trustedinstaller权限怎么获得,如何获取TrustedInstaller权限

题图来自Unsplash，基于CC0协议

导读

获取 TrustedInstaller 权限：一种深层次的权限理解与控制

在 Windows 操作系统中，权限管理是维护系统稳定性和安全性的核心机制。其中，“TrustedInstaller” 用户代表了一个拥有系统最高权限的后台用户，其权限级别远超普通管理员甚至内置的 Administrators 用户。理解 TrustedInstaller 权限对于系统维护、故障排除以及安全加固至关重要。本文将围绕获取该权限的方法、其与管理员权限的区别、用途、风险、以及工作原理等方面进行探讨。

如何获取 TrustedInstaller 权限？

获取 TrustedInstaller 权限并非一件易事，主要途径通常涉及内置用户的标识和安全主体的激活，而非通过传统的密码登录。常见的做法是：

1. 利用内置用户标识： Windows 内部将 TrustedInstaller 作为内置的安全主体存在，其 SID 为 S-1-5-18，代表本地系统权限。可以通过修改注册表或使用特定的工具来模拟或指定此用户运行某些操作。例如，在 Sysinternals Suite 中的 PsExec 工具（需要校验）或 psexecle.exe 可能用于以更高的权限执行程序，识别 TrustedInstaller 用户。配置某些服务使用的登录身份时，系统选项也可能包含 TrustedInstaller。
2. 通过特定授权工具或脚本重置： 一些系统维护工具（如 Sysinternals 提供的 Privileged Services 支持）允许.sys 文件 在系统级权限下操作，这可能间接涉及到 TrustedInstaller。但直接利用这些工具来“获取”权限通常是指定已知的 TrustedInstaller 用户标识来执行原本权限不足的操作。
3. 在安全模式下重置： 理论上，如果通过群集或域策略重置了 TrustedInstaller 的密码，系统会引导进入安全模式以完成必要的系统文件修复或重新加载操作（因为服务依赖可能中断）。但这是一种较为极端的、通常由高级管理员或系统修复工具执行的操作。
4. 配置依赖： 某些高级系统组件或服务，例如负责文件系统过滤器驱动、系统文件保护 (SFC) 服务 (trailersvc) 等，都被配置为或依赖于以 TrustedInstaller 身份运行。管理员只能配置这些服务“关联”到 TrustedInstaller 身份，但不能直接登录。

TrustedInstaller 权限与管理员权限的区别

TrustedInstaller 和 Administrators (管理员) 权限存在巨大的差异：

• 权限层级： TrustedInstaller 拥有最高的系统级权限，其权限等级超越了 Administrators 用户。
• 用户隔离： TrustedInstaller 不是一个传统的“登录”用户，它不是一个可直接访问系统的凭据主体。它的存在是为了隔离那些需要执行关键系统任务的组件和需要强制读/写系统文件的操作。
• 特殊机制： 需要 TrustedInstaller 权限的操作通常会直接作用于系统文件夹 (WindowsSystem32) 或组件进行修改，系统会强制验证是否满足特定安全上下文。相比管理员权限，使用“Run as administrator”提升权限的交互式操作较少受 TrustedInstaller 的直接约束。
• 安全边界： 拥有管理员权限无法执行需要被隔离的特定系统特权操作（例如，绕过某些安全软件检测，修改受保护的系统组件），这些操作通常恰好需要 TrustedInstaller 权限。

