WSA Root、管理员权限与 Rootkit 是三回事：Windows 新手安全辨析

Windows 搜索中的 root 可能指旧 WSA 虚拟机里的 Android root、Windows 管理员/SYSTEM，或用于隐藏和持久化的内核 rootkit；三者不是同一件事。Windows 的“硬件 root of trust”又是启动完整性概念。本篇只做防御性只读排查，不提供 rootkit 的构建、加载、隐匿或关闭安全功能步骤。

你会完成什么#

• 用关键词把 WSA 镜像修改、合法管理员工具和 rootkit 研究分开。
• 从 Microsoft 官方来源取得 Sysinternals，并核对其数字签名。
• 用 Autoruns 导出启动项快照，不删除或禁用条目。
• 为一个条目记录路径、签名、发布者和调查结论。
• 知道何时隔离网络、运行 Defender Offline 或交给专业响应人员。

先看结论#

心智模型#

Windows host：管理员 / SYSTEM ──受 UAC、签名、Secure Boot 等约束
     ├─ WSA guest（历史）：guest 内 Android/Magisk，不影响物理手机
     └─ rootkit 风险：驱动/持久化/隐藏 → 隔离 → 采证 → 可信离线扫描/重装
本篇只走“观察与防御”支路，从不运行样本

工具清单#

项目全景：Windows 与 Rootkit的 58 个项目，一个不漏#

58 个项目并不都是 Windows Rootkit：还包括 Linux/BSD 内核研究、WSA/BlueStacks、Android 工具、根证书和大量同名误收录。文章应做防御性识别与实验室分流，绝不把恶意代码当新手安装包。

1. Linux/BSD Rootkit 与检测研究 · 9#

将 LKM、ftrace、LD_PRELOAD、eBPF 和 FreeBSD 样例作为防守实验室材料，使用离线虚拟机、快照和无生产凭据环境。

本组共 9 项：9 个源项目、0 个 Fork，其中 0 项已归档。它们是风险名录，不是新手安装候选；阅读顺序只用于识别威胁、比较上游与 Fork，或在经授权的隔离环境做防御性审计。

2. Bootkit、UEFI 与固件层样例 · 6#

用 Bootkit、SMM、UEFI 与 Stuxnet 分析说明固件持久化为何不同于普通进程隐藏；只做静态分析与隔离取证。

本组共 6 项：5 个源项目、1 个 Fork，其中 0 项已归档。它们是风险名录，不是新手安装候选；阅读顺序只用于识别威胁、比较上游与 Fork，或在经授权的隔离环境做防御性审计。

3. WSA、BlueStacks 与桌面 Android 环境 · 8#

比较 WSA、BlueStacks、ExaGear 和其他模拟器的宿主/来宾边界、镜像来源与回滚；预构建 Root 镜像必须先验证发布者和哈希。

本组共 8 项：6 个源项目、2 个 Fork，其中 1 项已归档。新手应先从“未归档的源项目”核对 README 和 Release，再用 Fork 追溯设备适配或历史差异；分组本身不等于推荐安装。

4. Windows 旁路的 Android 工具与网络应用 · 9#

归纳 ADB 去臃肿、桌面 Root 自动化、scrcpy、代理/DPI/热点和 Android Rootkit 项目，并按正常工具、研究样例和高风险后门分级。

本组共 9 项：8 个源项目、1 个 Fork，其中 0 项已归档。新手应先从“未归档的源项目”核对 README 和 Release，再用 Fork 追溯设备适配或历史差异；分组本身不等于推荐安装。

5. Windows 证书、注册表与诊断 · 5#

把注册表基线、旧版根证书更新、系统诊断和 USB 树工具放进安全运维路线，全部先校验系统版本与签名。

本组共 5 项：5 个源项目、0 个 Fork，其中 0 项已归档。新手应先从“未归档的源项目”核对 README 和 Release，再用 Fork 追溯设备适配或历史差异；分组本身不等于推荐安装。

