Autologon-Skript: zwei Fehler behoben, die Erfolg meldeten wo keiner war
Der erste Lauf hat NICHTS eingerichtet — weder Auto-Logon noch die
Sperr-Aufgabe. Nachgeprueft: AutoAdminLogon, DefaultUserName und
OilAutoLogonLock allesamt nicht vorhanden.
(1) $ErrorActionPreference = 'Stop' PLUS schtasks /Delete auf eine noch nicht
existierende Aufgabe: native Programme schreiben nach stderr, PowerShell
macht daraus unter 'Stop' einen Abbruch. Das Skript endete, BEVOR /Create
lief. Jetzt wird vorher per /Query geprueft.
(2) Die Erfolgsmeldung log: ein fehlendes DefaultPassword wurde als
"LSA-Secret ✅" ausgegeben — dabei war gar nichts gesetzt, weil der
Autologon-Dialog ohne Enable geschlossen wurde. Abwesenheit eines
Klartext-Passworts beweist nicht, dass der sichere Weg genommen wurde; sie
ist auch mit "nichts passiert" vereinbar. Jetzt ist AutoAdminLogon = 1 die
Bedingung, und erst danach wird ueber die Speicherart geurteilt. Ohne
aktives Auto-Logon bricht das Skript mit Code 1 ab und ueberspringt
Schritt 2.
Dazu ein Design-Fehler, der erst beim Nachdenken auffiel: die Sperre haette bei
JEDER Anmeldung gefeuert — ein ONLOGON-Trigger unterscheidet nicht zwischen
Auto-Logon und manuellem Login. 30 s nach jedem normalen Anmelden waere der
Bildschirm zugefallen. Neu: tools/autologon_lock.ps1 prueft die Systemlaufzeit
und sperrt nur, wenn der Rechner < 3 min laeuft (= Auto-Logon nach Boot).
Trocken getestet: bei 1088 min Laufzeit -> sperrt nicht.
Beide .ps1 mit BOM geschrieben und mit dem echten 5.1-Parser gegengeprueft
(0 Fehler). check_nfalle.py Stufe C2 deckt alle drei Skripte ab.
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
This commit is contained in:
