Der Admin darf nichts

[maschumacher]

Hallo,

ich habe hier einen Fremden Rechner, auf dem der Hauptbenutzer ohne Probleme arbeiten kann.
Wenn man sich aber als Administrator einloggt, kommt beim Versuch eine .exe, .bat, .com, oder .reg-Datei zu starten nur eine Dialogbox, wo man nach dem Programm gefragt wird, mit welchem man die Datei öffnen will (wie bei unbekannten Dateiendungen).

Zuerst habe ich an einen Virus gedacht und habe die Festplatte durch anklemmen an meinem Rechner überprüft. Ergebnis: 2x Negativ (Nod32 und Kaspersky Antivirus finden nichts).
Darauf habe ich dann mal die Registry von der Platte importiert und nachgeschaut, aber auch hier standen die korrekten Informationen.
Laut des Besitzers ist auf dem Rechner auch immer nur unter dem einen Benutzer gearbeitet worden.

Wie kann ich dem Admin wieder zu seinen Rechten verhelfen, ohne Windows und alle benötigten Anwendungen wieder neu zu installieren?

Kann das Problem ggf. durch eine Policy-Einstellung entstanden sein? Da laut den Angaben des Besitzers schon mal Safe-XP (Theorica Software) auf dem Rechner benutzt wurde.
Wenn ja, wie entferne ich die Policy?

Gruß,
Markus

[P3nnY]

You cannot open files that have extensions such as .exe, .com, and .lnk on a Windows XP-based computer
cannot run .EXE, .COM, or .REG files - Error

[Hei-ko]

> ist auf dem Rechner auch immer nur unter dem einen Benutzer gearbeitet worden

Wenn der Admin keine persönl. Einstellungen hat, dann wird es wohl das Einfachste sein, ein neues Adminprofil (Computeradministratorkonto) zu erstellen, sich damit anzumelden und nach erfolgreichem Test das defekte Adminprofil zu entfernen.

> Kann das Problem ggf. durch eine Policy-Einstellung entstanden sein?

Natürlich könnten Policies eine Rolle spielen - z.B. "Nur zugelassene Windows-Anwendungen ausführen" aber da gibt's (wie bei *.reg) auch 'nen Hinweis wenn keine ausreichende Berechtigung vorliegt.
(prüfe ggf. HKCU\Software\Microsoft\Windows\CurrentVersion\Pol icies\System)

Auch ein mittlerweile entfernter Virus kann da durchaus die Ursache sein - s. z.B. hier
In dem oder ähnl. Fällen (defekte/fehlerhafte Verknüpfungen) sollte der o.g. kb Artikel weiterhelfen

[maschumacher]

Hallo P3nnY,

danke für Deine Antwort! Aber wie oben beschrieben, habe ich die Festplatte auf Viren untersucht und auch die Registry auf die in dem Microsoft-Support-Artikel beschriebenen Einträge überprüft. Doch diese Einträge sind alle vorhanden und auch identisch.

Deshalb schon mein Gedanke, dass diese "Sicherheitssoftware" was in den Policy-Einstellungen des Administrators geändert hat. Nur wenn ja, wo?

Gruß,
Markus

[Hei-ko]

> Nur wenn ja, wo?

(prüfe ggf. HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System)

[maschumacher]

Hallo Hei-ko,

ich habe mal die Einträge des Administratorkontos überprüft. Hier das Resultat:

"DisableTaskMgr"=dword:00000000
"NoDispAppearancePage"=dword:00000000
"NoColorChoice"=dword:00000000
"NoSizeChoice"=dword:00000000
"NoDispBackgroundPage"=dword:00000000
"NoDispScrSavPage"=dword:00000000
"NoDispCPL"=dword:00000000
"NoVisualStyleChoice"=dword:00000000
"NoDispSettingsPage"=dword:00000000

Wenn ich das richtig sehe, ist auch hier alles in Ordnung.

> Wenn der Admin keine persönl. Einstellungen hat,
> dann wird es wohl das Einfachste sein, ein neues
> Adminprofil (Computeradministratorkonto) zu
> erstellen, sich damit anzumelden und nach
> erfolgreichem Test das defekte Adminprofil zu
> entfernen.
>
Meinst du damit das komplette Konto, oder nur den Ordner unter "C:\Dokumente und Einstellungen"?

Gruß und Dank,
Markus

[BuckFix]

Zitat:
Meinst du damit das komplette Konto, oder nur den Ordner unter "C:\Dokumente und Einstellungen"?

Das ist doch dann nur noch Kosmetik.

[P3nnY]

Naja .. Kannst das Konto ja erstmal deaktivieren. Man muss ja nichts überstürzen

[maschumacher]

Hallo,

ich habe jetzt einen weiteren Benutzer mit Adminrechten erstellt und mich mit ihm versucht am System anzumelden. Das Resultat sieht wie beim Administrator aus; Kein Programmstart möglich.

