acess
2018-09-10 23:32:13 +08:00
楼上有说 UAC 的……我觉得 UAC 已经被某知乎神贴神化过头了……容我再当一回祥林嫂。
1.UAC 可以被公开方法绕过，且不会被视为安全漏洞修补。
比如 UACME 的第 34 号绕过方法，别说“始终通知”，哪怕是组策略调到“在安全桌面中提示凭据”也没用。
2.UAC 只保护系统，不会保护你的数据。
想想看 Android 操作系统是怎么干的：每个 App 都有一个独立的 UID ——我想问问谁在用 Windows 的时候有谁能做到这个？
可想而知，用户手贱双击点开的勒索病毒和 Word 有一样的权限——既然 Word 能给文档设密码，勒索病毒为啥不能搞个加密呢？
没错，Windows 自带备份功能，如果勒索病毒想用 vssadmin 删备份也需要管理员特权——然而，先不提绕过的事情，有几个人真正在用这个功能呢……
还有，去年 5.12 出名的 WannaCry 利用的“永恒之蓝”漏洞其实是内核漏洞，落地就是 SYSTEM 账户。有报道称“双击弹 UAC ”只是某杀软公司测试不谨慎而已。
3.至于弹窗、自启、乱扔文件、全盘扫描、注入进程、监听键盘、截屏、录音、拍照……那更是 UAC 管不着的。
4.不能说 UAC 完全没用，它可以防手贱，也可以在一些毛手毛脚的恶意程序试图驻扎系统时设置一些障碍——不过它的作用也仅此而已。
除了 UAC，还有驱动强制签名（ DSE ）和 PatchGuard，也是槽点满满……
别的不说，摆在眼前的实例：2016 年底爆发的天翼“新黑狐”木马蓝屏事件的罪魁祸首，就是一个内核 Rootkit 木马。虽然它是用*已吊销证书*签的名，但是 Windows 还是让它顺顺当当地进了内核。不过这个木马技艺不精，用的 FSD Hook 只能在 Win7 下逃过 PatchGuard，所以 Win8、Win10 下才会触发 PatchGuard 导致不定时蓝屏循环。
PatchGuard 这玩意也是……动态（无需重启）禁用它的办法也已经公开了，去 Github 一搜就有。