Я шукаю конкретні приклади того, що можна, а що не можна зробити обмеженим рахунком, а не розпливчастими узагальненнями . Наприклад, запускайте пакетні файли / скрипти, але які команди не можна використовувати? До яких областей реєстру можна торкатися (якщо такі є)? Які каталоги за замовчуванням є поза межами (якщо такі є)?
Відповіді:
Дивіться ці статті від Microsoft:
З точки зору файлової системи, загалом кажучи, обмежені облікові записи не можуть записувати в більшість місць за межами своєї папки профілю. наприклад, папка Windows та програмні файли є поза межами.
Що стосується реєстру, загалом кажучи, обмежені облікові записи не можуть змінювати HKEY_LOCAL_MACHINE, лише HKEY_CURRENT_USER.
Не так багато;
Обмежений обліковий запис не може торкатися нічого, що впливає на інших користувачів комп'ютера. Це означає, що немає доступу до c: \ windows, немає доступу до інших каталогів користувачів, не змінюються загальносистемні налаштування (хоча будь-які налаштування кожного користувача корисні)
Обмежені облікові записи також не можуть встановлювати деякі програми (зокрема ті, які повинні інтегруватися з системою для функціонування - знову повертаючись до точки, що впливає на інших), але більшу частину часу можна без проблем встановлювати у власний каталог (Fun Fact: Google Chrome встановлюється в локальний каталог, тому обмежені користувачі можуть його встановити навіть без жодного додаткового кроку)
Що стосується пакетних файлів, то, ймовірно, можна використовувати 99% команд, але те, що вони можуть зробити, знову обмежується локальним поданням.
Звичайно, деякі обмежені акаунти можуть впливати на інших, але в цілому їх не повинно бути - і нічого не можна заховати всередині них, як Virus.exe :)