Newsgroup: it.comp.os.win.win2000
Titolo: URGENTE e DIFFICILE - netsh.exe da web

Salve
ho un problema urgente e incasinato.
io da web su pagina PHP (O/S Win 2003 Standard + IIS6 + MySQL)
lancio un comando che mi deve eseguire due comandi netsh sul server web in
modo da creare due interfacce.
tutto ufficialmente va bene tranne che le interfacce non vengono create
vedo questo nell'event log:
Event Type: Failure Audit
Event Source: Security
Event Category: Object Access
Event ID: 560
Date:  10/1/2003
Time:  4:14:27 PM
User:  VIKING\IUSR_VIKING
Computer: VIKING
Description:
Object Open:
  Object Server: SC Manager
  Object Type: SC_MANAGER OBJECT
  Object Name: ServicesActive
  Handle ID: -
  Operation ID: {0,12792924}
  Process ID: 816
  Image File Name: C:\WINDOWS\system32\services.exe
  Primary User Name: VIKING$
  Primary Domain: RETE-INTERNA
  Primary Logon ID: (0x0,0x3E7)
  Client User Name: IUSR_VIKING
  Client Domain: VIKING
  Client Logon ID: (0x0,0x915B9D)
  Accesses: DELETE
   READ_CONTROL
   WRITE_DAC
   WRITE_OWNER
   Connect to service controller
   Create a new service
   Enumerate services
   Lock service database for exclusive access
   Query service database lock state
   Set last-known-good state of service database
  Privileges: -
  Restricted Sid Count: 0
  Access Mask: 0xF003F
For more information, see Help and Support Center at
http://go.microsoft.com/fwlink/events.asp
.
--------
e:
Event Type: Failure Audit
Event Source: Security
Event Category: Object Access
Event ID: 560
Date:  10/1/2003
Time:  4:13:12 PM
User:  VIKING\IUSR_VIKING
Computer: VIKING
Description:
Object Open:
  Object Server: SC Manager
  Object Type: SC_MANAGER OBJECT
  Object Name: ServicesActive
  Handle ID: -
  Operation ID: {0,12762330}
  Process ID: 816
  Image File Name: C:\WINDOWS\system32\services.exe
  Primary User Name: VIKING$
  Primary Domain: RETE-INTERNA
  Primary Logon ID: (0x0,0x3E7)
  Client User Name: IUSR_VIKING
  Client Domain: VIKING
  Client Logon ID: (0x0,0x915B9D)
  Accesses: DELETE
   READ_CONTROL
   WRITE_DAC
   WRITE_OWNER
   Connect to service controller
   Create a new service
   Enumerate services
   Lock service database for exclusive access
   Query service database lock state
   Set last-known-good state of service database
  Privileges: -
  Restricted Sid Count: 0
  Access Mask: 0xF003F
For more information, see Help and Support Center at
http://go.microsoft.com/fwlink/events.asp
.
..................
come risolvo?
che privilegi devo dare?
grazie

Direi che il problema č legato all'utenza che viene impersonificata dal
server web per eseguire l'operazione, dovresti impostargli un utenza con
maggiori privilegi oppure dare piů privilegi a :
 IUSR_VIKING
Prova cosě
Ciao

si ma su che cosa devo dare privilegi?
su netsh.exe i privilegi sono di leggi e esegui
e su services? ho provato a mettere ontrollo completo ma non va lo stesso
come posso farE?

