最小化特权和UAC Bypass（银狐作者你更新得不错，可惜什么用都没有，来看我更新）

莉塔林Rita

con16 发表于 2024-12-23 10:22
降權限這是一定有用

管理員權限就是容易被弄

同样，必须输入管理员密码才能提升特权，也有助于让用户冷静一下（思考自己这么做是否值得）。

喀反

莉塔林Rita 发表于 2024-12-23 10:19
可以运行，只要你电脑上还有管理员账户，会自动提示请输入当前计算机上的管理员账户的密码。
UAC会接管 ...

那我直接用管理员账户在本地安全策略中按照你的方式把UAC改了，任何提权的行为都需要输入当前用户密码有什么区别吗

StarlitFuture

再度验证了Unix/Linux系统权限模型的含金量，rwx原始吗？原始，复杂一点的ACL甚至部分文件系统还不支持，也没有自带像组策略那样的玩意，靠Apparmor和SELinux修修补补，但是默认标准用户权限这点直接秒杀；事实就是99.99%的软件压根就不需要管理员权限，Windows上管不住完全就是DOS时代留下的祸根，搞出个漏洞百出、伪装成标准权限的特权账户出来

桔梗想见雪

莉塔林Rita 发表于 2024-12-23 09:52
本来我也这样，直到我小姨嫁了个在以色列做建筑行业的姨父。

（唐突危机意识.png）

右键管理员，它只会弹窗，没有让我打密码sudo命令默认关闭的，未知东西一般sandboxie运行（不知道赞助许可证过期，那些功能还不能用，加固隐私沙盒真的爽还有我的冰盾外面拦截）

莉塔林Rita

喀反 发表于 2024-12-23 10:52
那我直接用管理员账户在本地安全策略中按照你的方式把UAC改了，任何提权的行为都需要输入当前用户密码有 ...

另一件事需要澄清的是 UAC 的“始终通知”设置。通常人们认为，在默认状态下，即“仅在程序尝试对我的计算机进行更改时通知我”的 UAC 可以被许多方式绕过。例如，Metasploit 这样的利用框架有专门的模块来实现默认状态下的 UAC 绕过，此时进程会静默提升，没有任何 UAC 同意对话框。然而，同样的情况也适用于“始终通知”设置。例如，看看这里概述的技术。该技术的简要总结是，不是通过交互式请求提升，而是将进程注册到登录用户的任务计划程序中。在 Microsoft 术语中，这被称为 S4U（用户服务）。当任务执行时，将具有提升的权限，而无需获得权限提升用户的任何同意，即使 UAC 设置为最高安全设置“始终通知”也是如此。

用户访问控制不被微软视为安全边界。原因是由于微软 Vista 及以后版本的设计，进程在启动时只持有有限的特权令牌，并且明确需要由默认状态下的 UAC 保护的提升权限。正如您所看到的，只要进程不请求提升权限，UAC 就不会介入。这意味着恶意软件将能够访问用户账户可以访问的所有内容，而无需任何提升权限。用户数据比获得 NT AUTHORITY\SYSTEM 权限重要得多。

https://security.stackexchange.c ... accounts-on-windows

莉塔林Rita

StarlitFuture 发表于 2024-12-23 10:55
再度验证了Unix/Linux系统权限模型的含金量，rwx原始吗？原始，复杂一点的ACL甚至部分文件系统还不支持，也 ...

Unix/Unix-Like操作系统的安全设置基本上都需要在编译内核阶段启用（Enable），这和Windows方便简单的组策略相比有极大的劣势。

题外话：我尝试编译过Linux内核（为了强制应用某些安全配置），然后我放弃了（配置要求太高）。

喀反

莉塔林Rita 发表于 2024-12-23 11:15
https://security.stackexchange.c ... accounts-on-windows

不太懂这方面的专业术语，你所说的这种方法唯一的区别就是完全避免了被bypass UAC的风险吗？如果用户不知道此程序是恶意程序而输入了管理员账户密码，那根我默认管理员弹UAC提示就没区别了呀，只是多了一个输密码的步骤？

00006666

喀反 发表于 2024-12-23 11:38
不太懂这方面的专业术语，你所说的这种方法唯一的区别就是完全避免了被bypass UAC的风险吗？如果用户不知 ...

就别想着用UAC提高安全性了，但凡开了UAC，每次安装软件都让你输密码手动同意，时间久了就麻木了，真正碰到木马你也会手动同意，跟“狼来了”一样的道理。

莉塔林Rita

喀反 发表于 2024-12-23 11:38
不太懂这方面的专业术语，你所说的这种方法唯一的区别就是完全避免了被bypass UAC的风险吗？如果用户不知 ...

不只是避免UAC Bypass，由于所有软件现在都已降低特权运行（除了一些内核态软件，例如反病毒软件的核心进程），因此软件即使存在漏洞也不会造成过大的伤害。

而“用户不知道”这个情况无法考虑：

1.如果是个人用户，那么计算机的所有权在自己，这种情况我只能说：你对你的计算机负责即可（因为任何安全技术还有个前提：不得越过其所有者，哪怕是SELinux也必须遵守设备所有者的指令被关闭）。

2.如果是企业用户且不是自己的设备，那企业强制执行策略即可（例如完全不给职员管理员账户）。

3.如果是BYOD（企业自带设备办公），那么同第二条，你的计算机此时并不完全属于你，因为属于公司的机密资料也在你的设备，此时这算公司设备（只有在你离职后，所有权才会完全属于你）。
4.你还有安全软件、还有安全软件的行为监视，还有系统的各种警告。

再说一次：你不能假设此时用户变着花样故意破坏计算机、或者对其行为完全不负责任，任何安全技术的前提均为“用户配合”——如果坏人能说服你在电脑上以他希望的方式运行恶意软件，或者用户就是那个坏人，那么一切都结束了。


最后：医生再NB，也架不住患者非要喝两瓶法律禁用的除草剂。

莉塔林Rita

00006666 发表于 2024-12-23 11:44
就别想着用UAC提高安全性了，但凡开了UAC，每次安装软件都让你输密码手动同意，时间久了就麻木了，真正碰 ...

他的意思是假定此时有个用户不会对自己的行为负责，装软件都是一路无脑点同意，也不看看对方发过来的是什么东西更不会理睬反病毒软件的警告。

但是：不能假设此时用户变着花样故意破坏计算机、或者对其行为完全不负责任，任何安全技术的前提均为“用户配合”——如果坏人能说服你在电脑上以他希望的方式运行恶意软件，或者用户就是那个坏人，那么一切都结束了。