改注册表手动设置UAC白名单。

利用白名单程序的本质实际上是劫持注册表,这种方法主要是通过寻找autoElevated属性为true的程序,修改其注册表command的值,改成我们想要执行的paylaod,在该值中指明的字段会在这类程序运行时自动执行,类似于默认程序打开,当你以后运行该程序时,这个command命令都会自动执行。我们在运行eventvwr.exe，程序会在注册表下去找这些值，如果这些值是一个calc的程序，那么系统在运行eventwr.exe时就会去执行一个calc.exe。我们打开注册表,去找到刚刚那个注册表的位置。

(User Account Control)是Windows Vista（及更高版本操作系统）中一组新的基础结构技 术，可以帮助阻止恶意程序（有时也称为“恶意软件”）损坏系统，同时也可以帮助组织部署更易于管理 的平台使用UAC，应用程序和任务总是在非管理员帐户的安全上下文中运行，但管理员专门给系统授予管理员 级别的访问权限时除外。UAC会阻止未经授权应用程序的自动安装，防止无意中对系统设置进行更改。

本文详细介绍了如何通过组策略和注册表为企业域用户创建UAC白名单，有效减少频繁的UAC弹窗干扰。通过AppCompatFlags注册表键和组策略首选项(GPP)的组合应用，IT管理员可以为常用业务软件配置例外，既保持系统安全性又提升用户体验。特别适合需要维护老旧业务系统的企业环境。

3、在右侧找到需要修改的应用程序对应的字符串值，双击打开修改参数，将数据值由原先的“RUNASADMIN”改写成“RunAsInvoker”，大小写无限制。重命名为所要去掉UAC对话框程序的路径（如：C:\Program Files (x86)\Meitu\XiuXiu\XiuXiu.exe）2.找到HKEY_CURRENT_USER\Software\Microsoft\WindowsNT\CurrentVersion\AppCompatFlags\Layers,可以复制路径回车；

有时候没有管理员权限安装不了一些软件，在网上找到了一些可行的方法，下面总结： 第一种：有些软件不能使用此方法 新建一个txt记事本 在记事本中输入 set __COMPAT_LAYER=RUNASINVOKER “安装包路径名” 例如： set __COMPAT_LAYER=RUNASINVOKER "C:\Users\F1238645\Desktop\安装包\pycharm-professional-2020.2.exe" 另存为.bat文件 点击执行 第二种： 寻找朋友或在网上下载免安装版程

Se在实际开发过程中，可以通过Process Explorer检查服务或程序处于哪个Session，会不会遇到Session 0 隔离问题。我们在Services 中找到之前加载的AlertService 服务，右键属性查看其Session 状态。

参考本章记录一下系统白名单文件结合注册表bypassuac，uac这个东西并不是Windows设置的防御机制而是相当于保护机制，只是用来控制用户行为的，弹个窗来提醒一下用户的行为，和直接的杀软是不一样的性质，所以uac有多种方式绕过比如系统白名单、DLL 劫持绕过、COM 劫持绕过、利用系统漏洞绕过甚至如果直接提权到高权限也相当于直接绕过了uac。

使用UAC白名单让指定的程序不受UAC限制1. 关闭UAC的隐患我的上一篇博文关于Windows_8.1/Windows7下普通用户运行软件提示需要输入管理员密码解决方法已经介绍过如何以普通用户身份运行某些需要提权的程序而不弹出“用户帐户控制设置”对话框，文中的方法是把UAC完全关闭了，确实可以避免烦人的“用户帐户控制”提示，但同时也降低了系统的安全级别。...

