windows - 以管理员身份运行程序 - 实际发生了什么？

Question

我的目标是从较低的层次理解当您“以管理员身份”启动程序时实际发生的情况。

1. 它是否将程序加载到 Kernel land 内存范围内？
2. 或者它是否仍在用户空间中加载并且 API 调用只是不再提示您访问请求？

Answer 1

当您登录时，Windows 会创建一个访问 token 。这可以识别您、您所属的组以及您的特权。并且请注意，用户是否是管理员取决于用户是否是 Administrators 组的成员。

没有UAC ，当您运行程序时，它会获取访问 token 的副本，这控制着程序可以访问的内容。

使用 UAC，当您运行一个程序时，它会获得一个受限的访问 token 。这是原始访问 token ，其中从组列表中删除了“管理员”(以及一些其他更改)。即使您的用户是 Administrators 组的成员，该程序也不能使用管理员权限。

当您选择“以管理员身份运行”并且您的用户是管理员时，程序将使用原始的不受限制的访问 token 启动。如果您的用户不是管理员，系统会提示您输入管理员帐户，程序将在该帐户下运行。