Win10论坛

Win10正式版系统下载主题平板

重定义Modern UI,打造完美Windows全新体验

Windows10下载|安装|新手宝典|必备软件

搜索
查看: 75684|回复: 434

安全、兼容性及权限——关于UAC的一席谈(略更新)     [复制链接]

Rank: 11Rank: 11Rank: 11

UID
660017
帖子
8271
PB币
1144
贡献
2
技术
140
活跃
33

I'm Surface用户

发表于 2009-11-4 22:30:34
本帖最后由 smalllion 于 2009-11-5 18:04 编辑

UAC,全称User Account Control(用户帐户控制),相信使用NT6.X系统的各位对它都不会陌生。尽管距其在Vista中首次出现已经有了两年多的时间,但舆论仍然没有接受它。在这种环境下,UAC在操作者群体的意识中成了操作繁琐、蔑视操作者智商的多余功能,不少朋友纷纷把关闭UAC列入“装好系统后必做的几件事”中。我对这种观点不敢苟同,否则我也就没必要来写这篇文章了。

杀毒软件——不足够的防护性;HIPS——安全的必由之路
先说一段个人经历。大概是05年这样,因为一时不慎,致使计算机感染威金病毒。亲眼目睹安装金山毒霸的XP系统瞬息之间崩溃殆尽的经历,除了让我不再那么信任杀毒软件的防护能力外,更让我萌生了寻找更高层次防护软件的念头:这一软件并不依靠特征码来防护系统,而是拦截一切程序,并由我来决定是否放行。后来在大众软件上看到了System Safe Monitor,一款俄罗斯软件,急忙如获至宝般的把它安装上。软件界面虽然简陋,但确实能符合我的要求,同时也有白名单功能记录信任程序。总体上看,很不错。
事实上我所需要的,就是一款HIPS(主机入侵防御系统,尽管那时候这个称谓尚未流行)。杀毒软件的更新永远要追着病毒来,这种滞后性使得病毒有机会利用时间差攻击系统;而对杀毒软件而言,亡羊补牢就意味着重大的失败。这种情况下,要谋求更高的安全性,HIPS成为了当然之选。
微软想必也看出了这一点,于是在Vista中加入了具备基本HIPS功能的UAC。相较于几乎没有自带防护能力的XP,这可以说是系统安全性上的飞跃了。在HIPS被越来越多谈论的今天,这一举措也算顺应潮流。


UAC是如何工作的?
撇开UAC虚拟化等有趣功能不谈,我们可以简单的把UAC当作权限临时重分配的工具。在默认情况下,所有的非系统核心进程都只拥有标准权限,这一权限不能对系统关键区域进行修改。对于一个程序,如果它当中含有提权申请,则在运行时会弹出UAC窗口要求提权。如果用户允许,则程序暂时性的获得了最高权限,可以对系统关键区域进行更改;如果用户拒绝,则程序被拒绝执行。而如果程序中没有提权申请,则系统会让程序运行于标准权限下。(这是一个很有意义的设计,下文再叙)。同时,对于所有程序,都可以用“以管理员身份运行”的方式手动提权。而即便病毒感染了系统,它也处于UAC的监视之下,这使得病毒的反清除行为会受到很大阻碍。正是凭借这一机制,UAC成为了一道重要的系统防火墙。


UAC对于用户的意义何在?
对于熟练用户,所有HIPS都将是最坚固的护盾,UAC也不例外。在用户能辨别当前要求提权的程序的前提下,即便裸奔运行病毒,UAC也能很好的保护好系统。
而对于新手,UAC是否就如某些言论宣称那般毫无作用呢?
确实,不具备判断能力的新手并不能完全发挥UAC的功能。但是上面所说的“很有意义的设计”这里就发挥作用了——不具备提权申请的病毒将直接被强制运行于标准权限下而不能有效的感染系统,而从我个人有限的接触看,没有提权申请的病毒是多数。考虑到新手大抵不具备裸奔的勇气,配合杀毒软件的UAC已经进一步的提升了用户系统的安全系数,其意义依然显著。


是骡子是马拉出来遛遛——UAC实战病毒攻击
百闻不如一见,我们不妨来做一个实验看看UAC的防护能力。测试都在VMWare Workstation 7虚拟机软件中进行。测试平台基于Windows7 RTM,对比平台基于Windows XP SP3。两者都不安装任何防病毒软件,使用系统默认安全设置。针对普通用户日常较容易碰到的几种病毒攻击方式,我们选取了一款伪装U盘文件夹的Autorun病毒。本来我们还打算挑选若干挂马网站进行攻击测试,却“可悲”的发现这些网站连IE8都无法突破(IE6突破正常,嗯,可见IE8安全性方面的提升),由于Windows7默认的浏览器就是IE8,无法调整此变量至与XP一致(即IE6),故不得不作罢。如果有朋友能提供几个0day漏洞网站的话,我将抽时间完成这项测试。
    染毒U盘.JPG
(制备好的染毒U盘)

