事の始まり
2018/04の大型アップデートを当てたあたりから、イベントビューアにへんなエラーログがいっぱい出て、アプリの起動や動作が重くなる現象が発生するようになった。以下が変なログの例だ。
ソース(S) : SecurityCenter
イベントID(E) : 16
レベル(L) : エラー
ユーザー(U) : N/A
オペコード(O) :
タグの日付(D) : YYYY/MM/DD HH:MM:SS
タスクカテゴリ(Y) : なし
キーワード(K) : クラシック
コンピューター(R) : (自分のPC名)
EventData : SECURITY_PRODUCT_STATE_ON 02000000
全般 :
の状態を SECURITY_PRODUCT_STATE_ON に更新中にエラーが発生しました。
ソース(S) : DistributedCOM
イベントID(E) : 10010
レベル(L) : エラー
ユーザー(U) : (自分のPC名)\(ユーザ名)
オペコード(O) : 情報
タグの日付(D) : YYYY/MM/DD HH:MM:SS
タスクカテゴリ(Y) : なし
キーワード(K) : クラシック
コンピューター(R) : (自分のPC名)
EventData : param1 {AB8902B4-09CA-4BB6-B78D-A8F59079A8D5}
全般 :
サーバー {AB8902B4-09CA-4BB6-B78D-A8F59079A8D5} は、必要なタイムアウト期間内に DCOM に登録しませんでした。
とよくわからない、正体不明エラーがものすごい出るようになりました、何もしないのに、５秒間隔くらいで出まくる
確かWindowsのSecurityCenterは他社のセキュリティツールを使っているとよく問題を起こすうえ、回復方法が復元ポイントからの復帰しかない。
問い合わせてみた
念のためMicroSoftのサポートに連絡をしてみたが案の定
・「新規アカウントを作成」して同じ問題が起きるかどうか確認する。
・システム ファイルの修復などを行う以下の手順を実行する。
1. 左下のスタート メニューを右クリックし、[コマンド プロンプト (管理者) ] を選択します。
2. [このアプリが PC に変更を加えることを許可しますか?] と表示された場合は [はい (Y)] を選択します。
3. 黒いコマンド プロンプト画面に以下を入力して Enter キーを押します。
dism /online /cleanup-image /restorehealth
4. 同じプロンプト画面に以下を入力して Enter キーを押します。
sfc /scannow
・復元ポイントから問題の発生する前の日付に復元してみる
というお決まり回答をもらった、なお、「新規アカウントを作成」と「ファイルの修復」は試してみてダメだった。
「復元ポイント」は経過日数がありすぎて、戻すといろいろ巻き戻るのであきらめた。
悪あがきしてみよう
これは、最終手段としてクリーンインストールしかないかな。とあきらめモードでしたが、1つ思いついたことがあったので試してみることに。
Windows Security Centerはあくまでセキュリティ関連の告知とセキュリティーツールの集約をしているだけのはずなので、サードパーティ製のツールで一時しのぎできないかと。
というのも、バックアップを取ろうにも謎のエラーイベントのおかげで、ツール類の動作が遅くて話にならないため、一旦SecurityCenterを止めて、バックアップデータを確保したい。
一旦問題のサービスを止めたい
確か、Windows7の時は管理者起動した、コマンドプロンプトでsc.exeでサービスが停止できたはず。
SecurityCenterの実体はwscsvcなので、以下のように停止を打ち込んでみた
sc.exe stop "wscsvc"
[SC] OpenService FAILED 5:
アクセスが拒否されました。
あれ?、じゃあ起動無効化にして再起動すればいいのでは、と思って無効化コマンド
sc.exe config "wscsvc" start=disabled
[SC] OpenService FAILED 5:
アクセスが拒否されました。
む、管理者なのにアクセスできない…じゃあ、サービスのACLを確認してみると
sc.exe sdshow "wscsvc"
D:(A;;CCLCSWRPLORC;;;BU)
(A;;CCLCSWRPLOCRRC;;;SY)
(A;;CCLCSWRPLOCRRC;;;BA)
(A;;CCLCSWRPLORC;;;IU)
(A;;CCLCSWRPLORC;;;SU)
(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;S-1-5-80-956008885-3418522649-1831038044-1853292631-2271478464)
(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;S-1-5-80-259296475-4084429506-1152984619-38739575-565535606)
S:(AU;FA;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;WD)
なんだと…、管理者でも扱えない権限だと…
やむを得ず、一旦Taskkillでつぶすか
まず該当プロセスを探して
tasklist /SVC /FI "SERVICES eq wscsvc"
イメージ名 PID サービス
========================= ======== ============================================
svchost.exe 12164 wscsvc
見つけた、PIDは12164だった。で、これを
taskkill /F /PID 12164
成功: PID 12164 のプロセスは強制終了されました。
お、止められた。確認してみる
tasklist /SVC /FI "SERVICES eq wscsvc"
情報: 指定された条件に一致するタスクは実行されていません。
よし、止まってる、今のうちにバックアップだ…
と思ってたら、１０分ほどで…急にバックアップが激重になったので、再度プロセスを確認してみると
tasklist /SVC /FI "SERVICES eq wscsvc"
イメージ名 PID サービス
========================= ======== ============================================
svchost.exe 7696 wscsvc
あれ、復活してるやん。だめか。無効化して止めるしかないか。
Windows10のサービスにはACLが付与されたんだよ!!
