Category: Windows

Unix 系统一直注重用户权限的保护，这个机制也促使这个系统中的应用程序对权限保护的支持。现在的 Windows 操作系统越来越注重权限的控制，很多用户也开始通过权限来用户权限来保护系统文件和用户私有文件。

但是用户会遇到很多的问题，绝大多数是应用程序对权限保护机制的支持有问题，主要表现在这些问题应用程序需要读写程序的安装目录，而在权限保护下程序的安装目录一般应该设置为只读的，这样才能防止程序被恶意篡改。同时也让这些程序不能正常工作了。一些用户因此取消了对程序目录的保护，设置为可读可写，这样使安全性大打折扣。
Continue reading 呼吁 Windows 程序员注意权限问题

新单位里有一台 P3 的老机，安装了 Windows XP 操作系统和一大堆没有用的垃圾软件，例如金山杀毒软件、瑞星杀毒软件等等。本来性能就不高的机器是更慢了，几乎不能用。

为了让它能玩一些小游戏，对它进行了一些优化和安全处理，下面是具体的日志：
1. 首先把不需要的一些软件都删除了，如杀毒软件等等。
2. 除了 Administrator 用户，删除其它非系统用户。
3. 把所有的分区都转换成 NTFS。
4. 创建一个新的用户组，名为 Limited Users。
5. 创建一个新的用户，隶属于 Limited Users 和 Users，千万不要属于其它的用户组，因为这个用户将作为日常使用的用户。
6. 把安装了操作系统的磁盘（C:\）的 Limited Users 组权限设置成可读不可写。
7. 在其它所有磁盘里创建名为 vroot 的文件夹，把原有的文件全部移动到这个文件夹里。
8. 指定其它所有磁盘的 Limited Users 组权限为可读不可写；指定其中的 vroot 文件夹为可读、可写。 指定所有磁盘里的 Recycler 文件夹的 Everyone 组权限为可读、可写、可修改。
9. 清理开机自启动项目，注册表里和用户启动文件夹，不要忽略了 All Users。
10. 清理不需要的服务，如系统帮助等等。
11. 为各个用户设置密码， Administrator 用户的密码要安全。
12. 安装需要的软件，同时也要指定软件安装目录的权限，有些垃圾软件安装目录不可写还进行不了，这类软件也就只有在 Windows 操作系统里能出现。
13. 保护 IE 主页不被非法篡改，先到日常用户里设置 IE 主页为 http://www.heiher.info，再到管理用户里进行注册表程序，搜索 http://www.heiher.info 并改成你想设置的主页如 http://www.google.com，再修改这个表项的 Limited Users 组的权限为不可修改。下面去日常用户里修改看看吧，那是绝对修改不了的。
14. 最后还是通过用户权限和文件系统的权限去保护一些你私人的文件数据。

经过上述的一些处理后，进程数只有 12，启动后内存占用 89 MB。效果是不错的，相对安全，因为 Windows XP 的漏洞还是很多的，一些病毒通过漏洞提高自身权限就没有办法了。

有兴趣还可以找一些经常出现的病毒来进行试试，看看情况怎么样。我试了多数是报错退出，可能是想修改系统文件没有成功吧，哈哈。

另外还有一些问题，这些问题都是因为一些应用软件开发者的原因，例如腾讯的 Cross Fire 游戏就使用了一款“安全”模块，需要在游戏启动后控件键盘驱动程序，这样的应用程序在 Users 组里是无法正常运行的。还有一些应用软件在运行时需要在安装目录里创建新文件，这样的应用程序保护文件不方便。其它完全可以把这些文件写到 %HOMEDIRVE%%HOMEPATH%\Application Data\ 目录里从而避免这样的问题。

这个方法不可能绝对安全，但相对多数 Windows 用户的方法（例如安装杀毒软件、一些行为实时监控等等）很安全。防火墙还是很好的东西，有需要应该安装一款。

Over!