Gehört man nun zu denen, die regelmäßig unterschiedliche Betriebssysteme installieren, bei Kunden, in Schulungsräumen, zuhause, in Testumgebungen etc., dann ist es sicherlich interessant, auf einem USB Stick mehr als nur die eine Version zu hinterlegen. Dieser Artikel beschreibt es für Windows 7 und Server 2008, Vista und PE lassen sich über den gleichen Weg integrieren, selbst Linux ist möglich. Was noch ein interessantes Szenario für diverse Datenrecovery und auch Datenshredder bietet.

Kleiner Wermutstropfen: Man muss innerhalb der Systemarchitektur bleiben, also entweder nur x86 oder nur x64.

Benötigte Werkzeuge: cmd.exe, diskpart.exe, bcdedit.exe

1. USB Stick vorbereiten – Teil 1, Shorttrack

USB Stick partitionieren, aktivieren, mit Fat32 formatieren

cmd -> diskpart öffnen
list disk
select disk X (Nr. USB Drive)
clean
create partition primary
select partition 1
active
format fs=fat32 quick

2. Copy der Windows 7 DVD 1zu1 auf die CD

… fertig. Damit ist der Stick bootfähig und kann die Windows 7 Installation starten.

Wie bringe ich nun mehr als eine DVD auf den Stick?

Hier mal am Beispiel von Windows 7 und Windows Server 2008 als Erweiterung.

3. USB Stick vorbereiten – Teil 2, Shorttrack

Kleine Änderungen an der Verzeichnisstruktur zu Übersichtlichkeit
Definition von zwei Verzeichnissen, in denen das Installations-Image (install.wim) zu finden ist.

a) Rename \sources in \sources7
b) Copy \sources der 2008 DVD nach \sources2008R2 auf dem Stick
c) Copy der anderen Ordner der 2008 CD zB nach \CD-Win2008R2, denn adprep etc braucht man schon mal.

4. Bootmanager konfigurieren – Shorttrack

• Anschauen der aktuellen Boot Konfiguration
• kopieren des {default} Bootmenü Eintrags (2mal) mit Definition Namenseintrag
• löschen des {default} eintrags
• Eintragen der beiden kopierten EInträge anhand ihrer erzeugten GUID
• und Angabe des Pfades zur BOOT.WIM

In meinem Beispiel hat der USB-Stick den Buchstaben H:, und ich verwende die Ordner \sources7 und \sources2008R2. Achtet darauf, dass ihr die richtigen GUIDs dem passenden Pfad zuordnet.

H:\>bcdedit /store H:\BOOT\BCD 

Windows-Start-Manager
---------------------
Bezeichner              {bootmgr}
description             Windows Boot Manager
locale                  en-US
inherit                 {globalsettings}
default                 {default}
displayorder            {default}
toolsdisplayorder       {memdiag}
timeout                 30 

Windows-Startladeprogramm
-------------------------
Bezeichner              {default}
device                  ramdisk=[boot]\sources\boot.wim,{7619dcc8-fafe-11d9-b411-000476eba25f}
path                    \windows\system32\boot\winload.exe
description             Windows Setup
locale                  en-US
inherit                 {bootloadersettings}
osdevice                ramdisk=[boot]\sources\boot.wim,{7619dcc8-fafe-11d9-b411-000476eba25f}
systemroot              \windows
detecthal               Yes
winpe                   Yes
ems                     Yes 

H:\>bcdedit /store H:\BOOT\BCD /copy {default} /d Windows7-Enterprise
Der Eintrag wurde erfolgreich in {6d1a4c09-124f-11df-a634-0013773cb55d} kopiert. 

H:\>bcdedit /store H:\BOOT\BCD /copy {default} /d Windows2008-R2
Der Eintrag wurde erfolgreich in {744a4cdf-124f-11df-a634-0013773cb55d} kopiert. 

H:\>bcdedit /store H:\BOOT\BCD /delete {default}
Der Vorgang wurde erfolgreich beendet. 