たしか、WindowsのサービスのACL変更は、sc.exe sdset "サービス名" "SDDL表記"だったと記憶してる
sc.exe sdshow "wscsvc"で確認した限り、DACLの指定とSACLの指定が指定されているので、これにのっとって権限を追加する
- SDDL表記について
| SDDL表記 | 用途 |
|---|---|
| O:ユーザーSID | オブジェクト所有者のSIDの指定 |
| G:グループSID | オブジェクトのプライマリグループのSIDの指定 |
| D:DACLフラグ(ACE文字列1)(ACE文字列2)……(ACE文字列n) | DACLの指定 |
| S:SACLフラグ(ACE文字列1)(ACE文字列2)……(ACE文字列n) | SACLの指定 |
- DACLの指定 - DACLフラグ(SACLフラグも同じものになる)
| 文字列 | フラグ名 | 意味 |
|---|---|---|
| "P" | SE_DACL_PROTECTED | DACLが継承されたACEによって変更されないように保護する |
| "AR" | SE_DACL_AUTO_INHERIT_REQ | DACLを子オブジェクトへ継承するように要求する |
| "AI" | SE_DACL_AUTO_INHERITED | 継承によって作成されたDACLであることを示す |
- DACLの指定 - ACE文字列
書式：(ACEタイプ;ACEフラグ;権利;オブジェクトGUID;継承オブジェクトGUID;アカウントSID)
- ACEタイプ
| 文字列 | タイプ名 | 意味 |
|---|---|---|
| "A" | SDDL_ACCESS_ALLOWED | アクセス許可 |
| "D" | SDDL_ACCESS_DENIED | アクセス拒否 |
| "OA" | SDDL_OBJECT_ACCESS_ALLOWED | オブジェクトアクセス許可 |
| "OD" | SDDL_OBJECT_ACCESS_DENIED | オブジェクトアクセス拒否 |
| "AU" | SDDL_AUDIT | 監査 |
| "AL" | SDDL_ALARM | 警告 |
| "OU" | SDDL_OBJECT_AUDIT | オブジェクト監査 |
| "OL" | SDDL_OBJECT_ALARM | オブジェクト警告 |
- 権利
| 文字列 | 権利名 | 意味 |
|---|---|---|
| "GA" | SDDL_GENERIC_ALL | 全アクセス権（読み書き実行） |
| "GR" | SDDL_GENERIC_READ | 読み出し |
| "GW" | SDDL_GENERIC_WRITE | 書き込み |
| "GX" | SDDL_GENERIC_EXECUTE | 実行 |
| "RC" | SDDL_READ_CONTROL | ACL情報の読み取り |
| "SD" | SDDL_STANDARD_DELETE | 削除 |
| "WD" | SDDL_WRITE_DAC | DACLの書き込み |
| "WO" | SDDL_WRITE_OWNER | 所有者情報の書き込み |
| "RP" | SDDL_READ_PROPERTY | オブジェクトのプロパティの読み出し |
| "WP" | SDDL_WRITE_PROPERTY | オブジェクトのプロパティの書き込み |
| "CC" | SDDL_CREATE_CHILD | 子オブジェクトの作成 |
| "DC" | SDDL_DELETE_CHILD | 子オブジェクトの削除 |
| "LC" | SDDL_LIST_CHILDREN | 子オブジェクトの一覧 |
| "SW" | SDDL_SELF_WRITE | 検証済み書き込みアクセス権によって制御される操作の実行 |
| "LO" | SDDL_LIST_OBJECT | オブジェクトの一覧 |
| "DT" | SDDL_DELETE_TREE | 全ての子オブジェクトの削除 |
| "CR" | SDDL_CONTROL_ACCESS | 拡張アクセス権によって制御される操作の実行 |
| "FA" | SDDL_FILE_ALL | 全アクセス権（読み書き実行） |
| "FR" | SDDL_FILE_READ | 読み出し |
| "FW" | SDDL_FILE_WRITE | 書き込み |
| "FX" | SDDL_FILE_EXECUTE | 実行 |
| "KA" | SDDL_KEY_ALL | 全アクセス権（読み書き実行） |
| "KR" | SDDL_KEY_READ | 読み出し |
| "KW" | SDDL_KEY_WRITE | 書き込み |
| "KX" | SDDL_KEY_EXECUTE | 実行 |
- オブジェクトGUID
パスワードの変更やリセットなど、特別なタスクの実行を許可するための権利を表すオブジェクトのGUID文字列
- 継承オブジェクトGUID
ACEを継承するオブジェクトのGUIDを表す文字列
- アカウントSID
| 文字列 | アカウント名 |
|---|---|
| "AO" | Account operators |
| "AN" | Anonymous Logon |
| "AU" | Authenticated Users |
| "BA" | ビルトイン（Built-in） Administrators |
| "BG" | ビルトイン（Built-in） Guests |
| "BO" | Backup Operators |
| "BU" | ビルトイン（Built-in） Users |
| "CA" | Cert Server Admins |
| "CG" | Creator Group |
| "CO" | Creator Owner |
| "DA" | Domain Administrators |
| "DC" | Domain Computers |
| "DD" | Domain Controllers |
| "DG" | Domain Guests |
| "DU" | Domain Users |
| "EA" | Enterprise Administrators |
| "ED" | Enterprise Domain Controllers |
| "IU" | Interactive |
| "LA" | ローカル（Local） Administrator |
| "LG" | ローカル（Local） Guest |
