Como evitar que um programa do Windows modifique atributos de uma pasta / arquivo?

Question

Meu problema atual é que estou tentando impedir que um programa altere os atributos (especificamente as permissões de gravação) de seus próprios arquivos para impedir que o programa se atualize desde que esteja conectado à Internet. O que eu tentei até agora é negar ao usuário sob o qual o programa está sendo executado para gravar (ou seja modificar / alterar) para o executável do programa e todos os seus arquivos com a ajuda de icacls.exe . Esta ferramenta de sistema interna pode modificar permissões de usuário em arquivos / pastas. Para começar, eu concedi acesso total ao executável do programa e seus arquivos para limpar todas as restrições, então, eu neguei o seguinte: DE, WD, WDAC, WO, AS, WEA, WA (consulte o manual de icacls.exe para ver o que eles representam), mas depois de relançar o programa, os atributos foram redefinidos para a vantagem do programa e ele imediatamente começou a atualizar . Após essa tentativa falhada, neguei permissões adicionais, como: D, mas não pude mais iniciar o programa, pois não conseguia nem dir o diretório no qual o programa estava localizado. O mesmo comportamento pode ser observado com outras permissões negadas adicionais, incluindo, mas não se limitando a, M, W, GW. Eu também tentei esconder attrib.exe do programa desde que eu notei conhost.exe está sempre sendo chamado pelo programa na inicialização com a ajuda da qual ele pode passar um attrib.exe comando para modificar os atributos, a menos que o usuário sob o qual o programa está sendo executado seja negado a alterar os atributos, mas novamente, negar as permissões M, W, GW que mencionei anteriormente me impede de visualizar o diretório em qual o programa e seus arquivos estão localizados e muito menos executá-lo. Será que o programa está usando a API do Windows para alterar os atributos de seus arquivos? Quais são os outros métodos para evitar que este programa modifique atributos além do que eu já mencionei?

    

Answer 1

1.   NÃO funciona na conta administrativa. Crie uma conta padrão e trabalhe lá. Use a conta administrativa apenas para definir permissões de segurança nos arquivos necessários ou para instalação / desinstalação de novos programas ou ajuste das configurações do sistema. Se a sua conta é administrativa, o programa pode facilmente substituir todas as suas restrições, uma vez que também funciona na conta administrativa.

2. Bloqueie a conexão de saída no firewall para o seu programa teimoso nas configurações avançadas do firewall.

Você pode tentar revogar a propriedade dos arquivos que não deseja escrever e atribuir um usuário restrito a um proprietário diferente (não uma conta que execute um programa), mas acho que a funcionalidade do programa seria quebrada.