Служба не видит сетевые диски

[aleksmir]

Здравствуйте!
Написал небольшую программу на VB6, она обращается к некоторым файлам в локальной сети.
Если работает в обычном режиме - то все ОК.
Но когда запускаю её в качестве службы, то не видит сетевые диски. Выдает ошибку "Файл не найден".
Эта ошибка происходит для любых команд VB, работающих с файлами "Dir", "OPEN" и т.д.
Может кто-то сталкивался с такой проблемой?

[Qwertiy]

Эта ошибка происходит для любых команд VB, работающих с файлами "Dir", "OPEN" и т.д.

Именно с сетевыми дисками или всегда?
Если первое, то возможно что сеть ещё недоступна в момент запуска.

[alibek]

Но когда запускаю её в качестве службы, то не видит сетевые диски.

Сетевые диски принадлежат учетной записи, а не компьютеру.
Служба работает под своей учетной записью.
Используй для службы учетную запись, которая разрешает сетевой доступ (NETWORK_SERVICE). Используй не буквы дисков, а сетевой путь UNC.

[Qwertiy]

Служба работает под своей учетной записью.

Можно настроить запуск службы и от имени конкретного пользователя.

[aleksmir]

Именно с сетевыми дисками или всегда? Если первое, то возможно что сеть ещё недоступна в момент запуска. Можно настроить запуск службы и от имени конкретного пользователя.

Сетевые диски принадлежат учетной записи, а не компьютеру. Служба работает под своей учетной записью. Используй для службы учетную запись, которая разрешает сетевой доступ (NETWORK_SERVICE). Используй не буквы дисков, а сетевой путь UNC.

Спасибо! Попробую ваши рекомендации!
Пока более подробно опишу ситуацию:
Операционная система Windows Server 2003. Захожу под учетной записью Administrator. Запускаю свою программу вручную (не служба). Программа выполняет простейшую операцию - копирует файл с другого сервера на локальный диск. Обращается к другому серверу по IP-адресу, т.е. так: \\192.168.46.8\Путь\Файл.exp
В общем если запускаю не как службу - отлично работает. Тут же не выходя из Administratora запускаю как службу - не работает, выдает, что путь \\192.168.46.8\Путь\Файл.exp не найден.

Именно с сетевыми дисками или всегда?

Только с сетевыми дисками. Если копирование с локального на локальный диск, то программа в режиме службы это копирование выполняет отлично.

Сетевые диски принадлежат учетной записи, а не компьютеру

Я может неправильно выразился... не с сетевыми дисками (в виде букв), а с расшаренными сетевыми дисками другого компьютера, к которым обращаюсь по IP: \\192.168.46.8\Путь\Файл.exp. Хотя пробовал подключать сетевые диски через букву диска и обращаться к ним как к дискам - не работает тоже.

Попробую два варианта:
1. Поэкпериментировать с учетной записью.
2. Посмотрю свойства у службы встроенного Планировщика событий Windows. Она то уж точно работает с сетевыми дисками (проверил).

[Qwertiy]

Попробую два варианта:
1. Поэкпериментировать с учетной записью.
2. Посмотрю свойства у службы встроенного Планировщика событий Windows. Она то уж точно работает с сетевыми дисками (проверил).

Обращение из службы по сетевому пути возможно. Правда не проверял на VB6, но не вижу причин по которым именно в нём с этим могут возникнуть какие-либо проблемы.

[aleksmir]

Обращение из службы по сетевому пути возможно. Правда не проверял на VB6, но не вижу причин по которым именно в нём с этим могут возникнуть какие-либо проблемы.

Да, тоже думаю что не в VB дело. Что-то в свойствах самой службы.

[aleksmir]

Ура!!!) В свойствах службы поставил "Вход с учетной записью Administrator". Заработало!)
P.S.: вход с учетной записью NETWORK_SERVICE пробывал, программа даже не запустилась.
Так же пробывал поставить, что моя служба зависит от службы "Рабочая станция". Тоже не помогло. Программа запускалась, но копирование файла по сети также выдавало ошибку.

Теперь осталось научить программу автоматически при создании службы указывать ей имя пользователя.

[Qwertiy]

Теперь осталось научить программу автоматически при создании службы указывать ей имя пользователя.

Код: Выделить всё

sc create "Имя службы" binPath= "Q:\Путь\К\Exe\файлу.exe" DisplayName= "Отображаемое имя" start= auto obj= Логин password= Пароль

Обращаю внимание на наличие пробела после знака равенства.

[aleksmir]

Теперь осталось научить программу автоматически при создании службы указывать ей имя пользователя.

Код: Выделить всё

sc create "Имя службы" binPath= "Q:\Путь\К\Exe\файлу.exe" DisplayName= "Отображаемое имя" start= auto obj= Логин password= Пароль

Обращаю внимание на наличие пробела после знака равенства.

Спасибо!)

[alibek]

В свойствах службы поставил "Вход с учетной записью Administrator".

Это глупо. Не говоря уж о том, что это огромная дыра в безопасности.

[Qwertiy]

Это глупо. Не говоря уж о том, что это огромная дыра в безопасности.

А обосновать можешь? Куче служб нужна админская учётка для работы. Некоторые программы для этого вообще свою собственную учётку заводят и под ней работают. Учётка SYSTEM предоставляет те же права, если не большие. И в чём конкретно дыра-то?

[alibek]

Найди хоть одну службу, которая бы работала под учетной записью администратора.

[Qwertiy]

Найди хоть одну службу, которая бы работала под учетной записью администратора.

Ты сейчас имеешь в виду стандартную админскую учётку или просто пользователя с админскими правами?
И всё-таки ответь на вопрос, в чём конкретно дыра?

