UAC 是本地提权的门槛
UAC 是 Windows 管理员令牌分离机制的基石：启用 EnableLUA 后，管理员日常以标准用户令牌运行，需要提升时才弹窗确认。把管理员批准模式设为在安全桌面上提示、并拒绝静默提升，能显著抬高本地提权链的门槛——恶意程序无法在不惊动用户的情况下取得管理员权限。
基本信息
| 适用平台 | Windows Server 与 Windows 10 及以上 |
|---|---|
| 风险等级 | 中 |
| 基线值 | EnableLUA=1、ConsentPromptBehaviorAdmin=2、PromptOnSecureDesktop=1 |
| 注册表路径 | HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System |
| 生效条件 | 需要重启 |
典型使用场景
- Windows 主机加固基线中的 UAC 检查项
- 排查安装软件时无提示就取得管理员权限的现象
- 分析本地提权链中的静默提升配置
- 与域组策略统一 UAC 行为
- 排查为兼容性调整留下的降级配置
核查现状
核查现状
$k='HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System'
Get-ItemProperty $k | Select-Object EnableLUA, ConsentPromptBehaviorAdmin, PromptOnSecureDesktop # 读取三个关键取值
Get-ItemProperty $k | Select-Object EnableInstallerDetection, FilterAdministratorToken # 相关子项一并查看修复（重启生效）
修复（重启生效）
Set-ItemProperty $k -Name EnableLUA -Value 1 # 启用 UAC
Set-ItemProperty $k -Name ConsentPromptBehaviorAdmin -Value 2 # 管理员批准模式：安全桌面提示
Set-ItemProperty $k -Name PromptOnSecureDesktop -Value 1 # 提示使用安全桌面
shutdown /r /t 0 # 重启后完全生效注册表项读法
| 注册表项 | 含义 | 注意点 |
|---|---|---|
| EnableLUA | 是否启用 UAC | 置 0 会连带禁用多项安全功能 |
| ConsentPromptBehaviorAdmin | 管理员提升时的提示行为 | 取 0 等于不提示直接提升 |
| PromptOnSecureDesktop | 提示是否在安全桌面显示 | 取 1 可防伪造弹窗 |
| EnableInstallerDetection | 安装程序检测 | 配合提升提示一起使用 |
| 生效条件 | 是否需要重启 | 验收要看重启后的实际弹窗行为 |
ConsentPromptBehaviorAdmin 取 0（不提示直接提升）等于废掉 UAC 的实质保护：自动化运维依赖无提示提权的场景要单独评估与隔离。
注册表改完必须重启才能完全生效，验收要靠重启后的实际弹窗行为，而不是只看注册表里的值。
EnableLUA 置 0 会连带禁用 Store 应用与不少安全功能，是明确的退步配置，不要以兼容性为由把它关掉。