知乎、UAC 和 Windows 安全

[acess]

首先，LZ 是个外行逗比，下面写得几乎没啥逻辑……如果你的时间宝贵，最好还是别浪费时间接着读了。
很欢迎各位 V 友前来吐槽，不过希望你们遵循 V2EX 的规则，多带来一些信息量。

知乎逛多了，LZ 就慢慢被灌输了这样的观念：
现代 Windows 很安全，有 UAC+SmartScreen+Windows Defender 这种立体防护，有 ASLR、DEP、SafeSEH 等等缓解漏洞利用的安全机制，还有 SecureBoot、Kernel Patch Protection （ PatchGuard ）、Driver Signature Enforcement，几乎无懈可击。

“关闭 UAC 等于把 Windows 的安全级别降到 Windows 98 水准”、“国产全家桶使用 Flash 漏洞等邪恶手段绕过 UAC ”

直到有一天，我发现了某人的 Github： https://github.com/hfiref0x
UAC 被完美绕过。
DSE 被不完美绕过。

再稍微搜索一下：
https://github.com/tandasat/PgResarch
http://www.nosuchcon.org/talks/2014/D2_01_Andrea_Allievi_Win8.1_Patch_protections.pdf
原来 Win7、8.1 的 PatchGuard 早在 2014 年就被完全破解了。

至于 SecureBoot，微软也泄露过一个不该泄露的东西：
https://rol.im/securegoldenkeyboot/

看完这几个东西，瞬间被刷新三观…… LZ 感觉系统安全似乎只能仰仗 Windows Defender 和 SmartScreen 了——然而，知乎里不少答案的观点都是 Windows Defender 只提供基础防御，甚至还有 WD 只杀病毒不杀流氓等诡辩说法出现。

而且，杀软真的靠谱么？
http://bobao.360.cn/learning/detail/3407.html
也许可以指望主动防御拦截可疑的网络请求，但至少“扫描”看上去被完全击败了。

其实，稍微反思一下，就会发现 UAC 的意义其实很有限——无论是截屏、按键记录还是窃取、破坏个人文件，UAC 都不会过问。
但逛完知乎，LZ 就形成了一种印象，感觉 UAC 就是系统的保护伞……
DSE、PatchGuard 这些机制具体起了多大作用，LZ 也说不好，但 LZ 现在已经不相信它们能让系统变得更安全了。

《 Windows 内核设计思想》这本书的序里这么写道：
如果你觉得 Windows 的 64 位版驱动要验签名了，内核有 PatchGuard 了，所以更安全了；如果你觉得你用的是“水果”，不越狱所以固若金汤；如果你觉得 Android 不 root 就是 安全的，我只能说你还处于蒙昧无知的状态。如果你感觉到了哪里可能会有漏洞，而你可以一一填补，说明你混沌初开了。如果你像某些大公司的系统设计员一样，忽然冒出一个前无古人的想法，认为这样可以一劳永逸地解决安全问题，说明你开始了独立思考，可以着手安全问题了！如果你终于回到现实，甘愿像被缚的普罗米修斯一样，今夜痊愈，明日又开始新一轮的开膛破肚，永无休止，那你终于走上了正途！
（ https://book.douban.com/reading/34279756/）
现在 LZ 好像稍微理解一点这段话的意思了。不过，随便挑个问题问 LZ，LZ 也是一问三不知……

写了那么多，不知道写了啥，强行总结一下吧：
逛知乎虽然能让 LZ 注意到系统里有 UAC、DSE、PatchGuard 这些东西，但是——
知道了这些并不能让 LZ 用电脑比以前更舒心。
不管怎样，LZ 养成了双击 exe 之前非得看看数字签名是否有效等麻烦的习惯，不过这似乎也不会给自己带来太多实在的好处……

[acess]

@wevsty 是的，都在 ring0 里，对抗是没完没了的，只有一开始就阻止它加载。
但天翼校园客户端蓝屏事件能发生，就表示微软目前没有把这个政策完全落实。也许未来版本微软会完全收紧 DSE，但个人、开源软件可能又会成为问题，说不定还会抛弃老硬件平台的支持。

[acess]

@TakaLv 个人觉得安全需要微软这个开发操作系统的和第三方应用开发者一起来解决……
按理说开发者比用户在专业方面懂得更多，本应由他们负责保证安全。结果现在开发者的某些行为本身就和用户“敌对”了……真是蛋疼。
@hx1997 微软的 UWP 应用也许可以一举解决权限、隐私问题，不过可以想象，安全性提升后，便利性可能会受影响(比如用户也许不再可以自由操作文件)