Axel Hocks
co-authored by
Claude Opus 5
Claude Opus 5
parent
da863371d3
commit
eccc13f2cf
@@ -7,35 +7,44 @@
|
||||
# angemeldete Sitzung hilft NICHT: der Bot braucht das laufende MT5-TERMINAL,
|
||||
# und das ist eine GUI-Anwendung — es braucht eine echte Desktop-Sitzung.
|
||||
#
|
||||
# ⚠⚠ WARUM DIESES SKRIPT UND NICHT DIE REGISTRY. Der verbreitete Weg schreibt
|
||||
# das Passwort als `DefaultPassword` im KLARTEXT nach
|
||||
# HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon — dort kann es
|
||||
# jeder lokale Administrator und jedes Backup-Image lesen. Sysinternals
|
||||
# `Autologon` legt es stattdessen als **verschluesseltes LSA-Secret** ab. Gleiche
|
||||
# Wirkung, deutlich besseres Versteck. Die EXE ist von Microsoft signiert
|
||||
# (geprueft: Status Valid, CN=Microsoft Corporation).
|
||||
# ⚠⚠ WARUM SYSINTERNALS UND NICHT DIE REGISTRY. Der verbreitete Weg schreibt
|
||||
# das Passwort als `DefaultPassword` im KLARTEXT nach HKLM\...\Winlogon — dort
|
||||
# kann es jeder lokale Administrator und jedes Backup-Image lesen. Sysinternals
|
||||
# `Autologon` legt es als verschluesseltes LSA-Secret ab.
|
||||
#
|
||||
# ⚠ DAS RESTRISIKO BLEIBT und ist NICHT das Passwort: nach dem Reboot steht eine
|
||||
# ANGEMELDETE Sitzung mit offenem MT5 und Live-Broker-Verbindung da. Wer physisch
|
||||
# an den Rechner kommt, sitzt davor. Deshalb sperrt Schritt 2 den Bildschirm
|
||||
# sofort wieder — die Sitzung laeuft (MT5 arbeitet), der Desktop ist zu.
|
||||
# ⚠ RESTRISIKO, das bleibt: nach dem Reboot steht eine ANGEMELDETE Sitzung mit
|
||||
# offenem MT5 und Live-Broker-Verbindung da. Schritt 2 sperrt deshalb den
|
||||
# Bildschirm — aber nur nach einem Auto-Logon, nicht nach jeder Anmeldung
|
||||
# (s. `autologon_lock.ps1`).
|
||||
#
|
||||
# AUFRUF: dieses Fenster muss ALS ADMINISTRATOR laufen.
|
||||
# powershell -ExecutionPolicy Bypass -File tools\autologon_einrichten.ps1
|
||||
# AUFRUF (Fenster muss ALS ADMINISTRATOR laufen):
|
||||
# powershell -ExecutionPolicy Bypass -File tools\autologon_einrichten.ps1
|
||||
#
|
||||
# ⚠ Das Passwort steht bewusst NICHT in dieser Datei und wird nirgends
|
||||
# gespeichert — es wird im GUI-Dialog von Autologon eingegeben.
|
||||
# ⚠ Das Passwort steht NICHT in dieser Datei und wird nirgends gespeichert —
|
||||
# es wird im GUI-Dialog von Autologon eingegeben.
|
||||
#
|
||||
# ⚠⚠ ZWEI FEHLER AUS DEM ERSTEN VERSUCH (2026-08-07), hier behoben:
|
||||
# 1. `$ErrorActionPreference = 'Stop'` PLUS `schtasks /Delete` auf eine noch
|
||||
# nicht existierende Aufgabe = das Skript brach ab, BEVOR /Create lief.
|
||||
# Native Programme schreiben nach stderr, und PowerShell macht daraus unter
|
||||
# 'Stop' einen Abbruch. Jetzt wird vorher geprueft, ob es sie ueberhaupt gibt.
|
||||
# 2. Die Erfolgsmeldung log: fehlendes `DefaultPassword` wurde als
|
||||
# "LSA-Secret ✅" gemeldet — dabei war schlicht GAR NICHTS gesetzt. Jetzt
|
||||
# ist `AutoAdminLogon = 1` die Bedingung, und erst danach wird ueberhaupt
|
||||
# ueber die Speicherart geurteilt.
|
||||
|
||||
$ErrorActionPreference = 'Stop'
|
||||
$hier = Split-Path -Parent $MyInvocation.MyCommand.Path
|
||||
$k = 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon'
|
||||
$t = 'OilAutoLogonLock'
|
||||
|
||||
$id = [Security.Principal.WindowsIdentity]::GetCurrent()
|
||||
if (-not (New-Object Security.Principal.WindowsPrincipal($id)).IsInRole(
|
||||
[Security.Principal.WindowsBuiltInRole]::Administrator)) {
|
||||
Write-Host " ABBRUCH: Dieses Fenster hat keine Administratorrechte." -ForegroundColor Red
|
||||
Write-Host " PowerShell als Administrator oeffnen und erneut aufrufen."
|
||||
exit 1
|
||||
}
|
||||
|
||||
$hier = Split-Path -Parent $MyInvocation.MyCommand.Path
|
||||
$exe = Join-Path $hier 'autologon\Autologon64.exe'
|
||||
if (-not (Test-Path $exe)) { $exe = Join-Path $hier 'autologon\Autologon.exe' }
|
||||
if (-not (Test-Path $exe)) {
|
||||
@@ -44,38 +53,75 @@ if (-not (Test-Path $exe)) {
|
||||
}
|
||||
|
||||
Write-Host "=================================================================="
|
||||
Write-Host " SCHRITT 1 — Auto-Logon aktivieren (verschluesseltes LSA-Secret)"
|
||||
Write-Host " SCHRITT 1 - Auto-Logon aktivieren (verschluesseltes LSA-Secret)"
|
||||
Write-Host "=================================================================="
|
||||
Write-Host " Benutzer : $env:USERNAME"
|
||||
Write-Host " Domaene : $env:COMPUTERNAME (lokales Konto)"
|
||||
Write-Host " Es oeffnet sich der Autologon-Dialog. Passwort dort eintragen"
|
||||
Write-Host " und auf Enable klicken."
|
||||
Write-Host " Benutzer: $env:USERNAME Domaene: $env:COMPUTERNAME (lokal)"
|
||||
Write-Host ""
|
||||
Write-Host " Es oeffnet sich gleich der Autologon-Dialog." -ForegroundColor Cyan
|
||||
Write-Host " --> Passwort eintragen und auf ENABLE klicken." -ForegroundColor Cyan
|
||||
Write-Host " (Wird der Dialog nur geschlossen, passiert NICHTS - das Skript"
|
||||
Write-Host " sagt es dann auch.)"
|
||||
Write-Host ""
|
||||
Start-Process -FilePath $exe -ArgumentList '/accepteula' -Wait
|
||||
|
||||
# ── Ergebnis pruefen ────────────────────────────────────────────────────
|
||||
$k = 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon'
|
||||
# ── Ergebnis ehrlich pruefen ────────────────────────────────────────────
|
||||
$an = (Get-ItemProperty -Path $k -Name AutoAdminLogon -EA SilentlyContinue).AutoAdminLogon
|
||||
$user = (Get-ItemProperty -Path $k -Name DefaultUserName -EA SilentlyContinue).DefaultUserName
|
||||
$klartext = (Get-ItemProperty -Path $k -Name DefaultPassword -EA SilentlyContinue).DefaultPassword
|
||||
$aktiv = ($an -eq '1')
|
||||
|
||||
Write-Host ""
|
||||
Write-Host " AutoAdminLogon : $an"
|
||||
if ($klartext) {
|
||||
Write-Host " ⚠ DefaultPassword steht im KLARTEXT in der Registry!" -ForegroundColor Yellow
|
||||
Write-Host " (Autologon sollte das vermeiden — bitte pruefen.)"
