为了搞清楚是什么程序或者服务造成这个问题，我打开了我的两个工具：IceSword和ProcessMonitor（这两个经常手工杀毒的肯定至少用过）。
先开IceSword，选中监视进线程创建，运行那个问题安装包。很快我就发现，有一个svchost进程和一个叫consent.exe的进程异常活跃。
(注意其中那个lsm.exe不是特殊程序而是相当于XP/2003的winlogon.exe和部分lsass功能的程序)。
consent.exe是在复制文件一段时间后才真正运行的。如果在它出现到UAC窗口出现之间的一段时间把这个进程结束掉，什么错误都不会发生，而那个临时文件已经消失了。为了继续调查，我设置了几下ProcessExplorer的规则。
证 明那个服务在疯狂读取原文件并复制到%windir%\temp下，consent只是读那个临时文件而已。知道了那个svchost.exe的pid， 也就容易弄清楚那个服务到底是何方神圣了。很快就通过IceSword查找到这个svchost的模块里有mmcss.dll(那个造成放声音减网速的 MMCSS服务)，BITS.dll(Windows Update的那个背景传输服务)等等东西，看上去都是属于那netsvcs组。进一步查看，反复尝试对这个组的各服务进行操作，发现有一个怎么也结束不 掉(无响应)的服务──AppInfo。这是这个服务的说明:
辅助管理权限?和UAC的功能一样!难道是它?因为这个服务结束不掉(不管是用MMC，用net stop还是sc stop都无响应)，只好先将其设置为禁用，再结束掉它的母svchost.exe。
再次运行那个安装包，结果……
果然。现在这个服务无法启动，任何要求UAC提升权限的东西都无法启动了，那个临时文件也根本没有被创建。但是为什么要求吞食硬盘空间的却是这个作为UAC功能之核心的服务呢?
我可以粗略分析出UAC对于一个安装包/自解压EXE文件是如何工作的:
(1)Win32 API Winexec函数运行该程序
(2) 检测安装包的文件名和属性中的信息，发现一些特征如关键词"setup""install"一类或者在应用程序兼容性数据库(我目前发现它存在在% windir%\apppatch下的三个.sdb文件中)发现相关项或者在应用程序的内嵌/外挂manifest中发现特殊要求(如 icesword.exe)
(3)Appinfo服务复制这个文件到%windir%\temp下
(4)consent程序检验这个临时文件的数字签名等信息，负责弹出UAC确认窗口
(5)如果选允许，consent以自身的高权限运行原.exe文件并退出
(6)appinfo服务检测到consent退出，删除临时文件
用伪代码可以这么描述
WinExec(string filename) /*这里的filename指完整路径名*/
{
bool issecure;
issecure=SecCheck(filename));
if(!issecure)
{
UAC(filename);
return 0;
} /*(2)*/
execFile(filename);
}
UAC(string filename)
{
string tempfilename;
string consentline="consent.exe -v origfile= ";
strcat(tempfilename, Getenvironmentstrings("Windir"));
strcat(tempfilename, "\Temp");
strcat(tempfilename, tempNamegenerate(GetNamefromFullpath(filename)));/*生成临时文件的完整路径名*/
Copyfile(filename, tempfilename); /*(3)*/
strcat(consentline, filename);
strcat(consentline, " tempfile= ");
strcat(consentline, tempfilename);
execFile(consentline, suspendwhenrunning); /*(4)(5)*/
deleteFile(tempfilename);/*(6)*/
}
我发现这个问题，就是发生在第二步。第二步失败后并没有跳到第6步。微软要做个权宜之计的修正，只需要把Copyfile(filename, tempfilename); 这里改成if(!Copyfile(filename, tempfilename)){deleteFile(tempfilename);return 0;}就没问题了；不过为什么一定要复制文件到系统目录呢?
