91、Windows系统启动与安全机制深度解析

Windows系统启动与安全机制深度解析

1. VSM启动策略

在系统启动时，Windows加载器需要决定是否启动虚拟安全模式（VSM）。为防止恶意软件禁用这一保护机制，系统采用特定策略来锁定VSM启动设置。

• VSM启动源

  • 设备防护场景 ：每个场景作为子键存储在VSM根键中，(nDEleG DWORD注册表值控制场景是否启用。若有一个或多个场景激活，VSM将被启用。
  • 本地设置 ：存储在(nDEle9LrWuDlL]DWLRn%DseG6eFurLWy注册表值中。
  • 代码完整性策略 ：存储在代码完整性策略文件（Policy.p7b）中。
  • 默认情况下，当启用虚拟机监控程序时，VSM会自动启用（除非存在+yper99LrWuDlL]DWLRn%DseG6eFurLWyOpWOuW注册表值）。

• 锁定策略与安全启动变量
  每个VSM激活源都指定了锁定策略。若锁定模式启用，Windows加载器会构建一个名为9Es3RlLFy的安全启动变量，存储VSM激活模式和平台配置。部分平台配置基于检测到的系统硬件动态生成，另一部分从VSM根键中的5equLre3lDWIRrP6eFurLWy)eDWures注册表值读取。每次后续启动时都会读取该安全启动变量，其存储的配置会替换Windows注册表中的配置，从而防止恶意软件修改注