对电脑有一定基础知识，而又不使用第三方杀毒软件的，UAC 是防病毒和流氓软件的利器。每次重装电脑系统后第一批的处理中，我就会把 UAC 通知等级开到最高。这样基本涉及对电脑系统的修改（及请求管理员权限）都会出现弹窗询问你是否同意，看到不合理的权限请求就可以拒绝，这样就能有效防止后台偷跑。但是不排除一些自己用的软件需要管理员权限，这种自己已经能确认安全了，每次手动点“是”就显得麻烦了，这就是一种 UAC 白名单的可能需要，既要保证有实质的管理员权限执行，又要能默认同意。

前提：本机具有管理员权限查了网上的好多办法，都是直接让用户关闭UAC,就是用户控制里面的控制等级直接允许任何程序运行不弹窗提醒，这种很容易被病毒软件给利用。关闭办法很简单：一、设置程序管理员找到需要管理员运行的程序，右键属性，选择以管理员身份运行把程序打开一次后关闭二、进入注册表按住Win+R组合键，弹出运行，输入regedit进入注册表注册表位置（win10用户可以直接复制该连接）：计算机\HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVer

注册表 注册表是windows操作系统、硬件设备以及客户应用程序得以正常运行和保存设置的核心“数据库”，也可以说是一个非常巨大的树状分层结构的数据库系统。 ​注册表记录了用户安装在计算机上的软件和每个程序的相互关联信息，它包括了计算机的硬件配置，包括自动配置的即插即用的设备和已有的各种设备说明、状态属性以及各种状态信息和数据。利用一个功能强大的注册表数据库来统一集中地管理系统硬件设施、软件配置等信息，从而方便了管理，增强了系统的稳定性。 UAC 桌面分为三层，分别是 Winlogon Deskt.

Windows白名单中autoElevate属性为True，就会实现启动时自动提升权限(不会提示UAC)，而这些应用程序往往都具备微软的签名，微软认为它是可信的。UAC的作用是为了方式恶意软件、木马病毒、广告插件，但是UAC同样也会对系统本身的程序造成影响，微软也不希望运行系统程序也需要询问用户，因为系统程序是安全的。想要批量查找，可以借助微软的工具strings工具，他类似Linux中的Find，可以批量查找程序中的属性值。sigcheck.exe（查看应用程序的autoElevate 属性的值）

取消打开某个软件时【用户账户控制】弹窗打开注册表：\HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Layers在此目录下新建【字符串值】，命名为软件的全路径，值设为RunAsInvoker即可，立即生效。 打开注册表： \HKEY_CURRENT_USER\SOFTWARE\Micros...

在企业域环境中，通常，普通域用户是没有安装软件权限的，需要安装软件时，都是由IT运维人员通过域的管理员来安装。2、打开软件后，Custom Databases-New Databases-Create New-Application Fix。这样就完成了配置，任务普通域用户，用其域账号登录电脑后，都可以执行SSLVPN这个程序，不需要再跳出要管理员密码的提示窗口。5、一直下一步到完成安装，然后点save来保存设定。安装选项里，只需要勾选：应用程序兼容性工具。3、依次软入程序名称，描述，选择软件程序路径。

Windows 针对某一个应用程序 取消用户账户控制

先将操作在本地执行，使用procmon进行监控，过滤DLL和 NAME NOT FOUND ，寻找可以替换的DLL文件，注意文件的权限是否可以在目录写入，可以看到在C盘的tools目录的文件中有一个srrstr.dll被调用，但是没有加载，我们生成恶意的DLL文件看看是否可以被劫持。在Windows中许多应用程序并不是一个完整的可执行文件，它们被分割成一些相对独立的动态链接库文件，即dll文件，放置于系统中，个人理解类似于我们编程中引入的模块。将我们生成的DLL文件改名为我们要劫持的DLL文件名。

在 HKEY_CURRENT_USERS\Software\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Layers 键下面新建值，值的名字是程序的全路径，值数据是“RunAsInvoker”。 注意： 不过 UAC 白名单是有一定局限性的，就是如果程序有必须要用管理员才能运行的设置（requireAdministrat

Windows7下 UAC(User Account Control，用户帐户控制)是微软为提高系统安全而在Windows Vista中引入的新技术，它要求用户在执行可能会影响计算机运行的操作或执行更改影响其他用户的设置的操作之前，提供权限或管理员?密码。通过在这些操作启动前对其进行验证，UAC 可以帮助防止恶意软件和间谍软件在未经许可的情况下在计算机上进行安装或对计算机进行更改。 从Vis

Windows10-用户账户控制的通知设置、Windows远程桌面（Windows远程win7、win10、win11）示例：win10远程win11