今天试图在Vista下运行一个500多M的大安装包，结果系统盘（F区）空间只有300多M。结果，运行了之后硬盘响了半天，愣是没看到那可爱又可恨的UAC提示，反而出来个对话框说“磁盘空间不足”。结果一看，F区没空间了。Windows Explorer自己的“磁盘清理”功能一弄，系统日志一清，各浏览器缓存一清，只清空出大概200兆空间。到处找了半天，找到了F:\Windows\temp——所谓“全局”临时目录下躺着个300多兆的临时文件。winhex打开一对比，结果此文件就是那个安装包的截断版本。
我做了个小实验。把F盘再腾出几百兆空间，再次运行那个安装程序。
硬盘又一阵稀里哗啦的狂响。20秒后，在UAC窗口闪烁在任务栏的时候，怪物也出现在了temp目录中：
切换到UAC窗口，随手点“取消”。这时候这个临时文件也突然消失了。再试了个别的安装程序（日文WPS2007 Beta安装包），结果也差不多，文件还是被复制到了F:\windows\temp下。
那如果系统盘的空间不足会怎样呢？再测试一下。。
结果。硬盘空间一下就被吃光，出现了那个“磁盘空间不足”的窗口。
具有讽刺意义的是，这个被截断的临时文件，默认还是TrustedInstaller组权限下的东西，你想删掉它，还要再过一次UAC。
这可以算是Vista的一个严重BUG了。验证数字签名，有必要放到自己的领地里来吗？当磁盘空间不足的时候，也没有进行任何的防护措施，最后出错后那临时文件也摆在那里了。
C:\Documents and Settings\yksoft1>tracert www.youtube.com
Tracing route to www.youtube.com [208.65.153.251]
over a maximum of 30 hops:
1 1 ms 3 ms 1 ms *.*.*.*
2 1 ms 1 ms 1 ms 10.0.0.5
3 * * * Request timed out.
4 5 1 ms 1 ms 1 ms 222.247.29.109
6 7 3 ms 3 ms 3 ms 61.137.0.133
8 10 ms 10 ms 10 ms 202.97.40.49
9 * * * Request timed out.
10 * * * Request timed out.
11 * * * Request timed out.
12 * * * Request timed out.
13 * * * Request timed out.
14 * * * Request timed out.
15 * ^C
当你看到第8步之后，你会认为什么呢？
202.97.40.49是在主干网上。。
只有一个原因，就是Youtube被第一层盾了。
使用另一个DNS的结果
D:\Users\Administrator>tracert www.youtube.com
通过最多 30 个跃点跟踪
到 www.youtube.com [208.65.153.253] 的路由:
1 2 ms 2 ms 2 ms *.*.*.*
2 1 ms 2 ms 2 ms 10.0.0.5
3 * * * 请求超时。
4 5 1 ms 2 ms 2 ms 222.247.29.69
6 1 ms 1 ms 1 ms 61.187.255.69
7 4 ms 4 ms 4 ms 61.137.0.229
8 11 ms 11 ms 11 ms 202.97.40.253
9 * * * 请求超时。
10 * * * 请求超时。
11 * * * 请求超时。
12 * * * 请求超时。
13 * * * 请求超时。
14 * * * 请求超时。
15 ^C
D:\Users\Administrator>
其他两个地方的结果：
Tracing route to www.youtube.com [208.65.153.251]
over a maximum of 30 hops:
1 * * * Request timed out.
2 41 ms 46 ms 31 ms 218.68.252.97
3 46 ms 46 ms 46 ms 218.68.251.161
4 42 ms 46 ms 46 ms 202.99.66.153
5 46 ms 46 ms 42 ms 219.158.5.90
6 41 ms 46 ms 46 ms 219.158.4.189
7 78 ms 73 ms 73 ms 219.158.4.190
8 219.158.3.222 reports: Destination host unreachable.
Trace complete.
Tracing route to www.youtube.com [208.65.153.253]
over a maximum of 30 hops:
1 <1>
1 * * * Request timed out.
2 <1>
为什么国外网站一出中文版，就如此多灾多难呢？难道是blogger的暂时解除换来的是youtube的Orz呢？明年狗林匹克的时候大量洋人要来，youtube估计他们有天大胆子都不敢继续盾。
Update 10.18 12:53: http://www.google.com/search?hl=en&q=www.youtube.com&btnG=Google+Search
哈哈。不仅是第一层，还是第二层。可惜我还不是最快的~
