Восстановление TrustedInstaller в качестве владельца исполняемого файла в папке Windows

Question

После смены владельца исполняемых файлов в каталоге Windows (explorer.exe , regedit.exe и т.д.) Я не могу изменить его обратно на TrustedInstaller с помощью icacls.exe . Использование метода GUI (Свойства → Безопасность → Дополнительно → Владелец) работает нормально.

Делать то же самое с любым другим файлом под Windows, который не является исполняемым, работает нормально. Пробовал то же самое в безопасном режиме, не повезло.

Это две основные команды, которые я использую:

takeown /F C:\Windows\explorer.exe /A
icacls C:\Windows\explorer.exe /setowner "NT SERVICE\TrustedInstaller"

---

Изменить: Забыл упомянуть ошибку, которую я получаю, «Доступ запрещен».

C:\Windows\System32>takeown /F c:\Windows\explorer.exe /A  
SUCCESS: The file (or folder): "c:\Windows\explorer.exe" now owned by the administrators group.

C:\Windows\System32>icacls c:\Windows\explorer.exe /setowner "NT SERVICE\TrustedInstaller"  
c:\Windows\explorer.exe: Access is denied.  
Successfully processed 0 files; Failed processing 1 files  

Answer 1

Команда работает только после предоставления полных прав группе администраторов, а именно:

icacls c:\Windows\explorer.exe /grant Administrators:f  

Кажется, даже предоставления «Изменить» недостаточно по какой-то причине.

Answer 2

Таким образом, название говорит о восстановлении TrustedInstaller.

Кажется, есть недостающая часть; удаление добавленных разрешений группы администраторов.

takeown /F "C:\Windows\regedit.exe" /A
/F - file to become owner of
/A - means it will set the users group (ie. Administrators, not userxyz)

icacls "C:\Windows\regedit.exe" /grant Administrators:F
/grant - will add permissions
:F - Full Control

icacls "C:\Windows\regedit.exe" /setowner "NT SERVICE\TrustedInstaller"
/setowner - new owner

icacls "C:\Windows\regedit.exe" /grant:r Administrators:RX
/grant:r - will set permissions (removing higher ones)
:RX - Read and Execute

Ссылка:https://ss64.com/nt/icacls.html

Answer 3

Здесь прекрасно работает (проверено в Windows 7 64-bit).

Убедитесь, что вы запустили командную строку в режиме повышенных прав (он же "Запуск от имени администратора").