在Autorun病毒环节,我们首先在XP中制备染毒U盘,然后将U盘接入系统,并模拟用户不知情的情况下误击病毒文件的操作,然后接入另一只U盘,观察病毒是否对新U盘进行了感染。
XP系统在双击打开U盘时即激活了Autorun病毒,任务管理器中可见异常进程出现。在另一只U盘被接入后,当中的文件夹迅速遭到了感染。
XP进程.JPG


XP感染.JPG


在Windows7中,由于系统取消了对移动设备Autorun.inf的支持,双击进入U盘并没有激活病毒。我们模拟不知情的用户(由于一来病毒伪装的文件的图标与Win7文件夹图标并不一致,二来默认的“详细信息”视图会明确标注目标类型,这种“不知情”发生的概率又低了一些)去点击伪装的文件夹,任务管理器中未出现异常进程。之后接入的U盘也没有受到感染。UAC防御Autorun病毒成功,整个过程中并没有弹出UAC提权窗口。
WIN7进程.JPG


WIN7感染.JPG


有限的测试体现了UAC在安全防护上的作用。在此特别鄙视英国“知名”互联网安全厂商Sophos(传送门:http://news.mydrivers.com/1/147/147995.htm),连UAC的工作机理都不知道(或者故意回避?毕竟是既得利益者)就大放厥词,建议他们来阅读这篇文章。


兼容性杀手?UAC与兼容性
经常有人抱怨NT6.x系统的兼容性多么多么差,身边也有人因为“不兼容”而将系统换回XP。但从我个人的使用看,几乎所有的软件都能很好的工作于NT6.x上。区别在哪?排除掉确实因为软件开发导致的兼容性问题的话,普通用户只会双击运行程序,而我在一次尝试失败后会根据程序行为对其进行手动提权。刚从XP过来的用户,估计不会有那么一套权限划分的意识,UAC在某种程度上而言也就削弱了系统对普通用户的兼容性。但我们如果能够根据程序行为对需要的程序进行手动提权,所谓“兼容性问题”也就迎刃而解了。对用户水平更高的需求?也许吧。但计算机从来都是与永无休止的学习联系在一起的。而如果程序的开发能进一步的规范化,内置提权申请的程序就不存在被UAC影响兼容性的问题了(当然,请用户注意辨别)。
PS:某些程序说明中的“关闭UAC”要求,也可以、并且应当以临时手动提权替代。


“权力”越大越好?从UAC看权限
时常有朋友传授开启所谓“超级管理员”的方法,人民群众也乐于去接受模仿。这不难理解,一来Vista以前的系统都会大大咧咧的直接把最高权限提供给用户使用,习惯使然;二来权限毕竟有“权”,人人喜欢,可以满足自己的完全掌控欲。然而,我们真的一直需要最高权限吗?
也许有人会说,我的电脑当然要完全掌控。但是首先开启“超级管理员”实质上已经规避了系统的几乎所有安全措施;其次在使用计算机的过程中未必所有的程序都是以你的意志而去运行的;再次普通管理员已经能够很好的在安全环境中完成所有的管理任务,我们需要的只是——临时手动提权。


并非完美——UAC的不足
UAC虽然强大,但毕竟只是带有HIPS特征的系统防护功能。从实践来看,UAC也存在着不足——白名单功能的缺失。如果微软能在UAC中加入白名单功能,我想将会有更多的人乐于去使用它,但到了Windows7,这项功能依然没有出现。可能微软认为一个固定的白名单将成为受攻击的薄弱区域,但是否可以将这个区域也用UAC保护起来呢?好消息是诺顿曾在Vista时期推出过一款为UAC添加白名单功能的小工具,从个人使用看能在安全与便捷之间达到较好的平衡。在Win7时代,我们或许也可以期待诺顿再次推出类似的软件。