[aleksmir]

Это глупо. Не говоря уж о том, что это огромная дыра в безопасности.

Как тогда по-другому?
Под пользователем LOCAL_SERVICE служба не видит сетевые ресурсы, под пользователем NETWORK_SERVICE вообще не работает.

[Qwertiy]

Более половины служб работают под Local System. Насколько я понимаю, это самые высокие права...

[alibek]

Почти все службы работают под Local System. Насколько я понимаю, это самые высокие права...

Неверно.
Основная часть служб работает под локальной системной учетной записью. Это высокий уровень доступа, но только на локальную машину. У этой учетной записи нет доступа к удаленным рабочим станциям. И если вдруг служба будет скомпрометирована (злоумышленник получит возможность работать от имени этой службы), то его зона действия будет ограничена этой машиной.
Если же служба работает под учетной записью, имеющей администраторские права, позволяющие подключаться к удаленным рабочим станциям, то и зона действия будет расширена соответствующим образом.
Глупее будет только запускать службу от имени администратора домена (если используется сеть на основе домена).

под пользователем NETWORK_SERVICE вообще не работает.

Это повод не давать сразу максимальный доступ, а разобраться, почему не работает (скорее всего нужно дать файловые разрешения на каталог и файлы для этой учетной записи).

[aleksmir]

Более половины служб работают под Local System. Насколько я понимаю, это самые высокие права...

Под LocalSystem не видит сетевые ресурсы.

[Qwertiy]

И если вдруг служба будет скомпрометирована (злоумышленник получит возможность работать от имени этой службы), то его зона действия будет ограничена этой машиной.

Хм.. А каким образом он получит такую возможность? Это ведь должно означать, что либо служба предоставляет соответствующий дырявый API, либо что у него уже есть достаточные права на этой машине. Так?

Если же служба работает под учетной записью, имеющей администраторские права, позволяющие подключаться к удаленным рабочим станциям, то и зона действия будет расширена соответствующим образом.

Стоп. Локальный админ ведь на других машинах админом не будет. В чём тогда вред?

[aleksmir]

В общем программно так и не смог создать службу с конкретным пользователем.
Пробовал так:

Код: Выделить всё

instsrv servicename "path" -a UserName -p Password

и так

Код: Выделить всё

sc create servicename binPath= "path" obj= UserName password= Password

В обоих случаях пишет что нет такого пользователя в системе. Имя пользователя Administrator, пароль проверил на 1000 раз и в кавычках его писал и по всякому. Пишет одно и тоже.

В общем придется похоже отказаться от этой затеи... или вводить пользователя в свойства службы вручную.

[alibek]

А каким образом он получит такую возможность?

Обыкновенным, используя ошибки и уязвимости в программе. Которые всегда есть.

Стоп. Локальный админ ведь на других машинах админом не будет. В чём тогда вред?

Судя по тому, что топикстартер заходит на удаленные машины с помощью своей локальной учетной записи, на всех машинах используется администратор с одинаковым логином и паролем. Иначе бы у него программа и в интерактивном режиме не работала.

[Qwertiy]

Найди хоть одну службу, которая бы работала под учетной записью администратора.

Пожалуйста. Ocster 1-Click Backup работает под этим:

Код: Выделить всё

C:\Windows\system32>net user _ocster_1clk_backup_
Имя пользователя                       _ocster_1clk_backup_
Полное имя                             Special account for Ocster 1-Click Backup
Комментарий
Комментарий пользователя
Код страны                             000 (Стандартный системный)
Учетная запись активна                 Yes
Учетная запись просрочена              Никогда

Последний пароль задан                 07.12.2012 08:52:42
Действие пароля завершается            Никогда
Пароль допускает изменение             07.12.2012 08:52:42
Требуется пароль                       Yes
Пользователь может изменить пароль     Yes

Разрешенные рабочие станции            Все
Сценарий входа
Конфигурация пользователя
Основной каталог
Последний вход                         22.04.2013 21:33:02

Разрешенные часы входа                 Все

Членство в локальных группах           *Администраторы
Членство в глобальных группах          *None
Команда выполнена успешно.


[alibek]

Пожалуйста. Ocster 1-Click Backup работает под этим:

Это повод так не делать.
В *nix это типичный подход — запускать демон под отдельной учетной записью.
В Windows идеология должна быть другой, учетные записи пользователей должны соответствовать людям, а службы должны запускаться под встроенными учетными записями, при необходимости осуществляя элевацию прав.
Есть некоторые исключения (например учетная запись IIS или support), но для себя в 99% нужно уяснить правило «мой случай не относится к такому исключению».

[aleksmir]

Ну в общем вместо службы пришлось использовать планировщик. Как туда добавить задание с помощью API-заморачиваться не стал, т.к. всё равно программа не на продажу, а для внутренних нужд. Планировщик всегда при создании задания запрашивает имя и пароль и программа, запущенная планировщиком без входа в систему, видит сетевые ресурсы.

Службы, ранее созданные с учетной записью "Администратор" теперь не удаляются, а почему то помечаются на удаление и после пометки на удаление создаваться под теми же именами не хотят. Сервер перезагружать из-за этого не хочется. Единственный вариант оставался использовать планировщик вместо служб.

[Qwertiy]

Службы, ранее созданные с учетной записью "Администратор" теперь не удаляются, а почему то помечаются на удаление и после пометки на удаление создаваться под теми же именами не хотят.

Потому что перед тем как удалять, их надо было остановить. Остановленную службу удалить можно, а запущенная помечается для удаления и удаляется только вместе с перезагрузкой.

Сервер перезагружать из-за этого не хочется.

Теперь придётся.