什么安全机制可以防止对 Windows 中的某些文件夹进行写访问？

Question

Windows 2012 R2\8.1 中的某些文件夹中的内容不可写 - 例如 Program Files\WindowsApps（存储从 Windows 应用商店下载的应用程序）。显然这是设计使然 - 防止人们修改不应让最终用户访问的代码 - 但阻止这种情况的具体机制是什么？作为练习，我尝试了各种方法来规避它 - 但即使获得了目录的所有权，给予我的用户对其的完全控制权限并确保没有设置只读标志 - 我仍然被拒绝尝试将新文件写入这片区域。我什至尝试从作为“系统”运行的命令提示符（通过 sysinternals psexec）执行此操作，但我遇到了相同的错误。

我想了一段时间，这可能与强制访问控制和完整性级别有关 - 但似乎不是因为我的进程处于高完整性级别 - 尽管此目录上启用了强制访问控制 - 它是设置为低。有效访问说我有完全控制权。不管它是什么都是操作系统级别的控制，因为在 Linux 中挂载文件系统，文件是完全可写的。

顺便说一句，这个问题的原因是我正在写一篇关于 Windows 应用商店应用程序安全性的演示文稿，我知道有人会问我是什么阻止了最终用户进入并修改它们。如果有人见过这样的东西（我已经广泛查看但找不到任何东西），那么任何指向 MS 关于这一点的特定文档的指针都会很棒。如果这个问题看起来有点与客户有关，我很抱歉 - 但我看到它已经在 SuperUser 上被问过几次，而且似乎没有人知道答案。非常感谢您的帮助。

Answer 1

这是 MS 实施的一项新安全策略，旨在禁止修改某些应用程序的核心文件。

可以将其视为 Apple 在 iOS 上的沙箱。它的用途如下：

• 阻止文件被修改（更改设置/选项/值）
• DRM（Windows 应用商店的一部分使用 DRM，这是包含 conf 文件的文件夹）
• SHA / MD5（以确保检查文件与也存储在应用程序的此文件夹中的文件相同）

我将尝试找出我拥有的开发人员论文，这是我在 8.1 发布时从 Microsoft 构建会议上收到的。

尽管这在 8.1 中被进一步锁定，但在 8 中，您可以通过添加要拥有的文件夹Administrators然后授予用户完全控制权来获得所有权和控制权。

有趣的是，如果您使用非 Windows 8 驱动器，您可以根据自己的喜好修改这些文件，尽管这可能会导致 SHA/MD5 检查失败并损坏该文件夹中可能存在的任何内容。