[Win2K] Policy-probleem.

[DSmarty]

Windows 2000 Server SP2 US.

Na het draaien van Windows-update (plus beveilings-fixes) gereboot.

Nu kan ik niet meer inloggen:

the local policy of this system does not permit you to logon interactively

Dit onder account: Administrator
Ik kom er echt met geen mogelijkheid meer in, in geen van de mogelijke opstartmodi etc.

Iemand enig idee

[Ace]

When you try to log on to your Windows 2000 computer, you receive:

The local policy of this system does not permit you to logon interactively.

This can occur if the Local Security policy has been set to deny local logon rights to Everyone.

To workaround this problem:

1. Connect to the problem computer with a Net use x: \\ProblemComputerName\C$ <Password> /u:Administrator

2. Navigate to the %SystemRoot%\Security\Database folder.

3. Rename Secedit.sdb to Secedit.old_sdb.

4. Copy an operational Secedit.sdb from a Windows 2000 platform of the same edition (Server to Server or Professional to Professional).

5. Shutdown and restart the problem computer.

[kwtemp874]

meestal wil ff bij microsft kijken nog wel eens helpen



RESOLUTION
To work around this behavior, you can access the computer that is denying a user access by means of an administrative account situated on another client. Then you can use the Ntrights.exe program from the Microsoft Windows 2000 Resource Kit to remove the user from the "Deny Logon Locally" user right.

To perform this procedure, use the following (case-sensitive) syntax:

ntrights -m \\computer -u group or user to remove -r SetDenyInteractiveLogonRight

[Chakotay]

Das van je proxy?

Uhm hang schijf in andere werkende computer, sleur de data die je wil bewaren eraf en format em dan... Maar dat is vast neit de beste oplossing denkik.

[Verwijderd]

Ik neem aan dat de server een domain controller is? Zitten er meer servers in het domein? Er is een policy waarin je kunt zetten dat gebruikers niet mogen inloggen, eventueel is daarin iets misgegaan, kijk of je die policy op een andere server kunt uitschakelen?

[DSmarty]

Keldon --> Heb die secedit.sdb reeds vervangen, dit had geen enkel resultaat.
Chakotay --> Proxy idd, wel goede backup.
RefriedNoodle --> Het is geen domaincontroller, die draait wel in hetzelfde netwerk. Deze machine is als standalone server geconfigureerd.

[real[B]art]

[topic=331522/1/25] al gelezen?

[DSmarty]

Op zondag 24 maart 2002 23:58 schreef kwtemp het volgende:
meestal wil ff bij microsft kijken nog wel eens helpen



RESOLUTION
To work around this behavior, you can access the computer that is denying a user access by means of an administrative account situated on another client. Then you can use the Ntrights.exe program from the Microsoft Windows 2000 Resource Kit to remove the user from the "Deny Logon Locally" user right.

To perform this procedure, use the following (case-sensitive) syntax:

ntrights -m \\computer -u group or user to remove -r SetDenyInteractiveLogonRight

Dat gaat over een user, niet de admin.
Tevens heb ik geen resourcekit thuis liggen.

[DSmarty]

Op maandag 25 maart 2002 00:05 schreef realbart het volgende:
[topic=331522/1/25] al gelezen?

Grapjas.

MS Technet hielp me niet echt voort, vandaar mijn vraag alhier.

[real[B]art]

Op maandag 25 maart 2002 00:07 schreef DSmarty het volgende:
Grapjas.

MS Technet hielp me niet echt voort, vandaar mijn vraag alhier.

OK, maar aangezien de eerste reply verdomd veel op een werkende oplossing leek die zo van Technet gekopieerd kon zijn...vandaar mijn gedachte

[DSmarty]

Hehe, had ik reeds geprobeerd.

Ik denk dat ik morgen maar ga herinstalleren.
De proxy zal dus nog een dagje offline blijven
(draait webserver/forum/proxy voor DPC op)

[Verwijderd]

Als het geen DC is maar een member server in de AD kan een je in de Domain (Security) Policy de Deny Logon Localy definieren. Deze overruled altijd de DC Security of Local Security Policy.

Wel nadat dit is gelukt weer om zetten naar juiste settings ivm security

[real[B]art]

Tja, ik kan je helaas niet verder helpen, dus rest mij niets anders dan je een goede nachtrust en suc6 te wensen

[DSmarty]

Op maandag 25 maart 2002 00:14 schreef DaffyD het volgende:
Als het geen DC is maar een member server in de AD kan een je in de Domain (Security) Policy de Deny Logon Localy definieren. Deze overruled altijd de DC Security of Local Security Policy.

Wel nadat dit is gelukt weer om zetten naar juiste settings ivm security

Helaas heb ik de server niet in de AD opgenomen, dus deze mogelijkheid viel ook al af. (ja het wordt erg lastig denk ik)

[DSmarty]

Op maandag 25 maart 2002 00:15 schreef realbart het volgende:
Tja, ik kan je helaas niet verder helpen, dus rest mij niets anders dan je een goede nachtrust en suc6 te wensen

Dank je.

* DSmarty heeft iig geleerd niet klakkeloos alle MS-updates te installeren.

[Fanaat]

Ik ben verbaasd over de snelheid en het aantal van de reacties. This is GOT spirit:)
Jammer dat ut nog niet tot resultaat geleid heeft.
Ja, ik ben TeamBVD member

[Gianni Rombios]

http://www.hackers.com/new/viewexploit.php?eid=30&sec=exploit

[alt-92]

Even de relevante info eruit gekwoot:

After the final install process the PC reboots as usual and then
locked me out with the same error. He reinstalled the OS this
time staying out of the domain.

He then booted and mapped to the admin share on the server,
browsed to and deleted (see MSKB Q201227): {xxxx-XXXX} =
Combination of letters numbers (hex) there will be two of these
and you have to remove the file from both (numbered them 1 and
2, but that has nothing to do with the numbers inside the {}):

C:\WINNT\SYSVOL\DOMAIN\Policies\{xxxx-XXX1}\Machine\Microsoft\Windows NT\SecExit\GptTmpl.inf
C:\WINNT\SYSVOL\DOMAIN\Policies\{xxxx-XXX2}\Machine\Microsoft\Windows NT\SecExit\GptTmpl.inf

Within a few seconds the HD activity lights went nuts (policy
change was taking effect) and he was able to log into his Server.
Justin rebooted his laptop and regained access to that as well.

De mogelijke oorzaak:

Repeat these steps to
reproduce the bug:

1. Log in as a local admin
2. Check your local security policy under "User rights" to
make sure "Everyone" cannot logon locally, by default it
can't.
3. Rename the local administrators group to something besides
"Administrators"
4. Reboot your machine
5. Try to log in as an administrator either Domain or local.
You can't because your local policy setting says
"Administrators" may logon locally but- that group no
longer exists (since you renamed it). In other words the
local policy settings aren't stored using SIDs, it's just
storing straight group names - very lazy on the part of
Microsoft. Also quite annoying when you find you can't
login to your machine because you changed the name of the
Administrators group.

[Ace]

Op maandag 25 maart 2002 00:09 schreef realbart het volgende:

[..]

OK, maar aangezien de eerste reply verdomd veel op een werkende oplossing leek die zo van Technet gekopieerd kon zijn...vandaar mijn gedachte

Dat was het inderdaad, gewoon gegooled met die foutmelding