要点
- LocalAccountTokenFilterPolicy是一个DWORD值在Windows注册表控制远程访问用户帐户属于本地Administrators组。
- 远程UAC的限制引用一个安全设置,允许或不允许本地管理员连接到远程计算机。
- 远程禁用UAC的限制增加了攻击面积,大大增加了您的系统被渗透的机会。
的用户访问控制(UAC)是一个Windows的特性,介绍了一个额外的安全提示,这样只有经过授权的人员和应用程序可以更改系统及其配置。在以前的文章中,我们讨论几种方法来禁用UAC。然而,它也有影响。
在本文中,我们将讨论一个类似的项目,这是一个在Windows系统的注册表值名称”LocalAccountTokenFilterPolicy,“这双字与Windows的UAC功能密切相关,需要配置如果你想远程访问计算机的资源使用本地管理员帐户。
让我们深入研究进一步了解细节LocalAccountTokenFilterPolicy以及如何配置为允许远程访问。
在这一页上
什么是LocalAccountTokenFilterPolicy
LocalAccountTokenFilterPolicy是一个DWORD值在Windows注册表。这个值控制是否允许远程访问连接远程的用户帐户,属于地方管理员组。
默认LocalAccountTokenFilterPolicy DWORD不存在,需要手动创建和配置。需要在以下路径也允许远程连接,启用Windows远程管理(WinRM)服务。
微软电脑软件\ \ HKEY_LOCAL_MACHINE \ \ Windows \ CurrentVersion \ \ System \ LocalAccountTokenFilterPolicy政策
当值数据LocalAccountTokenFilterPolicy设置为“1”,WinRM启用服务,因此本地管理员的用户帐户允许远程连接。这也禁用远程UAC限制为所有用户的本地管理员组的成员。
当禁用UAC远程限制
如果你看到“访问被拒绝”错误提示,或类似的错误如上图,当试图连接远程计算机网络,特别是当使用网络使用”\ \ RemoteComputerName \目录”命令,或同时使用从PsTools SysInternals PsExec效用,你就应该考虑禁用远程UAC在目标计算机上的限制。
话虽这么说,请注意,您只需要禁用UAC如果您使用的是远程限制当地的管理员帐户来访问它。
按微软的文档本地用户帐户,当远程连接,没有海拔可能在远程计算机上,用户不能执行管理任务。因此,为了获得完整的远程管理权限,您必须连接到电脑使用远程桌面连接工具字,或者您可以使用LocalAccountTokenFilterPolicy禁用UAC远程限制。
另一方面,如果你是远程连接使用域管理员帐户,然后你不需要禁用UAC远程限制。微软说“域用户将运行一个完整的远程计算机上的管理员访问令牌,和UAC不会有效。“因此,如果你是远程连接域管理员,您不需要配置LocalAccountTokenFilterPolicy DWORD。
禁用UAC远程限制安全吗?
如前所述,您可以禁用UAC远程使用LocalAccountTokenFilterPolicy DWORD和设置它的限制值数据“1”。然而,问题是,你是否应该这样做。
禁用UAC远程限制时,任何本地管理员用户可以远程连接到电脑完整的高度集成的令牌。这意味着他们将有完整的管理权限,使他们能够做出各种各样的系统发生的变化。
如果LocalAccountTokenFilterPolicy存在,它的值为“1”,那么电脑会容易受到远程连接,让黑客未经授权地访问计算机的方便方法。
许多微软文档甚至建议设置LocalAccountTokenFilterPolicy 1。然而,正如上面提到的,它不是最明智的选择。
说,有些情况你必须绝对禁用UAC远程限制和访问电脑完全管理权限。对于那些场景,你必须禁用UAC远程限制。然而,建议您重新启用远程限制一旦你的工作就完成了。
禁用UAC与LocalAccountTokenFilterPolicy远程的限制
现在你完全明白LocalAccountTokenFilterPolicy它,如果你还希望禁用UAC远程限制,这里有一些方法来这样做。
禁用UAC远程通过注册表编辑器的限制
下面的步骤创建和配置LocalAccountTokenFilterPolicy手动通过注册表编辑器:
按下Windows键+ R快捷键启动运行命令框。
输入“注册表编辑器”,按输入。
打开注册表编辑器 从左边的面板导航到以下路径:
电脑软件\微软\ \ HKEY_LOCAL_MACHINE \ Windows \ \ CurrentVersion \政策系统
导航到系统在Windows注册表键 右键单击“系统”,扩大新,然后单击“字(32位)的价值。”
创建一个新的字 字的名字”LocalAccountTokenFilterPolicy”。
