如何加密MSI属性值防止泄露？含MST及PS转EXE相关问题咨询

• 加密存储+自定义动作解密：别在MST里存明文密码，改成存储加密后的字符串。写一个简单的C++解密DLL作为MSI的自定义动作，设置为延迟执行（deferred execution），安装时读取加密属性值解密后再使用。这样用Orca等工具打开MST只能看到加密串，不会泄露明文。
• 跳过MST存储密码：如果安装程序支持，要么在安装流程中添加交互式密码输入对话框，要么从Windows凭据管理器里读取预存的凭据，根本不用把密码写入MST。
• 标记属性为安全隐藏：在Orca中打开MSI的Property表，将密码属性的Attributes值改为0x1800（0x1000为Secure属性，0x800为Hidden属性），这样MSI不会在日志或常规属性查看场景中暴露密码，虽无法完全阻止工具查看，但能大幅降低泄露风险。

• 从安全存储读取密码：别把密码作为命令行参数传递。改成从Windows凭据管理器（使用Get-StoredCredential命令）、AES加密的本地文件或者加密的环境变量中读取密码，彻底避开命令行暴露的可能。
• 采用进程内方式传递：如果必须传递密码，别用命令行参数，试试命名管道或内存共享的方式，让EXE启动后从这些内部通道读取密码，任务管理器的命令行列就看不到密码了。
• 嵌入加密密码到EXE：转EXE时，把加密后的密码嵌入到EXE的资源段中，运行时再解密使用，既不用硬编码，也不用命令行传参。
• 无参数启动自动获取：让EXE启动后自动从安全位置获取密码，比如读取加密的注册表项，或者对接企业内部的密钥管理服务，全程无需通过命令行传递参数。

内容的提问来源于stack exchange，提问作者Hitesh Umare