系统安全:用PsExec帮助网管员限制用户访问

在网络管理中，我们发现限制用户访问并不是一件轻松的事情。经过笔者的试验，发现利用自由软件是一个好方法。笔者最喜欢的方法就是利用PsExec避免用户运行所选择的程序，例如浏览器和电子邮件客户端。PsExec是免费的PsTools工具集的一部分，用户可以从微软的TechNet 站点下载。其使用方法是在要启动的目标程序前面加上如下的字符串：

"c:\windows\system32\psexec.exe" -l -d

虽然此程序目的是在远程计算机上启动程序，用户可以利用命令行开关来以受限用户的身份来运行任何应用程序。-L开关限制（即limit）应用程序的特权。-D开关使这个命令窗口在程序启动时消失（即disappear）。

例如，要对Internet Explorer实施这个技巧，请遵循如下的步骤：

第一步：在用户用来启动IE浏览器的图标上右击（例如，在任务栏的快速启动区域中的Internet Explorer图标上），选择“属性”。

第二步:在弹出的对话框中，单击“快捷方式”选项卡，在“目标”标签后的文本框内，在原来的内容之前插入“c:\windows\system32\psexec.exe -l –d”，（用户的安装程序路径可能与此不同，故应该根据安装PsExec的路径而变化）注意添加空格。完成后“目标”文本框内的内容应该看起来如下：

“c:\windows\system32\psexec.exe” -l -d “ c:\Program Files\Internet Explorer\iexplore.exe”（注意使用时，应该使用英文输入法下的引号）

注意上面的“c:\Program Files\Internet Explorer\iexplore.exe”，如果用户的Windows安装路径与此不同，也应该随着变化。如用户的Windows安装在“D:\windows”，则应该改为“D:\Program Files\Internet Explorer\iexplore.exe”

第三步：为了确保仍能看到Internet Explorer快捷方式的图标，单击“更改图标（C）…”按钮，在弹出的窗口中的“在这个文件中查找图标（L）”下的文本框内添加“c:\Program Files\Internet Explorer\iexplore.exe”，并选择一个图标，单击“确定”。

第四步：完成之后，单击“确定”按钮关闭“Internet Explorer属性”对话框。

如此一来，下一次你启动浏览器时，它就会以一个受限用户的身份运行。