TrustedInstaller 权限有什么用

TrustedInstaller 权限的核心作用在于保障操作系统的稳定性和安全性：

1. 系统文件保护： 这是最核心的功能。操作系统的核心文件（如 dll、exe、驱动程序等）一旦被意外或恶意修改或删除，可能导致系统崩溃或存在严重安全漏洞。任何尝试修改受保护的系统文件的操作（无论是谁发起），系统都能通过拒绝使用不合适的权限来阻止（例如，在资源管理器直接右键编辑是无法保存的）。进行 SFC 自检或 DISM /Online /Cleanup-Image 自修复过程所需权限也是基于 SYSTEM 和 TRUSTED_INSTALLER SID。
2. 关键系统组件的运行： 文件系统过滤器驱动、卷影副本服务、服务控制管理器、事件日志服务等关键系统功能组件，其正常运行和调整往往需要，这些功能保证了文件系统操作、错误日志记录、系统快照和崩溃分析等核心 Windows 功能。
3. 驱动程序和系统二进制映像的加载与卸载： 某些底层的驱动加载和系统映像的适当卸载可能也需要此权限，以进行资源管理和冲突避免。

修改系统文件需要 TrustedInstaller 权限吗

是的，通常情况下，直接通过标准资源管理器（“右键 – 属性 – 安全 – 允许”）、命令行（attrib -h -r 解除隐藏/只读）等方式尝试修改 (%WINDIR%) 目录下的标准 Windows 文件（如 C:WindowsSystem32kernel32.dll）是都失败的。这是因为：

• 文件的访问控制列表 (ACL) 通常设置了明确的所有者是 NT AUTHORITYSYSTEM 或 NT AUTHORITYTRUSTED_INSTALLER。
• 系统本身通过文件保护机制来检查尝试执行的操作主体。

但是，请注意：

• 这种保护机制并非直接与“TrustedInstaller”权限栏杆关联，而主要与 Windows 内核检查和文件所有者 (通常是 SYSTEM) 中的特定关系有关。
• 使用某些具有特殊授权的工具，或者通过 takeown 和 icacls 命令组合 理论上 可以夺取对这些文件的所有权和访问权限，但这通常严厉地违反 Microsoft 协议，会被 Windows Audit policy （审核策略） 记录，并且可能被反病毒软件 Flag 为异常行为，对系统稳定性和安全性构成风险。Sysinternals 的 Privileged Services 可以直接使用如上加载的特殊驱动来搜索并修改受保护文件，这实际上是利用了内核中的机制来模拟 TrustedInstaller 的行为。简单总结：正常的用户不会用指定权限去修改，建议使用 SFC 或 DISM 进行系统修复。 只有满足特定条件（例如拥有特权公钥，或文件权限不匹配）的操作才能不经过明显复杂的权限提示，但这并不代表用户需直接身份是 TrustedInstaller。

TrustedInstaller 权限安全风险

由于其权限极高，误用或滥用 TrustedInstaller 权限会产生极其严重的后果：

1. 后门创建： 恶意攻击者如果能以 TrustedInstaller 权限执行代码（例如通过漏洞或内核模块注入方式），可以轻易地安装持久化的后门，绕过几乎所有安全防护，长期控制系统。
2. 系统不稳定： 修改不应该被应用到系统文件的文件，或者文件名不匹配、版本错误、签名不符的文件，会导致系统意外行为、驱动程冲突、兼容性问题，甚至蓝屏和无法启动。
3. 损坏关键文件： 不当的操作可能会直接损坏操作系统的核心文件，使得系统无法正常运行，可能需要执行复杂的系统恢复操作。
4. 绕过安全软件： 有高级的恶意软件会试图利用获得 TrustedInstaller 权限来禁用或绕过安全软件，进一步隐匿自身活动。
5. 取证困难： 因为操作与典型的普通管理员活动截然不同且不常有记录（如用户登录日志），使用 TrustedInstaller 进行的操作可能会让人难以追踪来源。

