Как запустить программу с ограниченными правами в Windows?

Категория: Технические советы

– Автор: Игорь (Администратор)

Зачем нужно запускать программы с ограниченными правами в Windows

В эти дни программ скрытой загрузки файлов, зараженных веб-сайтов и различных других вредоносных ловушек, приходится выстраивать многослойную оборону вашего компьютера. И до сих пор одним из основных средств борьбы остается запуск программ с ограниченными привилегиями в системе. Ведь чем меньше у программ прав, тем меньше бед она может натворить. Если вводить такое ограничение в целом для всей учетной записи, то это может существенно повлиять на удобство использования компьютера. Однако, если ограничить привилегии для отдельных программ - это может неплохо снизить общие риски, при этом не сильно потеряв в комфорте. И начинать нужно именно с тех программ, которые находятся на передовой. А именно с интернет-браузеров. Кроме ограничения привилегий, вы так же можете использовать для этих целей программу Sandboxie (см. обзор утилит для защиты браузера).

Несмотря на требования безопасности, все же иногда необходимо иметь возможность запустить одну и туже программу либо с ограниченными, либо с повышенными правами. Именно поэтому способ ограничения не должен жестко фиксировать права для программы. Рассмотренные в данной статье методы используют бесплатное программное обеспечение от Microsoft/Sysinternals, и не ограничивают возможность запуска программы от имени администратора. Эти методы, особенно, подойдут для Windows XP, который в отличии от Windows Vista/7 не предусматривает никаких средств защиты похожих на UAC. Обращаем ваше внимание на то, что эти программы лишь дополняют общие методы защиты (антивирусы, сканеры троянов, фаерволы и т.д.), и не могут полностью их заменить.

Примечание: За неимением средств по типу UAC, в Windows XP применялась практика создания двух учетных записей: администратора и опытного пользователя. 

Примечание: В первый раз когда вы будете использовать одну из этих программ, вам необходимо будет согласиться с Microsoft EULA. Все последующие запуски не будут требовать от вас подтверждения лицензии на использования. Еще раз напоминаем, что программы бесплатны. По большому счету, лицензия предусматривает защиту авторского права самих программ, нежели требования к пользователям. Тем не менее, ознакомиться с лицензией все же стоит.

Запускам программу с ограниченными правами утилитой PsExec в Windows

Psexec.exe является частью пакета утилит под названием PsTools, который можно загрузить с Microsoft по этой ссылке. Распакуйте содержимое в папку под названием PsTools в удобном для вас месте.

В целом, в комплекте достаточно много различных интересных инструментов, но в рамках данной статьи используется только psexec.exe.

Цитата с сайта Microsoft: Некоторые антивирусные сканеры сообщают, что одна или несколько из этих программ заражены вирусом «remote admin». Ни одна из программ, входящих в набор PsTools, не содержит вирусов, но они использовались вирусами, что и приводит к появлению таких предупреждений.

Основное назначение Psexec.exe - это удаленный запуск приложений. Тем не менее, утилиту так же можно использовать для того, чтобы создать ярлык для запуска программы с пониженными привилегиями. Таким образом, вы легко можете создать два ярлыка для программы: с ограниченными правами и с правами администратора. Инструкция по созданию ярлыка с ограниченными правами:

1. Щелкните правой кнопкой мыши на рабочем столе
2. Выберите "Создать" -> "Ярлык"
3. В поле "Укажите расположение объекта" введите:
   "{Путь1}\PsTools\psexec.exe" -l -d "{Путь2}\ваша-программа.exe"
   Заполните {Путь1} и {Путь2} в соответствии с реальным расположением папок и файла, а так же замените "ваша-программа" на название файла нужной программы
4. Нажмите "Далее"
5. Нажмите "Готово"

PsExec имеет интерфейс командной строки, поэтому при запуске ярлыка вы увидите, как мигнет окно с консолью.

Одним из распространенных применений этого метода является запуск Internet Explorer с ограниченными правами в Windows XP. IE8 включает в себя защищенный режим в Vista/7, но не в Windows XP. Если предположить, что папку PsTools вы скопировали в папку "Program Files", то при создании ярлыка для IE в пункте 3 можно использовать следующую строчку:

• “c:\program files\PsTools\psexec.exe” -l -d “c:\program files\internet explorer\iexplore.exe"

Такого рода ярлыки можно создавать абсолютно для любых программ. Так что если у вас возникают сомнения по поводу какой-либо из ваших программ, то вы всегда можете попробовать запустить ее при помощи ярлыка, и посмотреть на то, как программа будет реагировать.

Если вы не планируете использовать весь пакет PsTools, то вы можете скопировать файл psexec.exe в папку Windows. Тогда вам не придется прописывать "{Путь1}", так как путь до Windows является одним из путей для поиска и запуска программ.

PsExec так же можно использовать в Windows Vista/7, но только с правами администратора. Это может вас несколько сбить с толку, так как программа должна понижать привилегии, а не требовать. Но, тем не менее, это вполне логично с точки зрения системы.

Примечание: Для того чтобы изменить объекты безопасности, PsExec необходимы будут права администратора (иначе любой бы мог менять права). Поэтому получается следующая последовательность: "запускается PsExec с правами администратора" -> "PsExec создает процесс с пониженными правами" -> "PsExec запускает программу в процессе с пониженными правами". Для случая Windows XP это незаметно, так как по умолчанию все программы запускаются с полными правами текущего пользователя.

Запускаем программу с пониженными правами из Process Explorer в Windows

Еще одна бесплатная утилита от Microsoft/Sysinternals, которая позволяет запускать приложения с ограниченными правами. Process Explorer (скачать здесь). Конечно, основная цель у данной утилиты совершенно другая. Утилита представляет собой расширенный диспетчер задач. Тем не менее, ее так же можно использовать для запуска программ с пониженными правами.

1. Откройте меню "File" и выберите пункт "Run as Limited User...".
2. В появившемся диалоговом окне выберите необходимую программу.
3. И нажмите "OK" .

Все же использование данной программы на регулярной основе будет достаточно не удобно, поэтому лучше всего применять ее только в единичных случаях или при тестировании (например, при той же проверки подозрительных программ - не создавать же ярлык для одного запуска).