השאלה בכותרת: שאילתות WMI אסינכרוניות (כלומר, כאלה שנקראות דרך ExecNotificationQueryAsync) נכשלות על Access Denied כשאני מריץ את הלקוח על XP PRO והשרת הוא 2003 (אנטרפרייז, אם מישהו חושב שזה משנה). מ-2003 אני מצליח לגשת ל-2003 ול-XP, ומ-XP אני מצליח לגשת ל-XP אבל לא ל-2003.

ניסיתי ב-CPP, ב-VBS, ולבסוף, עברתי לבצע את הניסויים רק בעזרת wbemtest. השאילתה הסצפיתי שאני מבקש היא "SELECT * FROM Win32_ProcessTrace".

מעניין שאותה שאילתה בצורה "סמי-סינכרונית" פועלת מ-XP ל-2003.

לא מצאתי בתיעוד או באינטרנט בכלל תיאור של הבעיה, שלא לדבר על פיתרונות.

אודה לעוזרים.

אני הייתי מריץ סניפר על הפעולה ורואה מה ההבדלים...

נמאס לכם לזכור סיסמאות? לחצו כאן!

הבעיה היא אותה בעיה שבגללה לא רציתי ישר לדבג את כל העסק: יש לי את WMI מעל COM מעל RPC מעל SMB, ויש אימות ואבטחה בכל רמה פחות או יותר. אני חושש שלמצוא מי אשם ב-wireshark לא יהיה הרבה יותר קל מאשר ב-windbg.

אבל אני אנסה. אשתדל לחזור עם תוצאות (או רמזים).

ציטוט:

במקור נכתב על ידי זוהי יונה יש לי את WMI מעל COM מעל RPC מעל SMB, ויש אימות ואבטחה בכל רמה פחות או יותר.

אחי, יש לך עוד משהו.

אומץ שחבל על הזמן!

נמאס לכם לזכור סיסמאות? לחצו כאן!

וממתכנתי ווינדוס בפרט.

- ניסית לבצע את אותה הפעולה עם משתמשים שונים?
- אולי השרת מוגבל באיזה GPO מסויים? תנסה להעביר אותו לOU נקי מהגדרות רשת ותבדוק את זה אם אתה יכול
- תנסה להשתמש במקבילה הפקודתית (wmic) בשביל שאילתה זו ותראה אם זה גם נכשל
- יש הודעות שגיאה ב even log של השרת? (אולי משהו בsecurity, תבדוק)
- אפשר לראות את הקוד, או לפחות קוד "מסורס" הכולל את השאילתא עצמה כשהיא נכשלת כדי שנבדוק אם זה קורה גם במקומות אחרים?

- בגדול, על כל המחשבים יש רק משתמש Administrator, ולכולם אותה סיסמה. בוווינדוס יש איזה קסם שלא מחייב אותך להתאמת ישירות במקרה כזה (גם בשביל סתם לגשת ל-share-ים ב-SMB לא צריך להתאמת במצב הזה). אני לא בטוח איך זה עובד בדיוק, אבל זה עובד, וזה גם המקרה אצלי. אם אני מזדהה כ-Administrator עם הסיסמה, התוצאות זהות. אני אנסה ליצור משתמשים נוספים, אם אתה חושב שזה רלוונטי.

- למיטב ידיעתי איך הגדרות GP שאינן דיפולטיות במחשבים שעבדתי עליהם. ניסיתי על מספר מחשבי XP PRO ו-2003 שונים (אין דומיין, אגב), והמצב זהה עם כולם (כלומר, כל XP לכל XP פועל, כל XP ל-2003 נכשל, כל 2003 לכל XP או 2003 פועל).

- ב-WMIC למיטב ידיעתי אין אפשרות לבקש notification queries בכלל, ולא את זו שאני רוצה בפרט.

- לא בדקתי. אני אציץ.

- הקוד, דומה לקטע הקוד השני בעמוד http://msdn2.microsoft.com/en-us/library/aa392396(VS.85).aspx. יש מתחתיו כל מיני הערות לגבי אבטחה, אבל לא ברור לי למה מה שקרה תלוי במערכות ההפעלה בצורה כזו, ולמה זה קורה גם עם wbemtest (שאני די סומך על זה שהוא כתוב כמו שצריך)

הגדרות ברירות המחדל בין XP ל2003 שונות, תשווה את הרשאות local security settings בין 2 סוגי המחשבים ותסיר ב2003 את enhanced security משהו משהו (כן, אני יודע שזה רק לIE, אבל לך תדע מה עוד הוא עושה)
כל השאר לא רלוונטי אם לא מדובר על דומיין אלא רק תחנות קצה באותו ה workgroup

לגבי הקסם...

אגב, הסקריפט שלי נראה בערך כך:

קוד:

Const MACHINE = "." 
Const QUERY = "SELECT * FROM Win32_ProcessTrace"

Set WBEMLocator = CreateObject("WbemScripting.SWbemLocator")
Set WBEMServices = WBEMLocator.ConnectServer(MACHINE)

Set EventSink = WScript.CreateObject("WbemScripting.SWbemSink", "SINK_")

WBEMServices.ExecNotificationQueryAsync EventSink, QUERY
WScript.Echo "Waiting for events..."

i = 0
While (True)
	Wscript.Sleep(1000)
Wend

Sub SINK_OnObjectReady(objObject, objAsyncContext)
	Wscript.Echo "Win32_ProcessTrace (" & objObject.Path_.Class & ") event has occurred:" & vbNewLine & _
				 "Process Name: " & objObject.ProcessName & vbNewLine & _
				 "Process ID:   " & objObject.ProcessID & vbNewLine
	i = i+1
	If i = 5 Then WScript.Quit 0 
End Sub

ההבדל העיקרי לעומת הקוד בלינק שהבאתי הוא שהם משתמשים במוניקר, ואני משתמש ב-WBEM locator. אבל שוב, בעיקרון זה לא אמור לשנות, וכשאני בודק עם wbemtest אני לא אמור לדעת ולא אכפת לי איך הוא מתחבר (ונכשל)

לילה טוב. נתראה בקרוב.

נ.ב.
דמיין לעצמך שבקריאה ל-ConnectServer אני כן מעביר "דומיין" (שם המחשב או ריק בעצם), שם משתמש וסיסמה. לא ניסיתי לשנות authority, כי אני מאמין שזה אמור להיות קרברוס בברירת מחדל, ואני לא רואה שום סיבה להשתמש ב-NTLM.
טוב שיש תצוגה מקדימה.

ואיפה אתה נופל בפעולה ExecNotificationQueryAsync?

דרך אגב, אולי שווה לך לנסות (למרות הקסם) להשתמש ב impersonation ולציין במפורש את המשתמש המקומי (computer\user) למרות ששמות המשתמשים והסיסמאות זהים.
http://www.pcreview.co.uk/forums/thread-531838.php

וסתם שאלה, למה אתה משתמש בזה בכלל? לאיזה אירוע אתה מחכה כדי להריץ את השאילתא? (פשוט לא נתקלתי בסיטואציה שמצריכה את זה בינתיים)