1. Синтаксис команды icacls

2. Синтаксис команды takeown

5. Почему нельзя зайти например в папки Local Settings, Cookies, Documents and Settings?

скрин

-------------------------------------------
11 февраля 2010 г. 1:24:42
----Модуль конфигурации инициализирован успешно.----

----Чтение данных шаблона конфигурации...


----Настройка прав пользователя...
SeImpersonatePrivilege необходимо назначить учетной записи администраторов. Этот параметр настроен.
SeImpersonatePrivilege следует назначать СЛУЖБЕ. Этот параметр настроен.
Настройка S-1-5-19.
Настройка S-1-5-20.
Настройка S-1-5-32-544.
Настройка S-1-5-32-551.
Настройка S-1-5-32-559.
Настройка S-1-5-32-545.
Настройка S-1-1-0.
Настройка S-1-5-6.
Настройка S-1-5-21-170919995-2927919231-3304117949-501.
Настройка S-1-5-32-555.
Настройка S-1-5-80-0.
Настройка S-1-5-80-3139157870-2983391045-3678747466-658725712-1809340420.

Настройка прав пользователя выполнена успешно.


----Настройка членства в группах...
Настройка Пользователи.

Настройка членства в группах выполнена успешно.


----Настройка разделов реестра...
Настройка users\.default.
Настройка machine\software.
Предупреждение 1336: Список управления доступом (ACL) имеет неверную структуру.
Ошибка при установке параметров безопасности на machine\software\Audible.

Ошибка при настройке разделов реестра.


----Настройка безопасности файлов...
Настройка c:\program files\common files\speechengines\microsoft\tts.
Предупреждение 2: Не удается найти указанный файл.
Ошибка при установке параметров безопасности на c:\program files\common files\speechengines\microsoft\tts.
Настройка c:\programdata\microsoft\windows\drm.
Настройка c:\programdata\microsoft\windows\drm\cache.
Настройка c:\windows\repair\default.
Предупреждение 3: Системе не удается найти указанный путь.
Ошибка при установке параметров безопасности на c:\windows\repair\default.
Настройка c:\windows\repair\ntuser.dat.
Предупреждение 3: Системе не удается найти указанный путь.
Ошибка при установке параметров безопасности на c:\windows\repair\ntuser.dat.
Настройка c:\windows\repair\sam.
Предупреждение 3: Системе не удается найти указанный путь.
Ошибка при установке параметров безопасности на c:\windows\repair\sam.
Настройка c:\windows\repair\security.
Предупреждение 3: Системе не удается найти указанный путь.
Ошибка при установке параметров безопасности на c:\windows\repair\security.
Настройка c:\windows\repair\software.
Предупреждение 3: Системе не удается найти указанный путь.
Ошибка при установке параметров безопасности на c:\windows\repair\software.
Настройка c:\windows\repair\system.
Предупреждение 3: Системе не удается найти указанный путь.
Ошибка при установке параметров безопасности на c:\windows\repair\system.
Настройка c:\windows\system32\windows media.
Предупреждение 2: Не удается найти указанный файл.
Ошибка при установке параметров безопасности на c:\windows\system32\windows media.

Настройка безопасности файлов выполнена успешно.


----Настройка параметров общей службы...
Настройка sysmonlog.
Ошибка 1060: Указанная служба не установлена.
Ошибка при открытии sysmonlog.
Настройка SamSs.
Настройка ntmssvc.
Ошибка 1060: Указанная служба не установлена.
Ошибка при открытии ntmssvc.
Настройка netddedsdm.
Ошибка 1060: Указанная служба не установлена.
Ошибка при открытии netddedsdm.
Настройка netdde.
Ошибка 1060: Указанная служба не установлена.
Ошибка при открытии netdde.
Настройка dmserver.
Ошибка 1060: Указанная служба не установлена.
Ошибка при открытии dmserver.
Настройка clipsrv.
Ошибка 1060: Указанная служба не установлена.
Ошибка при открытии clipsrv.
Настройка Browser.

Настройка общей службы выполнена успешно.


----Настройка доступных модулей дополнений...

Настройка модулей дополнений выполнена успешно.


----Настройка политики безопасности...
Настройка параметров паролей.
Учетная запись администратора отключена.
Учетная запись отключена.