H:\>bcdedit /store H:\BOOT\BCD 

Windows-Start-Manager
---------------------
Bezeichner              {bootmgr}
description             Windows Boot Manager
locale                  en-US
inherit                 {globalsettings}
displayorder            {6d1a4c09-124f-11df-a634-0013773cb55d}
                        {744a4cdf-124f-11df-a634-0013773cb55d}
toolsdisplayorder       {memdiag}
timeout                 30 

Windows-Startladeprogramm
-------------------------
Bezeichner              {6d1a4c09-124f-11df-a634-0013773cb55d}
device                  ramdisk=[boot]\sources\boot.wim,{7619dcc8-fafe-11d9-b411-000476eba25f}
path                    \windows\system32\boot\winload.exe
description             Windows7-Enterprise
locale                  en-US
inherit                 {bootloadersettings}
osdevice                ramdisk=[boot]\sources\boot.wim,{7619dcc8-fafe-11d9-b411-000476eba25f}
systemroot              \windows
detecthal               Yes
winpe                   Yes
ems                     Yes 

Windows-Startladeprogramm
-------------------------
Bezeichner              {744a4cdf-124f-11df-a634-0013773cb55d}
device                  ramdisk=[boot]\sources\boot.wim,{7619dcc8-fafe-11d9-b411-000476eba25f}
path                    \windows\system32\boot\winload.exe
description             Windows2008-R2
locale                  en-US
inherit                 {bootloadersettings}
osdevice                ramdisk=[boot]\sources\boot.wim,{7619dcc8-fafe-11d9-b411-000476eba25f}
systemroot              \windows
detecthal               Yes
winpe                   Yes
ems                     Yes 

H:\>bcdedit /store H:\BOOT\BCD /set {744a4cdf-124f-11df-a634-0013773cb55d} device ramdisk=[boot]\sources2008R2\boot.wim,{7619dcc8-fafe-11d9-b411-000476eba25f}
Der Vorgang wurde erfolgreich beendet. 

H:\>bcdedit /store H:\BOOT\BCD /set {744a4cdf-124f-11df-a634-0013773cb55d} osdevice ramdisk=[boot]\sources2008R2\boot.wim,{7619dcc8-fafe-11d9-b411-000476eba25f}
Der Vorgang wurde erfolgreich beendet. 

H:\>bcdedit /store H:\BOOT\BCD /set {6d1a4c09-124f-11df-a634-0013773cb55d} device ramdisk=[boot]\sources7\boot.wim,{7619dcc8-fafe-11d9-b411-000476eba25f}
Der Vorgang wurde erfolgreich beendet. 

H:\>bcdedit /store H:\BOOT\BCD /set {6d1a4c09-124f-11df-a634-0013773cb55d} osdevice ramdisk=[boot]\sources7\boot.wim,{7619dcc8-fafe-11d9-b411-000476eba25f}
Der Vorgang wurde erfolgreich beendet. 

H:\>bcdedit /store H:\BOOT\BCD 

Windows-Start-Manager
---------------------
Bezeichner              {bootmgr}
description             Windows Boot Manager
locale                  en-US
inherit                 {globalsettings}
displayorder            {6d1a4c09-124f-11df-a634-0013773cb55d}
                        {744a4cdf-124f-11df-a634-0013773cb55d}
toolsdisplayorder       {memdiag}
timeout                 30 

Windows-Startladeprogramm
-------------------------
Bezeichner              {6d1a4c09-124f-11df-a634-0013773cb55d}
device                  ramdisk=[boot]\sources7\boot.wim,{7619dcc8-fafe-11d9-b411-000476eba25f}
path                    \windows\system32\boot\winload.exe
description             Windows7-Enterprise
locale                  en-US
inherit                 {bootloadersettings}
osdevice                ramdisk=[boot]\sources7\boot.wim,{7619dcc8-fafe-11d9-b411-000476eba25f}
systemroot              \windows
detecthal               Yes
winpe                   Yes
ems                     Yes 

Windows-Startladeprogramm
-------------------------
Bezeichner              {744a4cdf-124f-11df-a634-0013773cb55d}
device                  ramdisk=[boot]\sources2008R2\boot.wim,{7619dcc8-fafe-11d9-b411-000476eba25f} 

path                    \windows\system32\boot\winload.exe
description             Windows2008-R2
locale                  en-US
inherit                 {bootloadersettings}
osdevice                ramdisk=[boot]\sources2008R2\boot.wim,{7619dcc8-fafe-11d9-b411-000476eba25f} 

systemroot              \windows
detecthal               Yes
winpe                   Yes
ems                     Yes

Verwandte Beiträge:

1. Windows Server 2008 und Vista SP1 sind fertig!
   Mittlerweile pfeifen es schon viele Spatzen von den Dächern: Seit...
2. Terminal Server 2008 einrichten
   Als Grundlage eines TS 2008 dient in diesem Beispiel ein...
3. Dynamische DNS-Updates seit Vista nicht mehr per DHCP-Client
   Gerade machte Yusuf Dikmenoglu auf ein Detail aufmerksam, das ich...

