高权限修改注册表时为何常遇“拒绝访问”错误？

Question

高权限修改注册表时频繁出现“拒绝访问”错误，根本原因并非权限不足，而是Windows的**注册表安全机制与UAC双重防护协同作用的结果**。即使以Administrator身份运行程序，若未通过UAC显式提权（即进程令牌未含完整管理员组SID），对HKEY_LOCAL_MACHINE等受保护键（如SOFTWARE、SYSTEM）的写操作仍会被ACL拒绝。此外，部分键值（如\HKLM\SYSTEM\CurrentControlSet\Control\SecureBoot）默认启用**强制完整性控制（MIC）**，要求进程完整性级别≥“High”；而普通管理员进程常为“Medium”。另常见诱因包括：注册表项被系统进程（如csrss.exe、smss.exe）独占锁定；第三方安全软件（如EDR、杀软）主动拦截；或启用了**注册表虚拟化（Registry Virtualization）**（仅限32位应用在WOW64下误写HKLM时自动重定向至HKCU）。排查需结合Process Monitor抓取Access Denied事件，并验证进程令牌完整性级别与目标键ACL权限匹配性。

Answer 1

```html

一、现象层：表象“拒绝访问” ≠ 权限未授予

当以Administrator账户登录并双击运行PowerShell或RegEdit时，仍频繁遭遇ERROR_ACCESS_DENIED (0x5)——这并非传统意义的“没给权限”，而是Windows安全子系统在多个维度上主动拦截。尤其在修改HKEY_LOCAL_MACHINE\SOFTWARE或\SYSTEM\CurrentControlSet\Control\SecureBoot等路径时，错误日志中几乎不出现SID缺失提示，反而表现为静默拒绝。

二、机制层：UAC + ACL + MIC 三重门禁协同生效

• UAC令牌切分：即使登录为Administrator，初始shell进程默认获得Filtered Token（含S-1-5-32-544但被移除SeDebugPrivilege等高危权限）；必须通过“以管理员身份运行”触发UAC Consent Prompt，生成含完整Administrators组SID且Integrity Level=High的令牌。
• ACL细粒度控制：HKLM下多数键默认ACL仅允许NT AUTHORITY\SYSTEM和BUILTIN\Administrators（Explicit Allow），但要求该ACE对应进程令牌中必须存在未被过滤的Administrators SID——普通管理员进程因UAC过滤而失效。
• MIC强制完整性检查：SecureBoot、CI Policy、Lsa相关键启用Low/High Mandatory Level标签。Process Explorer可验证：cmd.exe（Medium IL）写HKLM\SYSTEM\CurrentControlSet\Control\SecureBoot必失败，即使ACL全开。

三、干扰层：非权限类阻断因素深度解析

诱因类型	典型表现	验证命令
系统进程独占锁	RegEdit显示“无法打开项”，ProcMon捕获到NAME COLLISION或ACCESS DENIED伴随csrss.exe堆栈	handle64.exe -p csrss.exe | findstr "REG"
EDR/杀软Hook拦截	ProcMon中RegSetValue操作返回STATUS_ACCESS_DENIED，但调用栈含avsysdrv.sys或edrhook.dll	sigcheck64.exe -i c:\windows\system32\drivers\*.sys | findstr "AV EDR"
注册表虚拟化	32位程序写HKLM\SOFTWARE实际落盘至HKEY_CURRENT_USER\Software\Classes\VirtualStore\MACHINE\SOFTWARE	reg query "HKCU\Software\Classes\VirtualStore\MACHINE\SOFTWARE" /s

四、诊断层：精准定位拒绝根源的标准化流程

1. 启动Process Monitor v4.0+，添加过滤器：Operation is RegSetValueKey + Result is ACCESS DENIED
2. 右键失败事件 → Properties → Stack，确认调用方模块与父进程完整性级别（可通过whoami /groups /fo list | findstr "Mandatory"交叉验证）
3. 使用accesschk64.exe -k -q "HKLM\SYSTEM\CurrentControlSet\Control\SecureBoot"比对当前进程Token中的Groups与目标Key的DACL
4. 检查MIC：psgetsid64.exe -i输出中查找Mandatory Label\High Mandatory Level是否存在

五、解决层：多场景适配的工程化修复方案

# 场景1：需High IL写SecureBoot（PowerShell）
Start-Process powershell.exe -ArgumentList "-Command "New-ItemProperty -Path 'HKLM:\\SYSTEM\\CurrentControlSet\\Control\\SecureBoot\\Policy' -Name 'Test' -Value 1 -PropertyType DWord"" -Verb RunAs

# 场景2：绕过虚拟化（32位应用写HKLM）
if ([Environment]::Is64BitOperatingSystem) {
  $key = "HKLM:\SOFTWARE\WOW6432Node\MyApp"
} else {
  $key = "HKLM:\SOFTWARE\MyApp"
}
New-Item -Path $key -Force | Out-Null

六、架构层：Windows注册表安全模型全景图

graph TD A[用户登录Administrator] --> B{UAC策略} B -->|默认启用| C[生成Filtered Token
IL=Medium] B -->|“以管理员身份运行”| D[请求Consent
生成Full Token
IL=High] C --> E[ACL检查失败
无完整Admin SID] D --> F[MIC检查
IL≥High?] F -->|否| G[Access Denied] F -->|是| H[ACL匹配
写入成功] I[第三方安全驱动] -->|IRP_MJ_SET_INFORMATION Hook| G J[csrss.exe锁定] -->|Kernel-mode REGOBJ| G

```