Услужна алатка за поврзување во сенка на не-администраторски сесии на корисници на RDP во WinServer 2012R2

Проблемот за време на карантинскиот период на претпријатието стана следниов: навистина е неопходно да се минимизира бројот на посети на канцеларии од специјалисти кои сервисираат и се консултираат за апликативен софтвер, а искрено кажано, корисниците често ја злоупотребуваат помошта од специјалисти без да сакаат да навлезат во самото прашање, велат „ќе дојдат - ќе помогнат - ќе го направат тоа, но јас ќе пушам/пијам кафе итн.“ Телефонските консултации при споделување сервер се поефикасни ако го гледате далечинскиот екран.

По „пронајдокот“ на нашиот велосипед, се појавија разумни информации за темата на статијата: RDS Shadow – поврзување во сенка со сесии на корисници на RDP во Windows Server 2012 R2 или Непривилегиран режим на сенка на корисникот во серверот Windows или Делегирање на управување со сесиите на RDP. Сите тие вклучуваат употреба на конзола, дури и со елементи на едноставен дијалог.

Сите информации подолу се наменети за оние кои нормално толерира абнормални перверзии да го добие посакуваниот резултат, измислувајќи непотребни методи.
За да не ја „влечем мачката за опашката“, ќе започнам со последното: велосипедот работи за просечниот корисник што ја користи алатката AdmiLink, за што благодарение на неговиот автор.

I. Конзола и RDP во сенка.

Од употреба со администраторски права на конзолата на Server Manager -> QuickSessionCollection -> со кликнување на сесијата на корисникот од интерес, избирајќи Shadow од контекстното мени за персоналот кој дава инструкции како да го користи софтверот, не е опција, се разгледуваше друг „дрвен“ метод, имено:

1. Дознајте го RDP ID на сесијата:

query user | findstr Administrator

или:

qwinsta | findstr Administrator 

Згора на тоа "| findstr Администратор„Беше погодно само кога знаеше што точно администратор ви треба или користете го само првиот дел за да ги видите сите најавени на серверот.

2. Поврзете се со оваа сесија, под услов во доменот групни политики Опцијата „Постави правила за далечинско управување за кориснички сесии на услуги за далечинска работна површина“ е избрана со најмалку избрана опција „Сесија на монитор со дозвола од корисникот“ (повеќе):

mstsc /shadow:127

Имајте предвид дека списокот ќе содржи само кориснички најавувања.

Повторувам дека без администраторски права ќе го добиете следново:

Но, за прелиминарно дебагирање на програмата за која ќе се дискутира, користев сметка со администраторски права.

II. Програма

Значи, изјавата за проблемот: создавање едноставен графички интерфејс за поврзување со сетилото за сенка на корисникот со негова дозвола, испраќање порака до корисникот. Избраната програмска средина е Лазарус.

1. Го добиваме целосниот домен список на корисници „најава“ - „полно име“ од администраторот или повторно преку конзолата:

wmic useraccount get Name,FullName 

Никој не го забранува ни ова:

wmic useraccount get Name,FullName > c:testusername.txt

Веднаш ќе кажам дека Лазар имаше проблем со обработката на оваа датотека, бидејќи по дифолт неговото кодирање е UCS-2, па морав само рачно да го конвертирам во обичен UTF-8. Во структурата на датотеката има многу јазичиња, поточно многу празни места, за кои беше одлучено да се обработат програмски; порано или подоцна проблемот со кодирањето ќе биде решен и датотеката ќе се ажурира програмски.

Значи, идејата е да имаме папка достапна за корисниците на програмата, на пример c:test, во која ќе има 2 датотеки: првата со најава и полно име, втората со id_rdp и најавување на корисници. Следно, ги обработуваме овие податоци најдобро што можеме :).