关于UAC的一点使用建议
随意的安装一款还过得去的杀毒软件而将UAC当做系统的第二道防火墙。


结语——UAC,不只是UAC
又一次的,我丝毫没有指望这篇孱弱的文章能让任何人的观点有任何改变,我不过直抒胸臆罢了。UAC作为微软力推的新安全功能,大抵由于其“新”,一如既往的遭到了强烈抵制。我只希望,您在做出决定之前,能先了解下它是什么、能干什么,而不是被外部言论主宰。UAC,不只是UAC,它代表的是HIPS的防护思想,我坚信这是我们的安全意识应当具备的要素。UAC饱受批评,但至少它为宣传这个思想做出了重大的贡献(话说由不了解某个思想的人来批判它是个极其可笑的做法)。
另外对于传道授业者,希望能在宣传之前想一想,你的言论能为接纳者带来什么,好的与坏的,应当毫不隐瞒的详细告诉他们。暑假曾和一个朋友进行了一场论战,最后不欢而散。朋友认为精简版系统很好很强大,应该推而广之;而我认为“精简”应由用户根据自己的情况进行,盲目推广“精简版”是极不负责的做法。我对这场论战毫不后悔,即便它让我失去了一个朋友。“不应该去隐瞒什么”,这就是我当时的信念。
当然,无论如何,最后的决定权在于您。但请牢记,自己的行为,请由自己负责。
完毕。


一点补充:今天某人谈到UAC对于非系统盘的保护存在局限性,撇开此人的人品不谈,这个问题确实存在。然而当我拿出熊猫烧香、小浩、磁碟机、机器狗来做实验时,却发现只有小浩勉强能运行一下,而它所作的,只不过是改改窗体名称、隐藏几个文件、在非系统盘放置一个自己的隐藏副本而已。当重启之后,简单的修改修改文件属性所谓的“毒王”也就不过尔尔了。但是否会出现直接针对非系统盘进行破坏而不植入系统的病毒(虽然已经不符合病毒定义了)呢?这是我们需要警惕的一个方面。
12

查看全部评分

Rank: 7Rank: 7Rank: 7

UID
157677
帖子
2643
PB币
2224
贡献
0
技术
0
活跃
0
发表于 2009-11-4 22:31:53
本帖最后由 nymaxmo 于 2009-11-4 22:33 编辑

支持原创
头像被屏蔽

UID
871678
帖子
2492
PB币
2231
贡献
0
技术
0
活跃
0
发表于 2009-11-4 22:41:37
提示: 作者被禁止或删除 内容自动屏蔽

Rank: 11Rank: 11Rank: 11

UID
660017
帖子
8271
PB币
1144
贡献
2
技术
140
活跃
33

I'm Surface用户

发表于 2009-11-4 22:42:55
UAC必须关闭,至少,我就是这样操作的,因为,它烦!
qnmdb-gp 发表于 2009-11-4 22:41
“由不了解某个思想的人来批判它是个极其可笑的做法”。

Rank: 2Rank: 2

UID
988049
帖子
206
PB币
292
贡献
0
技术
2
活跃
2
发表于 2009-11-4 22:45:30
没有白名单确实头疼,UAC下,连bat文件都无法正常运行(虽然用管理员身份了),这让我很郁闷

Rank: 2Rank: 2

UID
895868
帖子
271
PB币
335
贡献
-1
技术
0
活跃
0
发表于 2009-11-4 22:45:34
赶紧占个好位置学习一下~~~

Rank: 1

UID
1012727
帖子
111
PB币
1606
贡献
0
技术
0
活跃
0
发表于 2009-11-4 22:47:09
看完了 写的很不错
客观的看待了UAC
虽然我不用UAC
但我也不用管理员权限

Rank: 11Rank: 11Rank: 11

UID
660017
帖子
8271
PB币
1144
贡献
2
技术
140
活跃
33

I'm Surface用户

发表于 2009-11-4 22:48:41
没有白名单确实头疼,UAC下,连bat文件都无法正常运行(虽然用管理员身份了),这让我很郁闷
criston 发表于 2009-11-4 22:45
可以考虑以具备管理员权限的CMD来运行相应的BAT文件

Rank: 7Rank: 7Rank: 7

UID
45060
帖子
839
PB币
1190
贡献
0
技术
0
活跃
95
发表于 2009-11-4 22:52:54
对于“超级管理员”的理解仍然不是很透彻。不说也罢。

Rank: 11Rank: 11Rank: 11

UID
660017
帖子
8271
PB币
1144
贡献
2
技术
140
活跃
33

I'm Surface用户

发表于 2009-11-4 22:53:52
对于“超级管理员”的理解仍然不是很透彻。不说也罢。
zqxsl 发表于 2009-11-4 22:52
哦?求赐教

Rank: 1

UID
883029
帖子
85
PB币
110
贡献
0
技术
0
活跃
46
发表于 2009-11-4 22:55:35
如果我觉得DOS最安全你还用DOS?任何好的东西必须尊重使用习惯,否者你说一堆有点可是却变成频繁的骚扰谁能接受?