Offline-Angriffe auf das System mit einer WinPE-, einer Linux-Boot-CD oder dem Microsoft-eigenen DaRT kann jeder, das ist langweilig. Ich mach mich zum Admin und bleibe in meinem Benutzerkontext.

Warum kann ich das? Weil der Admin nicht aufgepasst hat oder weil ich miese Software einsetze. (Siehe auch TROST-(Tja, Rein Optisch Super Tool)-Preis)

Ein wenig Hintergrundinformation

Das Benutzerkonzept von Microsoft ist da sehr eindeutig: Nur Administratoren oder gleichwertige Konten können Benutzer in die Gruppe der Administratoren aufnehmen. Hauptbenutzer können maximal neue Hauptbenutzer erstellen, allerdings gibt es ab Windows 7 diese Gruppe nicht mehr.

Genaugenommen waren und sind Hauptbenutzer nur Benutzer, die etwas mehr dürfen als der normale Standardbenutzer. Sie dürfen z.B.: in %programfiles%, %systemroot% und HKLM\Software ändern. Gewähre ich diese Rechte einem Benutzer, dann ist er praktisch Hauptbenutzer, ohne dass er explizit in die Gruppe der Hauptbenutzer aufgenommen wurde.

Die wichtigste Frage vorweg:

Wie kann ich mich als normaler Standardbenutzer zum Administrator machen?

Antwort: Aus eigener Kraft erst mal gar nicht. Zum Glück. Dann würden ja sämtliche Sicherheitskonzepte zusammenbrechen. Das darf nicht gehen. Aber: es geht doch, wenn …

Klären wir das "wenn" und die Bedingungen, die ich brauche.

Einziger Weg und damit die Lösung:

Ich brauche einen Account, ein Konto, das über die notwendigen Rechte verfügt und am Besten wäre es, wenn es keiner mitkriegt.

Schritt-für-Schritt-Anleitung:

1. Ich erstelle eine eigene EXE-Datei (Scripte würden auch gehen, aber Executable hat Vorteile), die mich zum lokalen Admin machen kann.
"net localgroup Administratoren MeineDom\MeinBenutzer /add" in einer EXE verpackt reicht völlig aus.

Eine eigene EXE zu erstellen, ist nun wirklich keine Herausforderung, man nehme z.B. AutoIT:

—– admin.aut —–
Run ("net localgroup Administratoren MeineDom\MeinBenutzer /add,"",@SW_HIDE)
—– admin.aut —–

2. Ich ersetze die Programm-EXE eines Dienstes mit meiner EXE

Im Falle eines Dienstes muss ich abgesichert starten, denn dann ist der Dienst nicht aktiv und kann ausgetauscht werden. Im laufenden Betrieb darf ihn ja nur ein Admin stoppen.

3. Das System startet neu, startet den Dienst mit meiner EXE und führt diese mit SYSTEM-Rechten und damit VOLLZUGRIFF auf dem Rechner aus.

3b. Alternativ nutze ich keinen Dienst, sondern ein Programm auf dem Rechner, das regelmäßig auch von einem Administrator verwendet wird.

Nenne meine EXE wie das Programm, benenne die orginale um, dann sollte ich unbedingt zu dem obigen Code noch eine zweite Zeile packen, die das Programm selber startet …

Hm … sollte das so einfach sein? Wo ist der Haken?

Der Haken ist:
Ich habe als Benutzer keine Schreibrechte an Programmen und Diensten. Ohne Schreibrechte kann ich die EXE nicht austauschen. Mein System ist also vor dem Angriff sicher.

Die Schreibrechte kann ich mir selber nicht gewähren. Das kann nur ein Konto, das dazu berechtigt ist.