|
||||
} else {
|
||||
Write-Host " DefaultPassword : nicht im Klartext ✅ (LSA-Secret)"
|
||||
Write-Host " AutoAdminLogon : $(if ($an) { $an } else { '(nicht gesetzt)' })"
|
||||
Write-Host " DefaultUserName : $(if ($user) { $user } else { '(nicht gesetzt)' })"
|
||||
|
||||
if (-not $aktiv) {
|
||||
Write-Host ""
|
||||
Write-Host " ==> AUTO-LOGON IST NICHT AKTIV." -ForegroundColor Yellow
|
||||
Write-Host " Der Dialog wurde offenbar ohne 'Enable' geschlossen."
|
||||
Write-Host " Skript einfach erneut aufrufen und auf Enable klicken."
|
||||
Write-Host ""
|
||||
Write-Host " Schritt 2 wird uebersprungen - eine Sperr-Aufgabe ohne"
|
||||
Write-Host " Auto-Logon waere nur laestig."
|
||||
exit 1
|
||||
}
|
||||
|
||||
# ── Schritt 2: Sitzung sofort sperren ───────────────────────────────────
|
||||
if ($klartext) {
|
||||
Write-Host " DefaultPassword : ⚠ KLARTEXT in der Registry!" -ForegroundColor Yellow
|
||||
} else {
|
||||
Write-Host " DefaultPassword : nicht im Klartext (LSA-Secret) ✅" -ForegroundColor Green
|
||||
}
|
||||
|
||||
# ── Schritt 2: Bildschirmsperre nach dem Auto-Logon ─────────────────────
|
||||
Write-Host ""
|
||||
Write-Host "=================================================================="
|
||||
Write-Host " SCHRITT 2 — Bildschirm nach dem Auto-Logon sofort sperren"
|
||||
Write-Host " SCHRITT 2 - Bildschirm nach dem Auto-Logon sperren"
|
||||
Write-Host "=================================================================="
|
||||
$t = 'OilAutoLogonLock'
|
||||
schtasks /Delete /TN $t /F 2>$null | Out-Null
|
||||
schtasks /Create /TN $t /SC ONLOGON /RU "$env:USERNAME" /DELAY 0000:30 `
|
||||
/TR "rundll32.exe user32.dll,LockWorkStation" /F | Out-Null
|
||||
Write-Host " Aufgabe '$t' angelegt (30 s nach Anmeldung -> Sperrbildschirm)."
|
||||
Write-Host " Die Sitzung LAEUFT weiter, MT5 und beide Server arbeiten."
|
||||
|
||||
# ⚠ Erst pruefen, dann loeschen. `schtasks /Delete` auf eine fehlende Aufgabe
|
||||
# schreibt nach stderr und wuerde unter $ErrorActionPreference='Stop' abbrechen.
|
||||
$vorhanden = $false
|
||||
try {
|
||||
$null = & schtasks /Query /TN $t 2>&1
|
||||
$vorhanden = ($LASTEXITCODE -eq 0)
|
||||
} catch { $vorhanden = $false }
|
||||
if ($vorhanden) {
|
||||
$null = & schtasks /Delete /TN $t /F 2>&1
|
||||
Write-Host " alte Aufgabe entfernt"
|
||||
}
|
||||
|
||||
$lock = Join-Path $hier 'autologon_lock.ps1'
|
||||
$cmd = "powershell -NoProfile -ExecutionPolicy Bypass -WindowStyle Hidden -File `"$lock`""
|
||||
$null = & schtasks /Create /TN $t /SC ONLOGON /RU "$env:USERNAME" /DELAY 0000:30 /TR $cmd /F 2>&1
|
||||
if ($LASTEXITCODE -eq 0) {
|
||||
Write-Host " Aufgabe '$t' angelegt." -ForegroundColor Green
|
||||
Write-Host " Sperrt 30 s nach der Anmeldung - aber NUR, wenn der Rechner"
|
||||
Write-Host " gerade gebootet hat. Nach manueller Anmeldung passiert nichts."
|
||||
Write-Host " Die Sitzung laeuft weiter: MT5 und beide Server arbeiten."
|
||||
} else {
|
||||
Write-Host " ⚠ Aufgabe konnte nicht angelegt werden (Code $LASTEXITCODE)." -ForegroundColor Yellow
|
||||
}
|
||||
|
||||
Write-Host ""
|
||||
Write-Host " Rueckgaengig: $exe /accepteula (Disable) und"
|
||||
Write-Host " schtasks /Delete /TN $t /F"
|
||||
Write-Host " Rueckgaengig:"
|
||||
Write-Host " $exe /accepteula (dann Disable)"
|
||||
Write-Host " schtasks /Delete /TN $t /F"
|
||||
|
||||
Reference in New Issue
Block a user