创建LocalAccountTokenFilterPolicy DWORD 双击“LocalAccountTokenFilterPolicy“输入”1“在值数据字段,然后单击好吧。
LocalAccountTokenFilterPolicy值数据设置为1 重新启动计算机。
计算机重新启动时,将禁用UAC远程限制,你应该能够访问远程计算机使用您的本地管理员帐户和完全的管理权限。
重新启用UAC远程限制,简单地改变值数据为LocalAccountTokenFilterPolicy”0”,并重新启动计算机。
如果你想跳过上面的所有复杂的步骤,还可以禁用UAC远程限制使用命令行,用一个命令。
禁用UAC远程从命令行限制
您可以使用以下命令,创建和配置LocallAccountTokenFilterPolicy DWORD禁用UAC远程限制。
reg添加“微软HKEY_LOCAL_MACHINE \ SOFTWARE \ \ Windows \ CurrentVersion \ \系统”政策/ f / v LocalAccountTokenFilterPolicy / t Reg_DWORD / d 1这个命令可以执行在运行命令框,或者一个命令提示符或PowerShell实例升高。运行命令后,重新启动计算机的更改生效。
如果你想重新启用它以后,使用这个命令:
reg添加“微软HKEY_LOCAL_MACHINE \ SOFTWARE \ \ Windows \ CurrentVersion \ \系统”政策/ f / v LocalAccountTokenFilterPolicy / t Reg_DWORD / d 0从组策略禁用UAC远程的限制
您还可以配置UAC远程管理你的组策略的限制。然而,Windows操作系统本身不包含任何政策管理远程限制UAC。因此,您需要使用Windows特定于版本的安全基线管理它。
这个方法也有帮助如果你正在经历LocalAccountTokenFilterPolicy自动改变其值每次重启你的电脑。很可能因为组策略配置不同于你所设置的注册表编辑器。
首先,从这下载Windows版本的安全基线微软安全合规工具包。
下载完成后,继续执行以下步骤到禁用UAC远程限制使用组策略编辑器:
提取下载安全基线。
提取的安全基线 导航到“脚本”文件夹里面提取的安全基线文件夹。
右键单击“Baseline-LocalInstall”,然后点击“运行PowerShell。”
基线与PowerShell脚本运行 PowerShell窗口将出现短暂和关闭自动运行脚本。
现在,返回一个文件夹,进入“模板”文件夹中。
复制”SecGuide.admx“文件粘贴在以下位置:
C:\Windows\ PolicyDefinitions
如果要求管理权限,提供它们。
现在,回到内提取的安全基线文件夹,去“模板\ en - us”。
注意:“en - us”文件夹中可以有一个不同的名称,不同的语言你下载它。
复制项目”SecGuide.adml“粘贴在以下路径:
C:\Windows\ PolicyDefinitions \ en - us
注意:“en - us”文件夹中可以有一个不同的名称,这取决于您的操作系统的语言。
重新启动计算机的更改生效。
重新启动后,按下Windows键+ R打开运行命令框。
输入“gpedit.msc”,按输入。
打开组策略编辑器 从左边的面板导航到以下:
本地计算机策略配置> >计算机管理模板>女士安全指南
导航到女士安全指导文件夹组策略编辑器 注意:女士如果您没有看到“安全指南”文件夹,然后你要么不适用的安全基线正确(步骤3)或没有复制SecGuide.admx或者是SecGuide.adml正确(步骤4至7)。回去重复这些步骤。
双击政策”UAC限制适用于本地网络登录帐户。”
UAC限制适用于本地账户网络登录组策略 选择“禁用”,然后单击应用和好吧。
从组策略禁用UAC的限制 现在重新启动计算机或在一个运行以下命令高架命令提示符更改生效:
GPUpdate /力
电脑重新启动后,远程限制将被禁用UAC。您现在应该能够访问远程计算机使用本地管理员帐户与完全的管理权限。
如果你想重新启用远程限制,只需选择“启用“从”UAC限制适用于当地账户网络登录“组策略并重新启动电脑。
注意,当这个策略设置为“没有配置”,这是默认状态当你安装Windows安全基线,UAC远程限制是默认启用。因此,如果你只做任何修改的LocalAccountTokenFilterPolicy注册表,组策略将恢复它当电脑重启。
外卖
本文列出了3个方法禁用UAC远程限制和允许本地管理员用户连接t的目标计算机完整的管理权限。这将允许他们做出任何更改系统在他们的自由裁量权。
甚至微软建议你应该将LocalAccountTokenFilterPolicy设置为“1”的Windows注册表,远程的限制和禁用UAC。然而,这并不总是最明智的决定。远程禁用UAC限制增加攻击的表面积和大幅增加系统被渗透的机会。
因此,我们建议您不要离开UAC远程禁用长时间的限制,并重新启用不久你不再需要远程访问。
