如何通过PowerShell或Windows工具识别Outlook触发的凭据提示？

方法一：通过Windows UAC事件日志捕获 #

Windows的UAC操作日志会记录所有触发权限提示的请求，其中包含触发进程的详细信息：

1. 打开事件查看器，导航到应用程序和服务日志 > Microsoft > Windows > UAC > Operational
2. 筛选事件ID为10000的条目，这类事件记录了UAC提示的触发源，描述字段中会包含请求权限的进程路径（比如C:\Program Files\Microsoft Office\root\Office16\OUTLOOK.EXE）

用PowerShell批量查询这类事件的命令：

# 查询最近24小时内由Outlook触发的UAC提示事件
Get-WinEvent -LogName 'Microsoft-Windows-UAC/Operational' -FilterHashtable @{Id=10000; StartTime=(Get-Date).AddHours(-24)} | 
    Where-Object { $_.Message -match 'OUTLOOK.EXE' } |
    Select-Object TimeCreated, @{Name='触发进程'; Expression={$_.Message -split "`n" | Where-Object { $_ -match '进程路径' } }}

方法二：PowerShell实时监控凭据提示窗口 #

通过监控系统窗口，结合进程父链判断是否由Outlook触发：

# 导入Win32 API用于窗口和进程查询
Add-Type @"
using System;
using System.Runtime.InteropServices;
public class Win32 {
    [DllImport("user32.dll")]
    public static extern IntPtr GetForegroundWindow();
    [DllImport("user32.dll")]
    public static extern int GetWindowText(IntPtr hWnd, StringBuilder text, int count);
    [DllImport("user32.dll")]
    public static extern uint GetWindowThreadProcessId(IntPtr hWnd, out uint lpdwProcessId);
}
"@

# 实时循环检测
while($true){
    $hwnd = [Win32]::GetForegroundWindow()
    $windowTitle = New-Object System.Text.StringBuilder(1024)
    [Win32]::GetWindowText($hwnd, $windowTitle, 1024)
    
    # 匹配凭据提示窗口标题（中文系统为"Windows 安全"，其他语言需对应调整）
    if($windowTitle.ToString() -eq "Windows 安全"){
        [Win32]::GetWindowThreadProcessId($hwnd, [ref]$procId)
        $consentProc = Get-Process -Id $procId -ErrorAction SilentlyContinue
        
        # 凭据提示的直接进程为consent.exe，需追溯其父进程
        if($consentProc){
            $parentProc = Get-CimInstance Win32_Process -Filter "ProcessId = $($consentProc.Parent.Id)" -ErrorAction SilentlyContinue
            if($parentProc -and $parentProc.Name -eq "OUTLOOK.EXE"){
                Write-Host "[$(Get-Date -Format 'yyyy-MM-dd HH:mm:ss')] 检测到Outlook触发的权限凭据提示"
                # 可在此添加自定义动作，比如写入日志、发送通知等
            }
        }
    }
    Start-Sleep -Seconds 1
}

运行该脚本后，会实时检测前台的凭据提示窗口，一旦确认由Outlook触发，就会输出提示信息。

方法三：任务计划程序触发自动识别 #

创建任务计划实现自动化检测：

1. 打开任务计划程序，创建新任务
2. 触发器选择「新建」，选择「事件」，日志选Microsoft-Windows-UAC/Operational，事件ID填10000
3. 操作选择「新建」，操作选「启动程序」，程序/脚本填powershell.exe，参数填：

   -Command "Get-WinEvent -LogName 'Microsoft-Windows-UAC/Operational' -MaxEvents 1 | Where-Object { $_.Message -match 'OUTLOOK.EXE' } | Out-File 'C:\Logs\Outlook_UAC_Logs.txt' -Append"
   

4. 保存任务后，每次Outlook触发UAC提示时，都会自动记录到指定日志文件中

内容的提问来源于stack exchange，提问作者Azure_CloudServices