Das Problem und der Haken sind also die Schreibrechte, die ich benötige.

Sicherheitsloch Nr.1: Hauptbenutzer

Wer als Administrator mit Hauptbenutzern arbeitet, hat praktisch schon alle Bedingungen erfüllt. Denn ich habe in allen relevanten Systemordnern und sogar der Registry per Design Schreibrechte.

Sicherheitsloch Nr.2: Programme, die nicht als Benutzer laufen

Ein erneuter Hinweis auf TROST-(Tja, Rein Optisch Super Tool)-Preis

Damit ein normaler Benutzer schlecht programmierte Programme ausführen kann, muss ich als Administrator oft zusätzliche NTFS-Berechtigungen definieren. In den seltensten Fällen aber macht sich der Administrator die Arbeit, es "feingranular" auf eine einzelne Datei runterzubrechen. Meist kommt die Holzhammermethode zum Einsatz und das Streuprinzip "Viel hilft viel". Der ganze Ordner %programfiles%\NamederAnwendung  wird mit ändern Rechten bestückt. Oft ist das auch gar nicht anders möglich. Da sind wir auf die Wilkür des Entwicklers angewiesen, der sich dort ausgetobt hat.

Es kann manchmal nur eine Konfigurationsdatei sein, ich habe aber auch schon temporäre Dateien und Ordner dort gefunden … als ob %temp% nicht existieren würde.

Am Ende habe ich das Dilemma: Ich gewähre Schreibrechte an einer ausführbaren Datei, die unter %programfiles% liegt, in einem Pfad, der eigentlich per Definition als sicher gilt, da eben ein Benutzer dort NICHT schreiben darf.

Wenn ich als Benutzer meine EXE ausführe, die ich anstelle des Programms hinterlegt habe, läuft sie logischerweise ins Leere. Der Befehl ergibt ein “Zugriff verweigert”. Im Gegensatz zum Dienst, der ja mit SYSTEM-Rechten läuft. Wie kann ich also nun diese Datei mit Adminrechten ausführen?

Ich als Benutzer gar nicht. Aber dafür gibt es ja den Level-1-Support und meine netten Helfer-Kollegen.

Ich rufe dort an und melde ein Problem mit dem besagten Programm und sage den Jungs, es wäre nett, wenn sie sich das mal in der Mittagspause anschauen könnten, dann könnten sie an mein System ran.

Was wird normalerweise passieren? Der Helfer wird sich mit seinem Admin-Account an meinem System anmelden und das Programm starten. Er wird feststellen, dass alles funktioniert und mich für einen Idioten halten, denn bei ihm geht’s. Freundlicherweise hat er gerade mit seinen Berechtigungen meine EXE ausgeführt, das weiß er aber nicht, denn wer schaut sich schon die Eigenschaften einer ausführbaren Datei an – und wenn: Wer kennt schon die Eigenschaften der Orginale? Er wird mal wieder auf die Anwender fluchen und mir nach meiner Mittagspause mitteilen, dass ich das "Problem" mal bitte beobachten möge, er kann nichts feststellen. Ich bedanke mich freundlich, lasse ein paar Sätze über okkultes PC.Verhalten und Eigenleben fallen und alles ist gut.

Der Supporter geht weg, ich bin Admin.

Fazit:

Bin ich Hauptbenutzer, bin ich Admin.

Kann ich einen Dienst manipulieren bin ich beim nächsten Neustart Administrator.

Habe ich nur ein Programm zur Manipulation, bin ich Administrator, muss aber etwas Zeit mitbringen.

(Zuerst publiziert unter: http://www.gruppenrichtlinien.de/index.html?/HowTo/Wie_werde_ich_lokaler_Administrator.htm)

Verwandte Beiträge:

1. Wie Hauptbenutzer zu Admins werden
   Frage: Kann der Hauptbenutzer das Konto des Administrators löschen oder sein Kennwort...
2. Wie finde ich heraus, ob ein Benutzer Administrator ist?
   Oft muss man herausfinden, ob ein Benutzer mit Administratorrechten arbeitet...
3. Was unterscheidet Hauptbenutzer von Administratoren?
   Unter Windows XP hat die seit NT-Zeiten bekannte Gruppe "Hauptbenutzer"...

