3.软件限制策略

　　打开“本地安全策略”管理单元(如果第一次设置软件限制策略，请右键单击“软件限制策略”，选择“创建新的策略”菜单项)，展开软件限制策略→安全级别，在右侧的详细窗格里可以看到“基本用户”，如附图所示，这和“Runas /ShowTrustLevels”命令看到的信任级别是一致的。

　　可以新建一个路径规则，如附图所示，指定安全级别为“基本用户”，这样每次运行IE浏览器，都可以运行在更安全的级别。

　　每次新建的一条“基本用户”的软件限制策略，都会在HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers\131072注册表项下新增一个子项。如果是路径策略，则会新增一个Path子项;如果是散列策略，这会新增一个Hash子项。注册表项里的131072是什么?实际上就是前面增加的那个Levels:0x20000，0x20000正好就是131072。

　　4.查看基本用户的访问令牌

　　用Process Explorer查看此时的IE浏览器属性，发现其访问令牌和Windows Vista的“标准用户”功能所获得访问令牌相似，如附图所示。