HOWTO : Sdílení C$ ve windows a záhadné WMI (diskuse)

[gtz]

Dobré pojednání o Windows share a o jeho vnitřnostech. nebudu komentovat zda to sem patří nebo ne.

[Johan]

Samozřejmě, že patří. Když sem patří KU, tak vcelku dobrý článek o systému, který ve čtenáři nechá nějaké zajímavé informace sem patří zrovna tak :)

Autorovi děkuji.

[Martin]

Výborně, ono někdy i Windows potřebují jiný pohled. Navíc zde je vidět rukopis linuxáka. A to je přesně to, co je třeba. Málo kdo z Win administrátorů umí vše udělat v příkazové řádce.

[vencour]

Přidal jsem do digestu.

[phr]

Windows automaticky sdílí jednotky + nějaké drobnosti okolo. 

Tohle mají Win odnepaměti a považuju to za bezpečnostní díru jako mrakodrap. Když se tím umí prostřelit MS, prostřelí se tím každý, kdo bude mít dost velkou vůli. Gates s Ballmerem by za tohle měli být exemplárně pověšeni do průvanu (jestli je za co).

Jinak dík za článek, člověk nikdy neví jaké znalosti se mu kdy budou hodit. A sem to určitě patří, interoperabilitu různých OS tady určitě řeší kdekdo.

[sidik]

Nice. Dík. Sdílení ve Windows je celkově peklo a většina informací o tom stojí za hovno. Tady je vidět pohled někoho, kdo s tím umí víc než natípat obrázky dialogů a označit kde má člověk kliknout (protože to většinou vůbec nestačí k tomu, aby nějaké sdílení fungovalo).

Zkusím to doma podle tohohle rozjet :)

[Torrance]

Nechci se hádat, ale Windows v doméně nemám (pouze ve skupině) a přesto se na $C (apod) dostanu. A nevím o tom, že bych aplikoval v blogu zmíněný postup. V XP se to zaplo jen tím, že se vypnulo jednoduché sdílení. Ale teď mám W7 a opravdu si nějak nevzpomínám, že bych se kvůli tomu musel hrabat v registrech. Nezapne se to i jako vedlejší efekt i nějaké jiné akce, než jen zapojení do domény?

[Max]

Pokud je stanice v AD, tak se všechny politiky pro C$ nastaví a funguje to. Pokud stanice v AD není tak je to sázka do loterie.

Protože třeba všechny pc, co máme v síti, mají standardně povolené(je viděl v seznamu sdílených složek) sdílení C$ (ale samozřejmě zakázané - bez práv), ale třeba nedávno jsem zkoušel čistou instalaci winxp s integrovaným SP3 a ten ve výchozím nastavení C$ sdílení nemělo ani nastaveno (nebylo vůbec v seznamu sdílení vidět, sdílení nebylo vytvořeno,musely se povolit zmíněné položky v registrech, aby se aspoň vytvořilo samotné sdílení, poté už stačilo jen nastavit způsob ověřování a jelo to).

Vychází mi z toho jediný závěr, všechno záleží na hodně faktorech :
na úpravách od OEM dodavatelů instalace
na aktualizacích
na nainstalovaných programech atd.

V takové situaci pak člověk může narazit na problém, že vše má nastaveno a stejně to nejde, proto uvádím kompletní seznam nastavení, kde by všude mohlo dojít teoreticky k chybě a co všechno na toto nastavení má vliv.
Takže tak :).

Jinak článek se vztahuje ještě k WinXP, win7 je natom trochu jinak a tam to také není taková trivialita, protože už jsem se setkal s tím, že C$ na win7 jel, po restartu apod. nebyl problém. Poté na něm uživatel pracoval měsíc s uživatelskými právy a pak C$ zase nejel. A to se mi stalo na více stanici s Win7.
Toto chování pak záleží na hodně věcech, pokud má třeba člověk povolený UAC, tak se asi zápisu do registrů nevyhne (my používáme full UAC security level) atd. Přemýšlím, že o tom také někdy pojednám.
Zdar Max

[rADOn]

A nedela ty C$ sdileni nahodou "klient site microsoft" sitova komponenta? To by vysvetlovalo proc se to samo objevi pri pridani AD a zaroven proc to na stroji s holym IP stackem nemusi byt. Bez hrabani se v registrech…

Jsem si celkem jisty ze na win9x a 2000 to tak bylo.

