UAC提示触发器列表？

Question

我刚刚运行了一个多年前编写的旧程序，在 Vista 发布前几年。 Windows (7) 给了我 UAC 提示并要求允许我运行它。我很惊讶，因为它是一个相对简单的程序，它没有做太多花哨的事情，当然也没有什么需要提升的特权。然后我检查了目录，果然，Windows 在程序上覆盖了盾牌图标。

我快速扫描了代码，没有看到任何明显会触发 UAC 提示的内容。此外，该程序与我编写的其他几个程序共享一个框架，这些程序都没有 UAC 要求。有问题的程序以及其他不触发 UAC 提示的程序都存储在 (FAT32) 闪存驱动器上的同一目录中。

这个程序与其他几乎相同的程序的唯一真正独特之处在于它使用 ShellExecute 允许用户启动默认网络浏览器以打开选定的 URL，但我无法想象如果/为什么这实际上需要提升权限。

现在我正在尝试查找有关 Windows 使用哪种启发式方法来确定是否应使用 UAC 提示的某种信息。我知道旧的安装程序通常会触发提示，但它们通常称为setup.exe 或install.exe，而这有一个非常无害的名称（udb.exe）。我怀疑它正在检测某些函数调用或某些函数调用（当然，这意味着 Windows 资源管理器会读取并反汇编所有似乎值得怀疑的可执行文件）。

我以为会有这方面的一些信息，但我所做的研究只发现了一些场外讨论（上面或右侧的“类似问题”列表中没有提及），其中列出了一些原因，似乎都不适用：

• 程序的特定请求（这是不可能的，因为它是在 UAC 存在之前编写的），
• 缺少清单（它确实有，但无法解释为什么其他程序不触发它）
• 文件名/路径的内部列表（此处不适用）
• 来源（同样，这并不能说明其他程序还可以）
• 访问受限文件/注册表项（此处也不适用）
• 资源条目（同样，其他程序共享公共资源数据）
• 其他与系统相关的活动（同样，不适用于该计划）

我最终找到了一些相关的问题，例如one that asked what I am，但最终得到了一个完全不同的结果，在这里没有帮助，或者另一个问similar, yet opposite question 同样没有帮助的结果。不幸的是，我发现的best question 是关于安装程序/更新程序的（当然，这里不适用），也没有任何帮助，因为答案与我在其他网站上找到并在上面列出的旧信息相同。

是否有人知道 UAC 触发器列表或其他方式来弄清楚为什么 Windows 会认为某些程序需要提升？是否有受限制的 API 函数列表之类的？

为了清楚起见，我试图找出为什么 Windows 会为 UAC 标记一个程序，而不是另一个类似的程序。

Answer 1

原始答案（2014 年 7 月 4 日）

搜索UAC heuristics 会产生此博客条目：Identification of Administrative Applications。在那个页面上：

操作系统决定应用程序看起来像安装程序或更新程序，并在用户运行程序时自动调用提升以使用管理权限/特权运行程序。此决定基于启发式。以下是一些启发式检测点，尽管此列表并不详尽：

• 文件名检测 - 在文件名中查找“setup”、“update”、“install”等词
• SxS Manifest 单词检测 - 在程序集名称属性程序的 SxS Manifest 中查找众所周知的值
• 字符串表检测 - 在可执行文件的资源部分的字符串表中查找众所周知的值

因此，Xearinox 完全基于权限是不正确的。

您可能能够找出程序触发 UAC 提示的原因的一种方法是使用 Process Monitor 并检查权限错误。

---

更新（2020 年 7 月 29 日）

搜索会生成更新的文档页面：

How User Account Control Works

该页面底部有一个安装程序检测技术部分，其中包含以下信息（类似于上面的列表）：

在创建32位进程之前，会检查以下属性以确定它是否是安装程序：

• 文件名包含关键字，例如“安装”、“设置”或“更新”。
• 版本控制资源字段包含以下关键字：供应商、公司名称、产品名称、文件描述、原始文件名、内部名称和导出名称。
• 并行清单中的关键字嵌入在可执行文件中。
• 特定 StringTable 条目中的关键字链接在可执行文件中。
• 资源脚本数据中的关键属性链接在可执行文件中。
• 可执行文件中有目标字节序列。