Como executar processos no Windows com privilégios limitados

Para executar software de procedência duvidosa, a recomendação mais comum é usar uma máquina virtual. Se a instalação do Windows for para os ares, ao menos que seja em um ambiente contido. Outra opção é criar caixas de areia com ferramentas como o estilo Sandboxie, agora gratuito. Por fim, existe a possibilidade de limitar os privilégios de um processo ou melhor, obrigá-lo a funcionar sem acesso aos recursos do administrador. Nosso aliado para isso é o RunWithRestrictedRights, um pequeno programa difícil de configurar, mas fácil de usar.

Por que limitar privilégios?

Atualmente, quase qualquer programa solicita privilégios elevados para funcionar corretamente. Habilitar esses privilégios não é algo complicado (um clique com o botão secundário é suficiente), mas sempre corremos um risco, por menor que pareça. 9 em cada 10 vulnerabilidades no Windows podem ser contidas com perfis de usuário sem privilégios de administrador, o que dá uma ideia do potencial de dano se caírem em mãos erradas.

Alternativas: máquina virtual, sandbox ou limitação de privilégios?

As alternativas incluem uma um ambiente virtual, uma instância inteira do Windows que serve de sacrifício para elementos maliciosos, e no pior caso, basta restaurar a imagem para um estado anterior. A segunda é uma caixa de areia, algo similar ao Sandboxie. A terceira é limitar os privilégios do executável na própria máquina, e é aí que entra o RunWithRestrictedRights, um pequeno programa distribuído pela Core Technologies.

Configurando o RunWithRestrictedRights

A configuração do RunWithRestrictedRights requer alguns passos prévios. Basicamente, ele precisa que o perfil possa ajustar as cotas de memória para um processo e substituir um símbolo (token) de nível de processo. Isso é feito através das diretivas de grupo local (gpedit.msc), entrando em "Configuração do computador - Configuração do Windows - Configuração de segurança - Diretivas locais - Atribuição de direitos de usuário", e nos direitos mencionados, adicionar os usuários "Administrador" e o seu perfil. Reinicie o computador para aplicar as alterações. (Nota do editor: se você usa uma edição Home do Windows e o gpedit.msc não está disponível, deverá encontrar uma maneira de habilitá-lo ou localizar as chaves de Registro relevantes).

Usando o RunWithRestrictedRights

Se tudo der certo, o resto é questão de abrir um prompt de comando com privilégios elevados, ir até a pasta onde o RunWithRestrictedRights está salvo e usar o comando "RunWithRestrictedRights.exe", seguido do processo a limitar. O texto indicará que o programa foi executado com integridade média e seu PID correspondente. Os modificadores mais importantes do RunWithRestrictedRights são -l e -p, que reduzem ainda mais a quantidade de direitos. A partir daqui, depende de cada processo. Alguns funcionarão bem, outros gerarão erros de todos os tipos.

O RunWithRestrictedRights não é exatamente uma ferramenta para novatos, mas se você precisar restringir o uso de privilégios elevados de um processo, ele deve servir bem.

Site oficial e download: Clique aqui