Rank: 11Rank: 11Rank: 11

UID
660017
帖子
8271
PB币
1144
贡献
2
技术
140
活跃
33

I'm Surface用户

发表于 2009-11-4 22:58:54
如果我觉得DOS最安全你还用DOS?任何好的东西必须尊重使用习惯,否者你说一堆有点可是却变成频繁的骚扰谁能接受?
it1860 发表于 2009-11-4 22:55
请去体会HIPS的防护思想谢谢

Rank: 7Rank: 7Rank: 7

UID
45060
帖子
839
PB币
1190
贡献
0
技术
0
活跃
95
发表于 2009-11-4 23:07:28
哦?求赐教
smalllion 发表于 2009-11-4 22:53


其实我比较赞同大部分安全策略(措施)与使用者关系密切。

即使在“超级管理员”的帐户下,所有UAC授权令牌仍然分两种:标准令牌与管理员令牌。默认情况只具有标准令牌。

所以用什么帐户与是否安全仍然取决于使用者本身。

Rank: 5Rank: 5Rank: 5

UID
892398
帖子
589
PB币
537
贡献
0
技术
1
活跃
49
发表于 2009-11-4 23:16:39
其实我觉得用一个其他的HIPS防火墙比UAC要方便些,至少目前来说

Rank: 2Rank: 2

UID
126424
帖子
447
PB币
2414
贡献
0
技术
0
活跃
121
发表于 2009-11-4 23:32:25
非常不错!学习了!

windows xp

Rank: 2Rank: 2

UID
523209
帖子
380
PB币
883
贡献
0
技术
0
活跃
265
发表于 2009-11-4 23:32:47
UAC确实很烦人啊。

DoomIII

Rank: 7Rank: 7Rank: 7

UID
910301
帖子
2995
PB币
4346
贡献
0
技术
0
活跃
67
发表于 2009-11-4 23:38:02
Mcafee8.5i+HIP6.0用了2年半,直接点病毒都无所谓……
后来win7暂时没有HIP了……只好……

Rank: 1

UID
1034997
帖子
89
PB币
1627
贡献
0
技术
0
活跃
0
发表于 2009-11-4 23:39:44
UAC确实很烦人啊。
xdxiaodou 发表于 2009-11-4 23:32



UAC最烦人的时候重命名都会要点确认,VISTA SP1出来已经很好了,如果你是XP控,那你就关了UAC,中毒了不要JJWW,直接GHOST吧。反正你也习惯重装。

Rank: 1

UID
1031667
帖子
39
PB币
182
贡献
0
技术
1
活跃
56
发表于 2009-11-4 23:53:39
这个东西纯属无聊.
为了安全?
废话,牺牲了别人的使用权限,当然安全些了,如果windows搞个限制,禁止EXE.BAT等文件运行,或是每次出来都要确认一下,那更安全.
那就是是系统在玩我们还是我们在玩系统?
再说:包括玩家在内,多数人遇到确认UAC的时候都会有些犹豫,但是无谓的确认框出现多了(至少现在出现确认框的时候,正常软件至少是80%),就会好像狼来了一样,使人麻木.其后果就是再次遇到这样的情况,就直接确定.
懂点电脑的人,会***直接关闭UAC.
菜鸟呢?没有关?那完全是因为他不懂怎样关.不过即使他开着UAC.每次遇到确认的提示时,看都不看,直接确定,这和关了有什么区别?

Rank: 11Rank: 11Rank: 11

UID
660017
帖子
8271
PB币
1144
贡献
2
技术
140
活跃
33

I'm Surface用户

发表于 2009-11-4 23:55:33
其实我比较赞同大部分安全策略(措施)与使用者关系密切。

即使在“超级管理员”的帐户下,所有UAC授权令牌仍然分两种:标准令牌与管理员令牌。默认情况只具有标准令牌。

所以用什么帐户与是否安全仍然取 ...
zqxsl 发表于 2009-11-4 23:07
测试了一下,程序已经可以不经许可直接取得管理员令牌了。
关闭

站长推荐

回顶部
Copyright (C) 2005-2018 pcbeta.com, All rights reserved
Powered by Discuz!  苏ICP备17027154号
请勿发布违反中华人民共和国法律法规的言论,会员观点不代表远景论坛官方立场。
远景在线 | 远景论坛 | 苹果论坛 | Win10论坛 | Win8论坛 | Win7论坛 | WP论坛 | Office论坛 | 电脑硬件 | 安卓软件