**1. 干什么** UAC（用户账户控制）经双令牌机制在用户确认后以完整令牌另起提升进程。令牌窃取是把已有高权限令牌复制到当前线程模拟，二者均不向普通用户凭空发放 SYSTEM。 **2. 谁在调** * 用户态主体：explorer、consent.exe、发起模拟的线程。 * 系统层封装：CreateProcessWithTokenW、OpenProcessToken、DuplicateTokenEx、ImpersonateLoggedOnUser。 * 内核态主体：令牌复制 NtDuplicateToken、线程信息设置 NtSetInformationThread、新进程创建。 **3. 做什么业务** UAC 下管理员登录后 explorer 挂载过滤令牌，其子进程默认继承。程序 manifest 声明 requireAdministrator 或右键选择管理员运行时，consent.exe 在 Secure Desktop 弹窗，确认后系统以完整令牌创建新进程，旧进程仍持过滤令牌，不存在旧令牌被原地升级。令牌窃取路径为 OpenProcess 取得目标进