6. Windows Rootkit 研究（隔离审计） · 15#

覆盖用户态、内核态、Ring 0/3、进程隐藏与令牌操纵样例；文章只给识别指标、隔离和清理思路，不给部署或规避检测步骤。

本组共 15 项：15 个源项目、0 个 Fork，其中 2 项已归档。它们是风险名录，不是新手安装候选；阅读顺序只用于识别威胁、比较上游与 Fork，或在经授权的隔离环境做防御性审计。

7. 同名与无关项目复核 · 6#

逐项标注剩余下载脚本、游戏工具、播放列表脚本、智能设备或元数据为空的项目，不因位于本类就背书。

本组共 6 项：6 个源项目、0 个 Fork，其中 1 项已归档。它们的平台、用途或分类存在边界，只作逐项核验，不当作默认安装候选。

开始前#

只调查你拥有的 Windows PC。先断开不必要的外接盘，保存工作并记录 Windows 版本、设备名、当前时间和 Windows Security 状态。若设备属于公司、医院或学校，立即遵循组织事件响应流程，不自行采证。Autoruns/Sigcheck 只从 Microsoft Sysinternals 官方页面下载；下载后在文件属性“数字签名”或 PowerShell Get-AuthenticodeSignature <path> 中确认签名者为 Microsoft。

操作步骤#

1. 先用 README 和关键词分类语境#

对一个“root”仓库只读查看 README，不克隆、不下载 Release。记录目标平台和关键词：WSA/MSIX/ADB-to-WSA 属于 guest 修改；UAC/Administrator/SYSTEM 属于 Windows 权限；driver/ring 0/DKOM/hide 属于高风险 rootkit 研究。若是 WSA，再记录微软官方停服事实，结论应为遗留生态而非 2026 默认方案。

2. 导出 Autoruns 基线#

以普通方式打开官方 Autoruns，先在 Options 启用数字签名验证并等待结果稳定。使用 File → Save 保存一份带日期的快照到专用调查目录；不要把快照公开上传，它可能含用户名和路径。选择一个你想核对的非 Microsoft 条目，记录其 Autorun Location、Image Path、Publisher、Timestamp 和签名状态。此时不取消勾选、不删除。

3. 对一个明确路径做交叉核验#

确认 Image Path 指向一个具体普通文件，而不是设备对象或无法识别的驱动路径。用文件属性或 Get-AuthenticodeSignature '<exact-path>' 查看签名；若使用 Sigcheck，先阅读官方参数说明，再对这个明确路径查询哈希/签名。签名有效只说明发布身份和文件未被签名后篡改，不代表软件一定安全；无签名也不自动等于恶意。

4. 给出可回退的处置结论#

把条目标为：已知且预期、需要厂商/管理员确认、或高风险升级调查。新手不要直接删除驱动/服务；Autoruns 中取消勾选虽比删除可回退，也应由恢复计划和专业判断支持。若高风险证据成立，先断网、保存快照与时间线，再从 Windows Security 选择 Microsoft Defender Offline；扫描前确保 BitLocker 恢复密钥可用并保存所有工作。扫描仍异常时，优先从可信介质重装而非追逐“清 rootkit”脚本。

验证#

• Sysinternals 二进制来自 Microsoft 官方页面且数字签名有效。
• Autoruns 快照已保存，调查过程中没有禁用或删除条目。
• 至少一个条目拥有可复核的路径、发布者、签名和结论。
• WSA、Windows 管理员、内核 rootkit 和硬件 root of trust 被分为四个概念。
• 高风险时的下一步是隔离/离线扫描/专业响应，而不是执行样本或关闭保护。

排错#

完成清单#

• □我只调查自己的 Windows PC，并记录了系统与时间基线。
• □我从 Microsoft 官方来源取得并验证了 Sysinternals。
• □我导出快照但没有禁用、删除或加载任何条目/驱动。
• □我能区分 WSA root、Administrator/SYSTEM、rootkit 和 root of trust。
• □我写下隔离、离线扫描或专业升级的停止条件。

一手资料#

• Microsoft Windows Subsystem for Android archive
• WSAGAScript upstream repository
• Sysinternals Autoruns
• Sysinternals Sigcheck
• Microsoft Defender Offline
• Windows hardware root of trust