Oft braucht man als Administrator nur ein SSL-Zertifikat für die eigene Webseite, um diese über HTTPS bereitstellen zu können. Ein gekauftes Zertifikat ist oft für den hausinternen Gebrauch zuviel des Guten. Andererseits sind Zertifikatsdienste von Microsoft manchmal an dieser Stelle ein wenig oversized.

Microsoft selbst bietet für den kleinen Hausgebrauch die selfssl.exe aus dem IIS 6.0 Resource Kit [3]. Um ein zwei Jahre (/V:730) gültiges Zertifikat für meinen Computer (/N:CN=hostname.meinedom.intern) zu erstellen, das mit einen 1024 Bit Schlüssel (/K:1024) arbeitet und sich direkt auf meiner Default-Website, Standardwebseite (S:1) für den Standardport HTTPS etabliert (/P:443), kann folgender Befehl verwendet werden:

selfssl.exe /N:CN=hostname.meinedom.intern /K:1024 /V:730 /S:1 /P:443

Die Nachteile:

• Ich kann das Zertifikat nur direkt in den IIS hinzufügen, er muss auf dem System laufen, auf dem die EXE gestartet wird.
• Es können keine weiteren Informationen wie Firmenname/Aussteller, Zweck, Land, Organisation etc. hinterlegt werden.
• Ich muss pro SSL verschlüsselter Seite ein Zertifikat erstellen und dieses bei meinen Clients einzeln importieren, damit es als vertrauenswürdig angenommen wird.
• Es gibt kein "Root-Zertifikat", von dem "alle" weiteren abstammen.

Sicherlich kann man diese Nachteile für den internen Gebrauch in Kauf nehmen. Muss man aber nicht.

Wem die MS-eigene Zertifizierungsstelle nun nicht gefällt, der kann auf OpenSSL zurückgreifen. Es wird damit sicherlich nicht weniger komplex, was die Zertifikatsthematik generell betrifft, aber die Absicherung der Zertifikate mit OpenSSL ist doch etwas einfacher, da sie im Dateisystem stattfindet.
Achtung: Das birgt aber auch die Gefahr des Missbrauchs, da es so einfach ist.

Step-By-Step

Herunterladen des Win32-Binary und in einem beliebigen Ordner entpacken, z.b.: C:\Programme\OpenSSL.

CMD öffnen und in das Verzeichnis C:\Programme\OpenSSL\bin wechseln

Step 1: Erstellen der CA (Certifikate Authority/Zertifizierungsstelle)

Erstellung des Private Key (Privater Schlüssel)

openssl genrsa -des3 -out firma-private.key 1024
Loading 'screen' into random state – done
Generating RSA private key, 1024 bit long modulus
………………++++++
..++++++
e is 65537 (0×10001)
Enter pass phrase for firma-private.key:
Verifying – Enter pass phrase for firma-private.key:

Step 2: Erstellen des Root-Zertifikats.

openssl req -config .\openssl.cnf -new -key firma-private.key -x509 -days 1825 -out firma-ca.crt
Enter pass phrase for firma-private.key:
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
—–
Country Name (2 letter code) [AU]:DE
State or Province Name (full name) [Some-State]:Niedersachsen
Locality Name (eg, city) []:Hannover
Organization Name (eg, company) [Internet Widgits Pty Ltd]:faq-o-matic.net
Organizational Unit Name (eg, section) []:Step-by-Step Guides
Common Name (eg, YOUR name) []:ssl.faq-o-matic.net
Email Address []:xxxx@xxx-x-xxxxx.xxx

Step 3: Erstellen des CSR (Certificate Signing Request) erfolgt am System, wo der IIS läuft

• Internetinformationsdienste-Manager starten
• zur Seite navigieren, für die das Zertifikat sein wird
• rechte Maustaste, Kontextmenü -> Eigenschaften
• Reiter "Verzeichnissicherheit"
• Schaltfläche "Server Zertifikate"
• Dem Assitenten zur Erstellung einer Zertifikatsanfrage folgen
  • Neues Zertifikat erstellen
  • Anforderung jetzt vorbereiten, aber später senden
• Den Request speichern -> C:\Programme\OpenSSL\bin\certreq.txt