Настройка системного доступа выполнена успешно.
Параметр анонимного просмотра LSA : существующий SD = DD;;0x800;;;AN)(A;;0xf1fff;;;BA)(A;;0x20801;;;WD)(A;;0x801;;;AN)(A;;0x1000;;;LS)(A;;0x1000;;;NS)(A ;;0x1000;;;S-1-5-17).
Настройка параметра анонимного просмотра LSA.
Настройка machine\software\microsoft\windows nt\currentversion\setup\recoveryconsole\securitylevel.
Настройка machine\software\microsoft\windows nt\currentversion\setup\recoveryconsole\setcommand.
Настройка machine\software\microsoft\windows nt\currentversion\winlogon\scremoveoption.
Настройка machine\software\microsoft\windows\currentversion\policies\system\dontdisplaylastusername.
Настройка machine\software\microsoft\windows\currentversion\policies\system\legalnoticecaption.
Настройка machine\software\microsoft\windows\currentversion\policies\system\legalnoticetext.
Настройка machine\software\microsoft\windows\currentversion\policies\system\scforceoption.
Настройка machine\software\microsoft\windows\currentversion\policies\system\shutdownwithoutlogon.
Настройка machine\software\microsoft\windows\currentversion\policies\system\undockwithoutlogon.
Настройка machine\software\policies\microsoft\windows\safer\codeidentifiers\authenticodeenabled.
Настройка machine\system\currentcontrolset\control\lsa\auditbaseobjects.
Настройка machine\system\currentcontrolset\control\lsa\crashonauditfail.
Настройка machine\system\currentcontrolset\control\lsa\disabledomaincreds.
Настройка machine\system\currentcontrolset\control\lsa\everyoneincludesanonymous.
Настройка machine\system\currentcontrolset\control\lsa\fipsalgorithmpolicy\enabled.
Настройка machine\system\currentcontrolset\control\lsa\forceguest.
Настройка machine\system\currentcontrolset\control\lsa\fullprivilegeauditing.
Настройка machine\system\currentcontrolset\control\lsa\nolmhash.
Настройка machine\system\currentcontrolset\control\lsa\restrictanonymous.
Настройка machine\system\currentcontrolset\control\lsa\restrictanonymoussam.
Настройка machine\system\currentcontrolset\control\print\providers\lanman print services\servers\addprinterdrivers.
Настройка machine\system\currentcontrolset\control\session manager\kernel\obcaseinsensitive.
Настройка machine\system\currentcontrolset\control\session manager\memory management\clearpagefileatshutdown.
Настройка machine\system\currentcontrolset\control\session manager\protectionmode.
Настройка machine\system\currentcontrolset\services\lanmanserver\parameters\autodisconnect.
Настройка machine\system\currentcontrolset\services\lanmanserver\parameters\enableforcedlogoff.
Настройка machine\system\currentcontrolset\services\lanmanserver\parameters\enablesecuritysignature.
Настройка machine\system\currentcontrolset\services\lanmanserver\parameters\requiresecuritysignature.
Настройка machine\system\currentcontrolset\services\lanmanserver\parameters\restrictnullsessaccess.
Настройка machine\system\currentcontrolset\services\lanmanworkstation\parameters\enableplaintextpassword.
Настройка machine\system\currentcontrolset\services\lanmanworkstation\parameters\enablesecuritysignature.
Настройка machine\system\currentcontrolset\services\lanmanworkstation\parameters\requiresecuritysignature.
Настройка machine\system\currentcontrolset\services\ldap\ldapclientintegrity.

Настройка значений разделов реестра выполнена успешно.
Настройка параметров протоколирования.

Настройка аудита/протоколирования выполнена успешно.


----Настройка доступных модулей дополнений...

Настройка модулей дополнений выполнена успешно.


----Деинициализация модуля настройки...

1. Вопрос №1: Как ДЛЯ ФАЙЛОВ И КЛЮЧЕЙ РЕЕСТРА правильно поставить права только на чтение (rx) в xcacls и subinacl для всех пользователей и групп, и при этом, чтобы объект нельзя было переименовать и удалить?

Все ли верно:

xcacls c:\1.txt /e /p S-1-1-0:rx (ключ /e означает, что существующая запись только редактируется - добавляются группы и/или пользователи к уже имеющимся в записи)
или
xcacls c:\1.exe /p S-1-1-0:rx (список групп и/или пользователей создается заново, теперь в записи будут присутствовать только группы и/или пользователи, которые указаны в команде)

Ключ /t - обрабатываются также подкоталоги и файлы в них, в данном случае он бесполезен, но в случае с папкой его надо будет написать.

Ключ /p удаляет все остальные "галочки" доступа, ставя только те, что указаны в команде (в отличие от ключа /g, который добавляет "галочки" доступа, которые указаны в команде, к уже имеющимся).

При установках только разрешений получается правило - что не разрешено, то запрещено. При этом галочек запретов нет, в окне ГРУППЫ И ПОЛЬЗОВАТЕЛИ стоят только галочки разрешений "чтение и выполнение" и "чтение". Также, можно выставить эти же права командами
xcacls c:\1.exe /p S-1-1-0:rx
subinacl /file c:\1.txt /perm /grant=S-1-1-0=rx
После этого файл можно читать и выполнять, а изменять его содержание (сохранять новую версию на месте старой) нельзя. Но файл можно переименовать и удалить.

