0120——通过ProcessMonitor破解公司软件安装限制

Sysinternals 实用工具 - Sysinternals | Microsoft Learn

进程监视器 （ProcessMonitor）是 Windows 的高级监视工具，可显示实时文件系统、注册表和进程/线程活动。 它结合了两个旧版 Sysinternals 实用工具（Filemon 和 Regmon）的功能，并添加了广泛的增强功能列表，包括丰富的非破坏性筛选、全面的事件属性（如会话 ID 和用户名）、可靠的进程信息、具有每个操作的集成符号支持的全线程堆栈、同时记录到文件等等。 其独特强大的功能将使进程监视器成为系统故障排除和恶意软件搜寻工具包中的核心实用工具。

由于公司电脑有特定的权限控制软件，类似软件管家，导致无法在公司主机自由地安装我需要的软件，这对软件工程师来说，简直就是一个噩梦，所以我尝试查找各种方法来搞清楚这个软件到底通过什么机制来限制安装权限

使用ProcessMonitor，我根据软件管家所在路径C:\Windows\LVUAAgentInstBaseRoot，筛选出软件管家的实时行为，并且分析在我运行限制软件或安装软件时，产生了哪些动作，调用了哪些文件，其中一个重复调用、出现的文件名引起了我的注意——lv5-agent-policy-LVPPolicySTDSoftwareVT，通过policy和software，我用较大的概率猜测这和软件权限有较大关系。

由于软件管家也有权限使得C:\Windows\LVUAAgentInstBaseRoot是隐藏的，在文件夹下无法被查看修改。我通过借鉴别人的办法，即使用PE盘（使用HotPE制作）进入一个纯净系统，获取所有文件的操作权限，接着将上面的可疑文件的文件内容全部删除覆盖，我认为这样会使得软件管家调用数据失败，从而导致限制安装权限解除，回到常规操作系统下，再次安装软件，发现限制解除了。

后来发现不一定要通过PE系统来修改文件，使用bat脚本也能直接访问到这些文件，主要要使用管理员运行bat脚本，否则只读隐藏文件的权限，没写权限