| "LS" | ローカル（Local） Service |
| "NO" | Network Configuration Operators |
| "NS" | Network Service |
| "NU" | Network |
| "PA" | Group Policy Administrators |
| "PO" | Printer Operators |
| "PS" | Principal Self |
| "PU" | Power Users |
| "RC" | Restricted Code |
| "RD" | Terminal Server Users （RD＝Remote Desktop） |
| "RE" | Replicator |
| "RS" | RAS Servers |
| "RU" | Pre-Windows 2000 Compatible Access |
| "SA" | Schema Administrators |
| "SO" | Server Operators |
| "SU" | Service |
| "SY" | ローカル（Local） System |
| "WD" | Everyone （WD＝world） |
| "S-1-……" | 標準的な表記によるSID |
DACLのまとめ
つまり、sc.exe sdshow "wscsvc"で見えた、以下を例にとると
書式：(ACEタイプ;ACEフラグ;権利;オブジェクトGUID;継承オブジェクトGUID;アカウントSID)なので
D:(A;;CCLCSWRPLORC;;;BU)
権利の"CCLCSWRPLORC"は２文字ずつ区切るので
DACLキー指定:
フラグなし
(
アクセス許可;
ACEフラグなし;
CC: SDDL_CREATE_CHILD
LC: SDDL_LIST_CHILDREN
SW: SDDL_SELF_WRITE
RP: SDDL_READ_PROPERTY
LO: SDDL _LIST_OBJECT
RC: READ_CONTROL
;
オブジェクトGUIDなし;
継承オブジェクトGUIDなし;
BU:ビルトイン（Built-in）Users
)
っていう意味になる、ややこしい、上にわからん
実際にアクセス許可を与えてみよう。
※ここで注意してほしいのが、設定は追加じゃなくて上書きなので、必ず前のACLはバックアップしておくこと
バックアップに自信がなかったらレジストリの以下のキーをエクスポートしておくといい
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\<該当のサービス名>\Security
最終確認
まず、自分のユーザのSIDを確認する
whoami /user
USER INFORMATION
----------------
ユーザー名 SID
================= ==============================================
localpc0001\owner S-1-5-21-2379077036-1330717485-1244253989-1001
こんな感じに、ユーザ名にホスト名\ユーザ名、SIDに自分のSIDが確認できる
次に対象サービスのACLを確認する
sc.exe sdshow "wscsvc"
実際に書き換えるのは矢印のついてるところとモノを自分のSIDで一行追加する
わかりやすいように、ACEごとに改行してる
D:(A;;CCLCSWRPLORC;;;BU)
(A;;CCLCSWRPLOCRRC;;;SY)
(A;;CCLCSWRPLOCRRC;;;BA)
(A;;CCLCSWRPLORC;;;IU)
(A;;CCLCSWRPLORC;;;SU)
(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;S-1-5-80-956008885-3418522649-1831038044-1853292631-2271478464) ← 参考にする
(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;S-1-5-80-259296475-4084429506-1152984619-38739575-565535606) ← 参考にする
(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;S-1-5-21-2379077036-1330717485-1244253989-1001) ← 追加する
S:(AU;FA;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;WD)
実際に設定する
sc.exe "ホスト名" sdset "サービス名" "SDDL"
なので、分解したのを１行に戻して実行
sc.exe "localpc0001" sdset "wscsvc" "D:(A;;CCLCSWRPLORC;;;BU)(A;;CCLCSWRPLOCRRC;;;SY)(A;;CCLCSWRPLOCRRC;;;BA)(A;;CCLCSWRPLORC;;;IU)(A;;CCLCSWRPLORC;;;SU)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;S-1-5-80-956008885-3418522649-1831038044-1853292631-2271478464)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;S-1-5-80-259296475-4084429506-1152984619-38739575-565535606)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;S-1-5-21-2379077036-1330717485-1244253989-1001)S:(AU;FA;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;WD)"
終わったら、今度こそ
sc.exe config "wscsvc" start=disabled
[SC] ChangeServiceConfig SUCCESS
よし、止まった、これで再起動してバックアップしたら、クリーンインストールだ!!
長かった、ほんと、WindowsのACLは厄介すぎる。