Step 4:    Signieren der CSR in der Authentifizierungstelle

openssl x509 -req -days 730 -in certreq.txt -CA firma-ca.crt -CAkey firma-private.key -CAcreateserial -out extern-server.crt

Loading 'screen' into random state – done
Signature ok
subject=/C=DE/ST=Bavaria/L=Hannover/O=faq-o-matic/OU=Step-by-Step Guides/CN=ssl.faq-o-matic.net
Getting CA Private Key
Enter pass phrase for firma-private.key:

Step 5: Import des Zertifikats extern-server.crt im IIS

Am Ende wurden folgende Dateien erstellt:

[1] http://www.openssl.org/
[2] http://www.openssl.org/related/binaries.html
[3] http://www.microsoft.com/downloads/details.aspx?familyid=56FC92EE-A71A-4C73-B628-ADE629C89499&displaylang=en

Verwandte Beiträge:

1. Terminalserver-Sessions durch Zertifikate schützen
   In diesem Artikel geht es darum, wie man Verbindungen zu...

Verwandte Beiträge:

1. Kann ich eine Domäne oder einen DC umbenennen?
   Das Umbenennen einer Domäne oder eines Domänencontrollers wurde zwischen Windows...
2. Wie kann man einen Domänencontroller unter Windows Server 2003 umbenennen?
   Wenn man einen Domänencontroller umbenennen muss, so kann man das...
3. Viele Dateien auf einmal umbenennen
   Problem Es kommt oft vor, dass man eine grosse Anzahl...

Siehe hierzu auch: http://www.faq-o-matic.net/2007/05/01/windows-server-core-windows-fast-ohne-fenster/

Eckdaten für das Beispiel:

• IP_CoreServer: 192.168.200.4/24
• IP_FSMOHolder: 192.168.200.3
• Standard-Gateway: 192.168.200.1
• Name der Domäne: faq-o-matic.net
• Kennwort:  echtgeheim
• Sprachversion: deutsch

1. per netsh feste IP vergeben: (eine zusammenhängende Zeile)

netsh interface ip set address "LAN-Verbindung" static
  192.168.200.4 255.255.255.0 192.168.200.1

2. per netsh den DNS-Client auf einen vorhandenen DNS-Server verlegen

netsh interface ip set dns "LAN-Verbindung" static 192.168.200.3

3. per netsh den WINS-Server eintragen

netsh interface ip set wins "LAN-Verbindung" static 192.168.200.3

4. per netdom.exe den Computer umbenennen, Neustart automatisch nach 10 Sekunden

netdom.exe /renamecomputer %computername% /newname:NeuerName /force /reboot:10

5. Textdatei mit folgendem Inhalt erstellen (vorher natürlich anpassen). Speichern als core.txt und dann den Server per "dcpromo /answer:core.txt" zum DC machen. Neustart ist erforderlich.

[DCInstall]
ReplicaOrNewDomain=Replica
ReplicaDomainDNSName=faq-o-matic.net
InstallDNS=Yes
ConfirmGc=Yes
UserDomain=nameder.dom
UserName=Administrator
Password=echtgeheim
DatabasePath=C:\Windows\NTDS
LogPath=C:\Windows\NTDS
SYSVOLPath=C:\Windows\SYSVOL
SafeModeAdminPassword=echtgeheim
RebootOnCompletion=Yes

6. per netsh die eigene IP-Adresse als zweiten DNS-Server eintragen anstelle der 127.0.0.1, die der Wizard konfiguriert hat.

netsh interface ip add dns "LAN-Verbindung" 192.168.200.4

Optionale Schritte: IPv6 abschalten, RDP einrichten, System aktivieren und ggf. VMAdditions installieren.

