Problem mit dem Local System Account und dem Aufruf von .vbs Dateien

[kongootto]

Hallo,

folgendes Problem: ich habe auf einem Windows Server 2003 WAMP installiert und eine php-basierte Web Anwendung geschrieben. Die Benutzer sollen über die Web Anwendung bestimmte Aufträge bzw. Dateien angeben und über ein, von dem php-Skript angestoßenes .vbs-Skript, auf ein oder mehrere Server in derselben Domäne kopieren können.

Der Haken dabei ist. Damit der Aufruf des .vbs Skriptes funktioniert, muss beim wampapache-Dienst "Logon as Local System account" eingestellt und "allow service to interact with desktop" aktiviert sein. Allerdings besitzt der "Local System Account" keine Rechte für den Netzwerkzugriff, so dass ich keine Dateien auf die anderen Server in der Domäne kopieren kann.

Wenn ich ein anderes Konto, bspw. das des Administartors angebe, funktioniert der Aufruf der .vbs-Datei wiederum nicht, da es dort kein "allow service to interact with desktop" gibt.

Ein manuell Start der .vbs Datei ist leider nicht möglich, da der ganze Prozess automatisert über die Web Oberfläche ablaufen soll.

Ich habe schon einen weiteren lokalen Benutzer erstellt und diesem über die "Local Security Settings" das Recht "Logon as a Service" gegeben; aber das hat alles nicht gebracht

Ich habe, so wie ich es sehe, zwei Möglichkeiten:

a) den Local System Account dazu bringen, dass er irgendwie auf bspw. gemappte Laufwerke zugreifen kann.

b) einen anderen Account dazu bringen, dass der Start der .vbs-Datei aus php heraus möglich ist.

Hat jemand von euch eine Idee.

Gruss & Danke
Kongootto

 

[DiableNoir]

Also erstmal möchte ich von der Verwendung des Accounts Local System oder eines Administrator-Accounts für solche Dienste dringend abraten. Damit reist du ein riesiges Sicherheitsloch auf. Stell dir nur vor, was ein Angreifer machen könnte, wenn er ein Exploit auf den Apache-Server ausführen kann.

Lässt sich die Funktionalität des VBS-Scripts nicht in PHP realisieren? Beherrschst du andere Sprachen wie VB.NET, C#,...? ASP.NET wäre hier nämlich sehr gut geeignet und ließe sich zB in Verbindung mit Mono realisieren.

Ansonsten mal sehen, was die anderen User hier dazu sagen.

 

[kongootto]

Hallo nochmal,

das Skript läuft in einer geschützten Umgebung und ist außerhalb unserer Firma nicht zugänglich. Für .vbs spricht, dass man keine weitere Software auf den beteiligten Maschinen installieren muss (wenn ich das Skript per Hand anstoße läuft es ja einwandfrei). Denn ich kann/darf auf den involvierten Servern keine zusätzlichen Software installieren, da es sich um produktive Systeme handelt, die möglichst performant laufen müssen/sollen.

Gruss
Kongootto