Ciao
Devi garantirgli come user i dirittti a modificare le impostazioni di rete!!
Local securtiyt policy> User Right Assignment.

scusami non la trovo
mi dai na mano?
:P

Caspita hai ragione non è una delle voci presente nelle impostazioni locali
di sicurezza ( chissa che cosa avevo visto), credo che l'unica possibilità
sia dare all'utente di cui sopra i diritti di power user, che dovrebbe poter
modificare le impostazioni di rete.
Non mi ricordo, ma vevo avuto un prob simile per lo spegnimento di un server
via web.
Ciao

allora faccio mettere IUSR parte del gruppo power users?... cazz
ad ogni modo
se trovi l'impostazione fammi sapere - SUPPORT DOVE 6 ?

e se lo faccio mettere parte dei NETWORK OPERATORS ?
che ne pensi?

se il gruppo hai i diritti di modificare le impostazioni di rete direi che č
ciň che ti serve.
Facci sapere.
Ciao

A questo punto direi di utilizzare la maniera empirica, ovvero prova, nelle
proprieta dell'IIS a cambiare l'utente impersonificato dall' IIS e a
metterne uno diverso, magari l'administrator, giusto per fare delle prove.
Inoltre potresti postare l'intero file di output per vedere che dice.
Ciao

 ha scritto nel messaggio
news:stReb.16426$Zh....@tornado.fastwebnet.it...


Ma anche quando lo utilizzi da prompt?
Prova come ti ho detto prima a cambiare utnete impersonificato da quel sito
dell' IIS.
l'utente IUSR... di solito ha ben pochi privilegi, quindi se lo cambi
potresti cambiare la situazione.
Ciao

    Set last-known-good state of service database
[...]
non ti č chiaro il problema? La soluzione, te lo dico subito, non c'č:
"[...]
Service Control Manager
The system creates the security descriptor for the SCM. Note that 
unlike most other securable objects, the security descriptor for the 
SCM cannot be modified.
[...]
Windows 2000 and earlier: The following access rights are granted.
Account          Access rights
=======================================================================
Everyone         SC_MANAGER_CONNECT
                 SC_MANAGER_ENUMERATE_SERVICE
                 SC_MANAGER_QUERY_LOCK_STATUS
                 STANDARD_RIGHTS_READ 
LocalSystem      SC_MANAGER_CONNECT
                 SC_MANAGER_ENUMERATE_SERVICE
                 SC_MANAGER_MODIFY_BOOT_CONFIG
                 SC_MANAGER_QUERY_LOCK_STATUS
                 STANDARD_RIGHTS_READ 
Administrators   SC_MANAGER_ALL_ACCESS 
[...]"
ma perchč, esattamente, non l'hai scoperto da solo?
-- 
  < 
http://www.reactos.com/
 >  Open source clone of Windows NT. Current
      Don't stand, REACT!      version 0.1.3. C, C++ and ASM developers
                               and beta testers are welcome!

 non ti č chiaro il problema? La soluzione, te lo dico subito, non c'č:
Ecco la gente che parla a sproposito
invece la soluzione c'č e funziona perfettamente
basta dare all'utente che accede al sito, accesso administrator impostando
in maniera precisa i permessi NTFS cosi un utente admin non sconfina
trovata la soluzione, č tanto semplice
ciaooooo

 non sconfina
ah, se credi bastino i permessi NTFS a limitare un Administrator, tanto 
meglio per te che risparmi tutto questo tempo, no?


bastano proprio
se nego le cose agli administrators e a quelli con privilegi inferioir

Ti sembrerà strano ma in questo NG non siamo tutti qui a perdere tempo per
"farti incazzare", anzi nessuno ti chiama in causa, nessuno sta parlando
direttamente con te quindi non vedo come tu ti possa incazzare!!!.
Inoltre se ritieni di essere così superiore potresti lasciar perdere questo
NG di utenti normali con problemi normali e postare invece su qualcosa tipo:
it.comp.gegni.assoluti.os.win2000

 Inoltre se ritieni di essere cosě superiore
stiamo parlando di *saper leggere*. Elia Spadoni mi fa un copia-incolla 
della risposta che sta cercando, io sospetto che lui non si sia neanche 
sforzato


no mica... ci ho lavorato dietro 3 giorni
avevo un servizio pubblico di tunnel broker ipv6 fermo a causa di sto
problema... che caso.. ora funziona perfettamente.