7. Über die Remote Registry IPv6 deaktivieren (Regedit an einem anderen Rechner starten -> Mit Netzwerkregistrierung verbinden)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip6\Parameters\
DisabledComponents = 0xFF (255)

8. Über die Remote Registry RDP aktivieren

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server
fDenyTSConnections=0×00000000

alternativ über ScRegEdit:

cscript ScRegEdit /AR 0

9. per netsh "Remote Desktop" als Ausnahme in die Firewall eintragen (http://support.microsoft.com/kb/947709/en-us)

netsh advfirewall firewall set rule group="remotedesktop" new enable=Yes

10. Installation der VMAdditions

msiexec /i DEUVirtualMachineAdditions.msi /qb

11. Windows-Aktivierung

Ändern der PID, z.B. bei Volumenlizenz-Datenträgern (Open, Select) notwendig:

cscript slmgr.vbs -ipk aaaaa-bbbbb-ccccc-ddddd-eeeee

Aktivierung:

cscript slmgr.vbs -ato

12. Auflösung ändern 

z.B. mit Resolution Changer 3.12 von 12noon (http://www.12noon.com/files/reschangecon.exe)

reschangecon.exe -width=1024 -height=768 -depth=8 -force dd

Verwandte Beiträge:

1. Windows Server Core: Windows (fast) ohne Fenster
   Vorabversionen von Windows Server 2008 sind jetzt allgemein verfügbar. Neben...
2. Hyper-V mit Windows Server Core 2008
   Am Donnerstag, 26. Juni 2008, hat Microsoft Hyper-V als RTM-Version...
3. Das GUI für Server Core ist da: CoreConfigurator
   Die Installationsvariante "Server Core" von Windows Server 2008 ist für...

Frage:

Antwort: Nein. Er kann nur z.B. neue Benutzer erstellen und sie maximal zu Hauptbenutzern befördern.

Aber das Problem mit einem Hauptbenutzer liegt auch woanders …

Er darf in den System- und Programme-Ordnern schreiben. Jetzt hinterlegt er anstelle der programm.exe eine programm.bat und bennent die programm.exe in programm1.exe um.

Das einzige, was der Hauptbenutzer jetzt noch braucht, ist Zeit. Er muss warten, bis sich ein Administrator anmeldet und die programm.bat ausführt. Den Link im Startmenü mit Namen und Icon kann man ja fix hinterlegen. Damit der Admin es auch nicht merkt.

In der Batch steht jetzt etwa:

net localgroup Administratoren meinBentzer /add
programm1.exe

Mit der ersten Zeile wird der Benutzer Admin, mit der zweiten startet das eigentlich gemeinte Programm, und damit ist für den Admin alles prima und er hat nichts gemerkt.

Verwandte Beiträge:

1. Was unterscheidet Hauptbenutzer von Administratoren?
   Unter Windows XP hat die seit NT-Zeiten bekannte Gruppe "Hauptbenutzer"...
2. Wie werde ich lokaler Administrator?
   Oder auch: Wie mache ich mich als Benutzer selbst zum...
3. Tools4Net: Kostenlose Tools für Windows-Admins
   Auf seiner Seite tools4net.de stellt Manfred Paleit einige Werkzeuge für...

Kollege1: "Kollege2, geh doch mal per Remote Desktop auf die Testrechner TC01 bis TC09 und setz sie in die Domäne."

Kollege2: "Wie geht das?"

Kollege1: "RDP->Arbeitsplatz->Einstellungen->Computername und dann Domäne ändern".

Kollege2: "Aah, ok."

Kollege1: "Klappts?"

Kollege2: "Ja. Dauert ein bisschen lang nach dem Domänenwechsel."

Kollege1: "Das ist normal."

Kollege2: "Jetzt sagt 'er', dass er neu booten soll."

Kollege1: "Ja, musst du machen."

Kollege2 beendet die RDP-Sitzung und bootet den eigenen Rechner.

Verwandte Beiträge:

1. Was man über Remote-Desktop-Verbindungen wissen sollte
   Wer hat es noch nicht verwendet, dieses kleine hilfreiche Tool,...
2. Hyper-V-Sizing: Virtuelle und echte CPUs
   Eine wichtige Frage bei der Virtualisierung betrifft die Ausstattung der...
3. Remote Wipe unter Windows Phone 7
   In Verbindung mit einem Exchange-Mailkonto unterstützt Windows Phone 7 das...

Die Erstellung einer bootfähigen CD setze ich voraus. Dieser Step-by-Step Guide beschreibt nur die Änderung der Quellen, da ein Setup auch unattended aus einem Netzwerkshare erfolgen kann.