[Max]

Hmm, zajímavé, zkusím doma ověřit ve virtuálu, měl bych tam mít snapshot z čisté instalace, tak uvidíme.
Zdar Max

[Max]

Tak jsem to vyzkoušel a asi nedělá. V default instalaci je nainstalovaný, ale sdílení nejsou vytvořená.
Zdar Max

[gtz]

Sdílení disků C$ apod. si vytváří MS sám, když se inicializuje připojení k lokální síti. Tehdy se to nastavovalo pokud se dobře pamatuji přes nastavení služeb. Čistá instalace to nemá, nemají to ani HOME, která nemají nativní podporu pro domény apod. Ty jejich C$ jsou vlastně admin share které používá hlavně instance "system". Někdy stačilo se připojit i bez domény "workgroup" a bylo to tam.

dá se to zrušit přes sdílení adresářů nebo přes registry

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanManServer\Parameters
klíče AutoShareServer nebo AutoShareWks 
změnit REG_DWORD na 0

[Max]

Ano, zrušení C$ share, nebo povolení přes registry v článku popisuji.
Co is mám představit pod pojmem "inicializuje připojení k lokální síti"? Nainstaluji systém, nastavím IP apod. věci, komunikace se vším jde, ale C$ share nikde. Je myšlen nějaký průvodce, nebo něco jiného?
Díky
Zdar Max

[gtz]

Setkal jsem se s tím, že když jsem na XP nastavil vše standardně (tehdy pro jednu účetní) a ručně jsem nastavil IP, skupinu, bylo to tehdy bez domény a C$ se tam objevilo v podstatě okamžitě (tehdy to byl nějaký pc včetně XP od OEM partnerů - HP desktop). Přitom ta firma měsíce kupovala druhý PC s normální OEM instalací CD a share tam nebylo. No když jsem tam pak nastavoval nějaké zálohy a změnil jsem způsob ověřování (v té jejich mmc) tak share tam zase bylo. No já bych na to ani nepřišel protože jsem to nainstaloval babě udělal účet a bylo. Jenže jsem doinstalovával klienta pro on-line backup na náš páskový loader a najednou se mi ve share objevilo i to C$ a tak jsem počal pátrat. Průvodce jsem nepoužil skoro nikdy. Většinou se to share objevilo při změně způsobu autorizace k serveru.

[gtz]

Přitom ta firma měsíce kupovala druhý PC s normální OEM instalací CD

oprava Přitom ta firma před měsícem kupovala druhý PC s normální OEM instalací CD

[Max]

Tak jsem teď zkusil :
- změnit název PC a skupiny + reboot
- připojit se na C$ na jiný PC
- ťuknout na "opravit" u síťového připojení
- změnit způsob ověřování z guesta na uživatele
Zkoušel jsem i rebooty apod., ale C$ share se nikde sám nevytvořil :-/
Zdar Max

[Max]

Na druhou stranu si možná hraju se špatnou verzí winxp, instaloval jsem z upravené instalačky pomocí nlite (integrace SP3 + zautomatizovaná instalace + sady oprav k nějakému datu). Těžko říci, nemělo by to mít na takové věci vliv :-/.
Asi to nechám koňovi, ten má větší hlavu ...
Zdar Max

[gtz]

No mně se to objevilo kdysi doma na krabicové verzi XP Pro tehdy jen s SP1. Doma doména nebyla jen připojení ke klasickému sdílení na druhý počítač. Tehdy mi bylo divné, že dcera tam to C$ neměla, ale já ano, tak jsem to zakázal a nějak dále nezkoumal. Nevytvoří se to C$ když je udělané nějaké sdílení adresáře/disku apod?