Во меѓувреме, за да се поврземе со списокот на сесии, ја пренесуваме оваа содржина (најава и полно име) во низа:

procedure Tf_rdp.UserF2Array;
var 
  F:TextFile;   i:integer;   f1, line1:String;   fL: TStringList;
begin //f_d глобальный путь к размещению файлов 
f1:=f_d+'user_name.txt';     //задача считать в массив содержимое файла
fL := TStringList.Create; // строку подвергнем метамарфозам с разделителями
fL.Delimiter := '|'; fL.StrictDelimiter := True;
AssignFile(F,f1); 
try // Открыть файл для чтения
  reset(F); ReadLn(F,line1);
  i:=0;
while not eof(F) do // Считываем строки, пока не закончится файл
begin
ReadLn(F,line1);
line1:= StringReplace(line1, '  ', '|',[]); //заменяем первый попавш.2пробела разделителем |
// удаляем все двойные пробелы
while pos('  ',line1)>0 do line1:= StringReplace(line1, '  ', ' ', [rfReplaceAll]);
begin
if (pos('|',line1)>0) then
begin //если разделитель существует заносим его в массив
fL.DelimitedText :=line1; // разбиваем на столбцы
if (fL[0]<>'') then //если учетка имеет имя
begin //вносим ее в массив
 inc(i); // избавляемся от возможных одиночных пробелов в логине
 fam[0,i]:=StringReplace(fL[1],' ','',[rfReplaceall, rfIgnoreCase]);
 fam[1,i]:=fL[0];
 end;end;end;end; // Готово. Закрываем файл.
 CloseFile(F);
 Fl.Free;
 except
 on E: EInOutError do  ShowMessage('Ошибка обработки файла. Детали: '+E.Message);
 end;end;

Се извинувам за „многу код“, следните точки ќе бидат поконцизни.

2. Користејќи го истиот метод од претходниот пасус, го читаме резултатот од обработката на листата во елементот StringGrid, додека јас ќе дадам „значаен“ дел од кодот:

2.1 Ја добиваме тековната листа на RDP сесии во датотека:

f1:=f_d+'user.txt';
cmdline:='/c query user >'+ f1;
if ShellExecute(0,nil, PChar('cmd'),PChar(cmdline),nil,1)=0 then;
Sleep(500); // можно и подольше ждать пока файл для чтения создается

2.2 Обработете ја датотеката (наведени се само значајни линии на код):

StringGrid1.Cells[0,i]:=fL[1]; StringGrid1.Cells[2,i]:=fL[3]; //кидаем в цикле в StringGrid1
login1:=StringReplace(fL[1],' ','',[rfReplaceall, rfIgnoreCase]); //убираем из логина пробелы
if (SearchArr(login1)>=0) then //ищем в массиве из п1. логин и записываем в таблицу ФИО
StringGrid1.Cells[1,i]:=fam[1,SearchArr(login1)]
else StringGrid1.Cells[1,i]:='+'; // либо записываем плюсик:)
.... //в зависимости от выбора пользователя сортируем и форматируем по данным
if (b_id.Checked=true) then SortGrid(0) else SortGrid(1);
StringGrid1.AutoSizeColumn(0);StringGrid1.AutoSizeColumn(1); StringGrid1.AutoSizeColumn(2);  

3. Самото директно поврзување со кликнување на линијата со корисникот и бројот на неговата сесија:

  id:=(StringGrid1.Row);// узнаем номер строки  IntToStr(StringGrid1.Row)
  ids:=StringGrid1.Cells[2,id]; //получаем идентификатор rdp
  cmdline:='/c mstsc /shadow:'+ ids; //и подключаемся....
 if (b_rdp.Checked=True) then  if ShellExecute(0,nil, PChar('cmd'),PChar(cmdline),nil,1) =0 then;       

4. Направени се уште пар украси, како сортирање со кликнување на копчето за радио и пораки до корисникот или сите корисници.

→ Целосниот изворен код може да се види тука

III. Користење на AdminLink - што видов:

AdminLink генерира кратенка која упатува на локацијата на алатката admilaunch.exe, и лична копија од алатката за лансирање AdmiRun.Exe која се наоѓа во папката на корисникот, на пример васија, тип C: Корисници на WINDOWS. Во принцип, не е сè толку лошо: можете да си играте со правата за пристап до датотеката со кратенки и други за да ја исчистите вашата сопствена административна совест.

Извор: www.habr.com