Wieso darf der Hauptbenutzer der nur in der Gruppe Adminitratoren aufgenommen ist alles ausführen und ein neuer Benutzer mit Administratorenrechten nicht?

Gruß,
Markus

[BuckFix]

Da wird dieses nette Progrämmchen wohl an den Defaultprofileinstellungen rumgemacht haben.

[maschumacher]

Kann man das wieder rückgängig machen, und wenn ja, wie ?

Gruß,
Markus

[BuckFix]

Wenn das Programm selbst keine Möglichkeit zur Rückstellung der Änderungen bietet, wirst du dich da wohl "dumm und dämlich suchen" können.
Du kannst natürlich noch die Sicherung aus dem Ordner c:\windows\repair\ zurückspielen, allerdings verlieren damit auch die meisten anderen Programme ihre Einstellungen.
SO WIRD'S GEMACHT: Tipps und Tricks zur Registrierung (Registry) unter Windows XP Home Edition (Teil 5)

[leader]

Schau mal hier test.JPG so soll man da angeblich Einstellungen sichern und auch wieder rückgängig machen können.

[maschumacher]

Wenn man die Einstellungen vorher sichert, dann kann man die auch wieder zurückspielen, das ist korrekt. Aber wie soll es auch anders sein, laut Murphys Gesetzt („Alles, was schiefgehen kann, wird auch schiefgehen“), liegt eine solche Kopie leider nicht vor, bzw. wurde nie erstellt .
Ich glaube, da werde ich dann wohl um eine Neuinstallation nicht herumkommen.

Gruß,
Markus

[leader]

Was ist denn mit der letzten Option "Recover back to the state of the first run"?

Der Urzustand müsste doch eigentlich automatisch gesichert werden, zumindest bei einem guten Tool.

[maschumacher]

Habe die Option auch mal probiert, aber da passier nichts. Habe mich danach mal als Admin angemeldet und der selbe "Öffnen mit..."-Dialog war zu sehen.
Was sich allerdings wohl geändert hat, das sind die Einträge im Autostart. Für die Dateien (2 Stück) erscheint nicht der "Öffnen mit..."-Dialog sondern der Dialog des Programms UNLOCKER. Welches komischerweise ohne Probleme und "Öffnen mit..."-Dialog startet.

Ob das jetzt ein Vorteil ist (bessere Suchmöglichkeit)?

Gruß,
Markus

[BuckFix]

Überprüfe das hier nochmal:
Nur bestimmte Anwendungen zum Ausführen freigeben

[maschumacher]

Hallo BuckFix,

ich habe die Policie-Einstellungen überprüft, aber da war keine Beschränkung.

Deshalb habe ich mal die Dateien auf meinem Computer und die auf dem Fremdrechner im Windows-Ordner verglichen. Stimmten die Versionsnummern überein, habe ich auch deren Größe überprüft. Dabei habe ich bemerkt das die user32.dll genau 327 Byte größer war als auf meinem Rechner.
Ich habe die Datei darauf hin mit BartPE auf einen USB-Stick verschoben und gegen meine Version ausgetauscht.
Nach einem Neustart durfte der Admin dann auch wieder Programme starten.
Die augetauschte Datei habe ich dann nochmal durch NOD32 und Kaspersky überprüfen lassen.
Resultat: Kein Virus.
Ich habe die Datei deshalb beiden Softwareherstellern zukommen lassen.

Gruß,
Markus

[leader]

Na da bin ich ja mal gespannt was dabei rauskommt.

Sauber von dir gelöst würde ich sagen.

[maschumacher]

Ob die sich überhaupt melden?
Bisher habe ich von so etwas, (sei es nun Fehlerberichte die man zurück sendet, etc.) nie ein Feedback bekommen.

Gruß,
Markus

[leader]

Traurig genug.
Es bleibt ja aber auch die Frage, ob es überhaupt mit Virus u.s.w. zusammenhängt.

Der Rechner ist wieder ok und das zählt.

[maschumacher]

So, Kaspersky hat sich heute bei mir per eMail gemeldet.
Die von mir übermittelte user32.dll war wohl mal verseucht und von einem Antivirenprogramm desinziziert worden. Dabei ist wohl die Wiederherstellung der Datei nicht ganz gelungen (was dann zu diesem Problemen führte).

Na ja, jetzt läuft es ja wieder und an ein Backup des Systems sollte nun auch regelmäßig dran gedacht werden (einige werden ja erst aus Fehler klug)!

Gruß,
Markus

[leader]

Siehst du...manchmal melden sie sich halt doch.

Danke für die Info.