[Max]

Teď jsem zkusil něco na testovacím stroji nasdílet a nic :D. Třeba mám špatnou testovací verzi windows xp :D. To je jedno, ať to dělá cokoli, prostě se to děje.
Zdar Max

[gtz]

Tak nějak, někdy si to dělá co chce a neptá se Na mém firemním HP nc6320, kde mám i XP je C$ přítomno. A jsem pouze připojen k firemní síti pro zcela normální sdílení. Žádná doména, jen normální Workgroupa. Pak se v práci podívám do image s XP a poreferuji jak to tam je nastavené.

[Grunt]

No hoši, co já pamatuju, tak Windows 95 sdíleli C$ defaultně. Nebo nevím jestli to nebyl třeba nějaký default od distributora či specialita té síťové verze Widlí (s IE pro ty kdož ještě pamatují). Nebyly viditelné, ale pokud se to explicitně nezakázalo, tak ani nepřístupné. Stačilo naflákat adresu \\<IP, NetMan alias, DNS jméno>\C$ či použít myslím net use a bylo vymalováno. Jak si myslíte, že jsem se dostal ke svému prvnímu pornu? Téhdá jsem ještě internet neměl. S nástupem Win2000 (ale počítám, že to byl tak neduh všech NT jader) už vznikl problém s pravomocemi. To už bylo potřeba znát jiné finty (,ale díky NTLM též žádná věda)

[Vector]

Tak určitě si hraješ se špatnou verzí systému, tak 10 let zpoždění bych řekl.

[mimi.vx]

mam pocit ze na nekterych verzi widli nemusi byt PC v domene a stejne sem se ze site dostal na C$ pomoci samby ... a mnohdy i we vidlich pomoci totalcommanderu

[Max]

Však to není podmínkou, vždyť píšu, jak to je.
Viz i komentář výše.
Zdar Max

[Vector]

:D :D jako vtip je to hezké. Jako vážně myšlená vec to vyznívá, jako když bykuchařka popisovala funkci spalovacího motoru a k tomu použila pár upravdu přesných nákresů nalezených na internetu. Na tom co píšeš není nivc tajemného, ani ty věci nejsou na svých místech. Příklad: Tyhle věci řídíš zasadama domény, nebo místního zabezpečení (taky proto se jen nastavením v registrech, nebo příkazem, zase se to vrátí z5, nebo to nefunguje, jak čekáš) Na WMI se můžeš připojit většinou nástrojů z MMC.

Je celkem fajn, že zjistíš, že některé věci se dají dělat na dálku z příkazového řádku a že existují jiné možnosti, než někam klikat, ale příště alespoň trochu pokory ,-). Informace k tomu jsou jen je přeba je hledat, nebo lépe rovnou normálně znát a chápat.

[Max]

Samozřejmě tam píšu, že toto vše lze nastavit politikami, viz zmínka o připojení do domény. To je ovšem pro většinu administrátorů konečná. A nebo ví, kde naklikat příslušné policy, ale netuší, co vše se tím povoluje a na co to má vliv.
Jinak všichni také nemají možnost připojit PC do domény (ostatně, my jsme tu možnost neměli, takže jsme to řešili skriptama), žejo, takže místo miliontého klikání jen naimportít pár klíčů do registrů a hotovo.

Pokud jde i WMI, tak jasně, jsou na to klikačky a další věci, ovšem z dálky jsou ti na nic, pokud si ty práva nepovolíš.
Pokud narážíš na příklady s wmic, tak jsou to jen příklady a jasně píšu, že se to používá u skriptovacích jazyků (+ to používá systém) a né takto otrocky napřímo.

Pokud vím, tak se mi nastavení nikdy nevrátilo a ani nevím, proč by mělo (místní zásady zabezpečení mají uloženo nastavení v registrech - když přepíšeš registry, tak si nevycucají svoje nastavení z prstu), stačilou jednou nastavit a už to fičelo na vždy. Jen jedna slečka s ntb(notebookáři mají admin práva) si něco poladila sama a té jediné to nešlo (1 pc z 250).
Pokud jde o win7, které jsem zmínil v komentářích, tak tam to bylo o něčem jiném (už jsme na to přišli, fungovalo nám to zcela na náhodu, musela se povolit ještě jedna věc).

Mno, na druhou stranu, když už nic jiného, tak aspoň, že jsem tě pobavil :).
Zdar Max