Windows 系统中 TrustedInstaller 权限的原理

TrustedInstaller 权限的设计基于 Windows 的安全主体概念：

• 内置安全主体： 在 Windows 启动时加载的安全主体（Security Package）其 identifier 是 Security PackagesNTAUTHORITY...TRUSTEDCALCULATOR （注：实际标识可能与 终端服务密码或内置账户相关）。它的主要功能是在系统级别强制隔离。
• SID (安全标识符)： S-1-5-18 是 TrustedInstaller 的标识符，在所有的系统文件安全标识符中出现，作为保护操作的过滤标准。
• 文件所有者： 系统文件通常将 NT AUTHORITYSYSTEM 作为文件所有者，其 ACL 中禁用了继承和列出，并设定了严格的权限控制。
• 内核检查： 内核在决定是否允许操作（尤其涉及到系统文件）时，会根据操作发起者及其上下文（调度追踪、标志、驱动程序加载）进行复杂评估。部分攻击需要修改关键数据结构，当内核识别到请求操作的标准时，会强制触发相应的访问控制检查，但这并不直接命令操作者使用系统或TrustedInstaller身份重试，而是对请求的源进行验证。
• 依赖于 SYSTEM： TrustedInstaller 本身并不直接提供一个“密码”。真正拥有接近等效权限的是 SYSTEM 用户，而 TrustedInstaller 与其他服务之间的关系通常是通过安全登录/密码等接口隐式使用的，其权限是集成到系统服务主体中的。

如何以 TrustedInstaller 身份运行程序

实际操作中很少有程序是纯粹“仅由” TrustedInstaller 运行的。根据程序类型：

• 前台应用程序： 标准 Windows 终端（如 cmd.exe、PowerShell）或应用程序无法直接指定运行在 TrustedInstaller 用户 ID 下。非常规程序（如通过特定 API 请求权限的应用）或是特殊的系统守护程序接口才能启动此类安全上下文。
• 后台服务： 正常的服务可以通过配置其登录密码，使用标识为 “NT AuthorityTrustedInstaller”的账户或标识符运行。但这并不代表该服务程序本身被设计成单凭用户输入就能请求管理员权限执行功能。它们是通过系统认证并启动的。

需要注意的是，运行在 TrustedInstaller 身份下的代码是受严格限制的，可能无法加载用户模式驱动或某些 API，具体取决于运行环境和内核安全策略。例如，通过特定驱动加载或特权私有 API 调用。

获取 TrustedInstaller 权限的步骤

以下概述了手动“模拟”提升权限以模拟能力可能涉及的步骤（强烈建议仅由系统管理员使用权限，并明确了解风险。普通用户操作应绝对避免尝试）：

1. 要有原始管理员权限： 你或你的计算机需要有具有足够管理员权限的帐户，因为后续所有操作都要求管理员权限。
2. （可能需用第三方工具）重置或查找 TrustedInstaller 密码： 这部分非常困难且非标准。一些工具（如 L0phtCrack、Colasoft Capsa 等）可能通过捕获 NTLMv1 或其他方式拦截的握手记录尝试获取密码，但成功率不高且不推荐用于系统文件篡改或恶意目的。
3. （在更高级的安全模式下）重设权限： 使用密码重置或批量文件操作工具如 bulkshadow 、结合安全模式的 rwinstal 等可能用于重设系统文件的所有权和权限，但这需要复杂技术和对 Windows 文件结构的深入了解。
4. 使用特殊的授权机制： 利用 RunAs /Trust:DomainName /User:TrustedInstaller 或修改 secpol.msc 中的修改进程访问限制（但此做法已被 Windows 7 及更高版本限制）并不适用。真正模拟特权操作的命令如 bcdedit激活安全选项等，是用于系统启动配置的。

要真正获得 TrustedInstaller 执行权限，通常需要进入安全模式，使用系统工具或跨过一些 Metasploit 等工具中的特定模块来执行特权上下文的代码。但是，请再次强调：这些步骤旨在阐述，任何尝试获取未授予权限的操作都可能违反 Windows 策略，被安全软件标记，并损坏系统。 对于日常使用，用户应专注于管理员权限和通过工具或策略保护系统文件的方式，而非尝试直接获取并滥用 TrustedInstaller 权限。