search

kaixuan1115 / notes

笔记收录
6 stars 0 forks source link

Win 8/8.1/10彻底关闭UAC #20

Closed xiaokaixuan closed 4 years ago

xiaokaixuan commented 4 years ago

在注册表中，UAC的默认设置如下：

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System]
"ConsentPromptBehaviorAdmin"=dword:00000005
"ConsentPromptBehaviorUser"=dword:00000003
"EnableInstallerDetection"=dword:00000001
"EnableLUA"=dword:00000001
"EnableSecureUIAPaths"=dword:00000001
"EnableUIADesktopToggle"=dword:00000000
"EnableVirtualization"=dword:00000001
"FilterAdministratorToken"=dword:00000000
"PromptOnSecureDesktop"=dword:00000001
"ValidateAdminCodeSignatures"=dword:00000000

把“用户帐户控制设置”设置为“总是通知”，相关的注册项的值改变如下：

"ConsentPromptBehaviorAdmin"=dword:00000002

把“用户帐户控制设置”设置为“仅当应用程序尝试更改我的计算机时通知我（不降低桌面亮度）” 相关的注册项的值改变如下：

"PromptOnSecureDesktop"=dword:00000000

当把“用户帐户控制设置”设置为“从不通知”时，相关的注册项的值改变如下：

"ConsentPromptBehaviorAdmin"=dword:00000000
"EnableLUA"=dword:00000000
"PromptOnSecureDesktop"=dword:00000000

我们注意到 "EnableLUA"的值为0 ，意味着UAC已被禁用。这是非常危险的，因此，强烈推荐您在组策略中设置此设置选项，这样可以在用户或者是被以前删除的恶意软件重置/改变了设置选项后，依旧可以应用策略，启用UAC。

上述这些改变在 Windows 7中有效，在Windows 8/8.1中 EnableLUA 不会被更改为禁用状态。因此，在将“用户帐户控制”设置为“从不通知”时，只产生了下列改变：

"ConsentPromptBehaviorAdmin"=dword:00000000
"PromptOnSecureDesktop"=dword:00000000

这个时候，由于“EnableLUA”=dword:00000001的值没有发生改变，因此, UAC没有完全禁用，同时IE浏览器依旧运行在低级别完整性中。

然而，如果一个用户使用本地管理员帐户登录到计算机时，UAC的设置对于所有使用高级别完整性的进程是不起作用的。因此，在Windwos 7/8 和 8.1中，总是要确保用户没有使用本地管理员帐户登录计算机，如果将域帐户添加到本地管理员组中将会更好的请求本地管理员权限。