privilegy SYSTEM, andare a girare nei files
normalmente bloccati x qualunque user (tipo i files SAM per intenderci).
Io appunto devo realizzare aprire un prompt con quei privilegi per fare dei
test di security. Voglio vedere un account da prmpot con i massimi privilegi
se non lo si riesce a fermare dopo la compomissione di un servizio suun
server iwndows