Неясный момент: если в ДОПОЛНИТЕЛЬНО убрать все галки в столбце РАЗРЕШИТЬ (в ЭЛЕМЕНТАХ РАЗРЕШЕНИЯ пропадет строчка РАЗРЕШИТЬ), и в стобце ЗАПРЕТИТЬ поставить все галочки, кроме стандартных пяти ("траверс папок\выполнение файлов", "содержание папки\чтение данных", "чтение атрибутов", "чтение дополнительных атрибутов", "чтение разрешений"), наконец-то получилось! - файл можно будет читать\запускать, но его нельзя будет удалить или переименовать.
Однако, если поставить хотя бы 1 галочку в столбце РАЗРЕШИТЬ (в ЭЛЕМЕНТАХ РАЗРЕШЕНИЯ появится строчка РАЗРЕШИТЬ), опятьдвадцатьпять, файл можно будет удалить и переименовать.
Почему так?

Вопрос №2: Как галочка, например, "чтение атрибутов" в столбце РАЗРЕШИТЬ влияет на удаление и переименование файла?

Команды, по сути, одинаковые:
xcacls 1:\1.txt /p S-1-1-0:rx
subinacl /file c:\1.txt /perm /grant=S-1-1-0=rx
означают 5 галочек в столбце РАЗРЕШИТЬ: файл нельзя изменять (сохранять новую версию на месте старой), но, как я уже сказал, можно удалить. Если столбцы РАЗРЕШИТЬ и ЗАПРЕТИТЬ инверсировать (что описано в предыдущем абзаце), разрешения остаются теми же (чтение, чтение и выполнение), но в ЭЛЕМЕНТАХ РАЗРЕШЕНИЙ вместо строчки РАЗРЕШИТЬ появляется строчка ЗАПРЕТИТЬ и файл нельзя переименовать и удалить, что и нужно.
Но как это сделать?

Вопрос №3: как добиться в xcacls и subinacl, чтобы файл/ключ реестра нельзя было изменить, т.е. сохранить новую версию на месте старой, переименовать и удалить?

<?php

/* Класс загрузки файлов на сервер */
class uploadFiles
{
public $extensions;
public $error;
public $size;
public $size_name;
public $src_img;
public $name;
public $i;

public function __construct($extensions, $upload_dir){
$this->extensions = $extensions;
$this->error = '';
$this->src_img = '';
$this->upload_dir = $upload_dir;
}

public function cycleFiles(){
$this->size = count($_FILES['userfile']['name']);
$this->size_name = $_FILES['userfile']['name'][0];
if(!empty($this->size_name))
for($this->i=0; $this->i < $this->size; $this->i++)
{
$this->name = time().'_'.translit($_FILES['userfile']['name'][$this->i]);
$this->error = $this->uploadHandle(1000, $this->extensions, $this->upload_dir, $this->i, $this->name);
$this->src_img .= $this->name.', ';
}
if(empty($this->error))
return $this->src_img;
else
echo $this->error;
return false;
}

public function uploadHandle($max_file_size = 100, $valid_extensions = array(), $upload_dir = '.',$i, $name)
{
$max_file_size *= 1024;

if ($_FILES['userfile']['error'][$i] === UPLOAD_ERR_OK)
{
// проверяем расширение файла
$file_extension = pathinfo($_FILES['userfile']['name'][$i], PATHINFO_EXTENSION);
if (in_array($file_extension, $valid_extensions))
{
// проверяем размер файла
if ($_FILES['userfile']['size'][$i] < $max_file_size)
{
$destination = $upload_dir .'/' . $name;

if (!move_uploaded_file($_FILES['userfile']['tmp_name'][$i], $destination))
$this->error = 'Не удалось загрузить файл';
}
else
$this->error = 'Размер файла больше допустимого';
}
else
$this->error = 'У файла недопустимое расширение';
}
else
{
// массив ошибок
$error_values = array(

UPLOAD_ERR_INI_SIZE => 'Размер файла больше разрешенного директивой upload_max_filesize в php.ini',
UPLOAD_ERR_FORM_SIZE => 'Размер файла превышает указанное значение в MAX_FILE_SIZE',
UPLOAD_ERR_PARTIAL => 'Файл был загружен только частично',
UPLOAD_ERR_NO_FILE => 'Не был выбран файл для загрузки',
UPLOAD_ERR_NO_TMP_DIR => 'Не найдена папка для временных файлов',
UPLOAD_ERR_CANT_WRITE => 'Ошибка записи файла на диск'

);

$error_code = $_FILES['userfile']['error'][$i];

if (!empty($error_values[$error_code]))
$this->error = $error_values[$error_code];
else
$this->error = 'Случилось что-то непонятное';
}
return $this->error;
}

}