Als erstes Beispiel verwende ich einen HighPoint HPT366, der in der Windows-2000-Version noch nicht vorhanden ist:

1. hpt366.sys + HPT366.INF im \I386 Verzeichnis in unkompirimierter Form hinterlegen

2. \i386\txtsetup.sif bearbeiten:

[SourceDisksFiles]
hpt366.sys = 1,,,,,,3_,4,1
htp366.inf = 1,,,,,,,20,0,0

Die .inf ist im Textmodesetup nicht notwendig, sie wird durch die "20" ins %systemroot%\inf kopiert und wird zum Zeitpunkt der GUI-PnP-Erkennung ausgelesen, damit der das Gerät einen "Namen" im Gerätemanger bekommt.

[SCSI.Load]
hpt366 = hpt366.sys,4

[SCSI]
hpt366 = "Highpoint U-DMA 66"

[HardwareIdsDatabase]
PCI\VEN_1103&DEV_0004&REV_01 = "Hpt366"

ID-Database-Eintrag ist aus der "txtsetup.oem" des Treibers entnommen, er ist herstellerspezifisch.

Diese Änderungen in der "TXTSETUP.SIF" sind auch möglich für die Wiederherstellungskonsole im Verzeichnis "CMDCONS". Dann wird auch hier der nicht W2K eigene Treiber für die RecoveryConsole geladen.

3. \i386\dosnet.inf Einträge hinzugefügt:

[FloppyFiles.2]
d1,hpt366.sys

[Files]
d1,hpt366.sys
d1,hpt366.inf

Die DOSNET.INF wird, wie der Name andeutet, nur verwendet, wenn das Setup aus einer DOS Umgebung heraus gestartet wird. Bei der Installation von CD ist sie nicht von Nöten.

Zweites Beispiel: Ersetzen eines vorhandenen Treibers, der mittlerweile für die neue Hardware nicht mehr funktionell ist, als Beispiel: MegaRAID SCSI 320-0X RAID Controller, für den der integrierte mraid35x nicht mehr funktioniert. Der Unterschied zum ersten Beispiel ist hauptsächlich der, dass alle vorhandenen Verweise auf diesen Controller gelöscht werden müssen.

1. vorhandene mraid35x.sy_ aus i386 löschen.

mraid35x.sys + mraid35x.inf von Treiberdiskette im \I386-Verzeichnis in unkomprimierter Form hinterlegen

2. \i386\txtsetup.sif bearbeiten und suche nach "mraid35x":

1. Stelle

[SourceDisksFiles]
mraid35x.sys = 1,,,,,,4_,4,1,,,1,4
; bleibt wie er ist, zusätzlich Eintrag der mraid35x.inf
mraid35x.inf = 1,,,,,,,20,0,0

2. Stelle

[HardwareIdsDatabase]
; löschen _aller_(!) vorhandenen PCI\VEN_******* = "mraid35x"
; ersetzen durch:
PCI\VEN_1000&DEV_0407&SUBSYS_05301000 = "mraid35x"
; Eintrag für HW-ID-DB aus txtsetup.oem entnommen.

3. Stelle:

[SCSI.Load]
mraid35x = mraid35x.sys,4
; bleibt wie er ist, Name der Datei hat sich ja nicht geändert.

4. Stelle

[SCSI]
; ersetzen des Eintrags mraid35x = "AMI MegaRaid RAID-Controller"
; durch:
mraid35x = "MegaRAID SCSI 320-0X RAID Controller Driver"
; Name ebenfalls aus der txtsetup.oem entnommen

3. Editieren der DOSNET.inf, suche nach mraid35x

1. Stelle:

[FloppyFiles.2]
; vorhandenen Eintrag lassen, wie er ist.
d1,mraid35x.sys

2. Stelle:

[Files]
; vorhandenen Eintrag d1,mraid35x.sys lassen wie er ist.
; erweitern um:
d1,mraid35x.inf

Verwandte Beiträge:

1. Eigene Funktionen in die AD-Tools integrieren
   Das Schema ist erweitert worden. Wie können die neuen Attribute...
2. Kostenstelle in AD integrieren
   Basierend auf dem Artikel "Eigene Funktionen in die AD-Tools integrieren"...
3. VMware ESXi 5: Probleme mit LSI-Treiber
   Ein Kollege machte gerade auf Folgendes aufmerksam: Mit dem beim...