如何通过Python判断Win10 UAC弹窗对应的触发进程

核心逻辑：UAC弹窗运行在系统专属的Winlogon安全桌面，普通用户权限进程无法直接访问该桌面的窗口、截图资源，之前的方案失效属于正常现象，可通过以下3种无界面、支持无头运行的方案实现触发源校验：

• 方案1：调用系统安全审计日志
  首先开启本地安全策略：依次进入「本地策略-审计策略-审计特权使用」，勾选成功、失败事件审计。后续每次UAC提权请求触发时，系统安全日志会生成ID为4672的事件记录，记录中包含发起提权请求的进程PID、完整路径、执行用户等核心信息。Python可通过win32evtlog模块直接读取实时安全日志，匹配进程信息即可确认是否为目标更新进程触发的UAC请求。
• 方案2：高权限枚举Winlogon桌面窗口
  将Python脚本注册为系统服务运行，获取System权限后，调用OpenDesktop接口打开Winlogon安全桌面，再枚举该桌面下的窗口即可正常获取UAC弹窗的所属进程ID，后续通过OpenProcess、QueryFullProcessImageName接口查询进程完整路径，匹配目标更新进程信息即可完成校验。
• 方案3：WMI实时监控consent.exe启动事件
  UAC弹窗的宿主进程为系统自带的consent.exe，每次UAC弹窗弹出时该进程都会被拉起，且其父进程就是发起提权请求的进程。Python可通过wmi模块订阅Win32_ProcessStartTrace事件，过滤consent.exe启动事件后直接获取其父进程PID，查询父进程的路径、数字签名信息即可完成校验。

校验优化建议：不要仅匹配进程文件名，可通过win32crypto模块读取进程的数字签名信息，校验签名发布者是否为目标更新程序的官方主体，避免恶意程序改名伪装。

内容的提问来源于stack exchange，提问作者TechnoSwiss