[wevsty]

@acess 微软为什么要阻止天翼客户端加载驱动？微软不是神，不能包办一切。。。不管一个驱动是好还是坏，如果符合要求就允许加载是没有问题的，这方面不要指望太多。

[hx1997]

@acess 唉，现在没几年前那个兴趣去了解了，AppContainer 我也一直没看，似乎还挺有前途的。

[acess]

@wevsty 那个恶意驱动不是天翼客户端的组成部分，它是用过期证书签名的，请看我前面的回复。

[hx1997]

@wevsty 不知道你有没有研究 Job Object 和 AppContainer，加到你的产品里可能会有用 :)

[acess]

@wevsty 如果微软能够完全收紧 DSE，及时封禁被广泛滥用的有 bug 的驱动，那可以想象黑产的日子会变得更难过，脚本小子可能直接就出局了……
可惜微软目前还做不到完全收紧 DSE。

[TakaLv]

@acess 本来 C 盘底下一群文件夹就不应允许用户访问的，UWP 是可以很方便的读写文件的，对于用户来讲拷贝个文件这点 UWP 还是可以胜任的。
我认为要么就强制性实现 UAC 权限的分类告诉用户这个应用到底有什么危害，要不就直接管制应用安装入口。

[TakaLv]

@acess 作为 Windows 这个系统的开发商，如果早早努力限制影响安装的途径，至少大部分的安全问题是能解决了。

[SP00F]

文件做好权限，做细致化，很累。。。
不乱下，不乱装，认准官方，基本上杜绝大部分木马等软件。
到服务器权限，做得更细致的话。除非 0day，0day 也一定程度可以杜绝，只要把权限控制好。

只要认真，没有权限做不了的，密码随机复杂化，堡垒机上一个，Web 经常做代码审计，权限控制得非常好的情况下，基本上不是人为的过失基本可以杜绝了。

没有绝对的安全，经常检查，留个心眼。

[BB9z]

对于 UAC 有这么一种说法，微软通过降低用户体验的方式鼓励大家写出少使用系统权限的程序。

[lany]

https://github.com/hfiref0x/UPGDSED

[minami]

放轻松点，看了下 UACME 这个项目，里面的大部分漏洞都已经被修复了，还没有对于 15063 有效的。一旦有漏洞爆出来，微软是有修复的义务的，用户只要勤快更新，还是能避免很多攻击的。

[minami]

@minami 更正：把 15063 记成 RS3 了，15063 还是 RS2，那还是有一些问题没修复，需要等微软

[mozutaba]

@ahhui 这点我觉得 360 没错，普通用户就是要的在正常使用的情况下防范未知的安全风险。过期证书不让访问就影响正常使用了。chrome 的那种提示对于老年人就是浏览器屏蔽了网站，能点继续访问的就点了，不能的就换 ie 试了。左上角提示一个叉就行了。

所以固若金汤打了个引号。

[mozutaba]

@changwei 同意，但是自己还是不用 360 的。

[mozutaba]

@ivvei 比如你开一个截屏的软件，然后退出了，其实他在后台给其他软件刷量，这时候 uac 就给拦截下来，是这个用处。

[mozutaba]

@maplerecall 太年轻，店里的电脑可以给 u 盘设为只读，一个月后中毒都是打印店的锅。

以前用卡巴斯基的时候，把人家的打印图给删了，直接要 2k 重新找人做图。用上 360 就 ok 了，有毒就有毒，不运行不管。

[acess]

@mozutaba 卡巴不也有隔离区么……
倒是 WD 在我印象里有删掉激活工具就不给恢复的黑历史，我当时隔着屏幕都感觉到了微软的怨念……

[changwei]

@hjc4869 @mozutaba 我这个人没什么信仰，怎么好用方便就怎么来，只要我这样用，电脑安全无毒就 ok，电脑本来就是一个提升生产力的东西，而不是折腾的玩具，没有必要为了提升百分之 10 的安全，降低百分之 50 的生产效率，还用得那么累。而且我自己曾经也是搞 web 安全，很早以前也用 vb 之类的写过反弹木马，大概怎么才会中毒，中毒之后都有什么行为还是比较了解的，很多中毒和系统防护无关，和用户习惯有关，有些用户为了看小电影甚至故意关掉杀毒软件，那么在强大的防护软件给他也没用的。