关于win用户权限 [Oakfire Wiki]

本页面只读。您可以查看源文件，但不能更改它。如果您觉得这是系统错误，请联系管理员。
====== 关于win用户权限 ======

===== 关于管理员权限 =====

  * 蒋晟的[[https://www.zhihu.com/question/66229405/answer/240411690|知乎回答]]：
    * 管理员身份运行会使用具有完整权限的用户令牌启动进程。默认情况下，新进程是用受限用户令牌启动，受限令牌上有个BUILTIN\Administrators=DenyOnly，这会禁止AccessCheck函数让用户令牌的使用者以管理员的身份获得权限。另外SeBackupPrivilege等影响整个机器的特权被从受限令牌上移除。<wrap important >
受限令牌和未受限令牌实际上是位于不同登录会话中的，所以不会共享文件夹映射、网络共享连接这样的每会话对象
</wrap>。
    * 另外，管理员身份运行的进程会处于高完整级别中。处于中、低或者应用容器完整级别中的进程不能访问高完整级别的资源，例如不能向高完整级别进程的窗口发送消息，除非高完整级别进程预先开后门，也不能跨完整级别拖放。
    * 在启动进程之前会切换到安全桌面运行consent.exe来取得用户的同意。至于为什么需要在安全桌面……那是因为以前版本的Windows的安全窗口和应用程序共享一个桌面的时候，可以注入DLL到winlogon进程接管安全窗口的窗口过程。在视频驱动不给力的时候，桌面切换会很慢。如果被启动的exe有显示数字签名，那么启动之前还要验证exe文件内容是否匹配数字签名，这个需要的时间随exe文件大小而异。
  * 如果启用了UAC（通常的情况，注册表EnableLUA=1），管理员账户登录时，explorer.exe是降权启动的
  * UIPI机制，大致是降权的进程不能干涉高权限进程的窗口。因为这个机制，QQ（降权）的远程协助点了任务管理器（已提权）就会卡住不动，拖放文件也可能没反应
  * [[https://docs.microsoft.com/en-us/windows/win32/secbp/running-with-special-privileges|MSDN: running with special privileges]]

===== 关于ACL =====
  * [[https://docs.microsoft.com/en-us/windows/win32/secauthz/access-control-model|MSDN: Access Control Model]]
  * [[https://docs.microsoft.com/en-us/windows/win32/secauthz/securable-objects|MSDN: Securable objects]]
  * [[https://docs.microsoft.com/en-us/windows/win32/secauthz/access-tokens|MSDN: Access Tokens]]
  * [[https://docs.microsoft.com/en-us/windows/win32/secauthz/client-impersonation|MSDN: Impersonation]]