Windows 系统有哪些鲜为人知但非常实用的功能？

有点越写越多了。。。
可能已经超过“鲜为人知但非常实用”的范围了

假定操作系统是Windows的Enterprise/Education版（具有最多功能）或Windows Server的Datacenter版本

下列内容排名不分先后，包含广义上的Windows功能：Windows内置功能/可选功能、微软旗下的工具、微软的开源项目、Windows的内部机制和功能、……

注：

• Windows上企业的管理工具往往可以分成三套（有重叠的）体系：本地/内网体系（domain joined）、混合/共管体系（Entra Hybrid joined）、微软云体系（Entra joined），并且微软正在逐渐转向最后一种，这三种对微软云服务的依赖逐渐加深，典型服务包括Autopilot、Intune、Entra ID、Windows Hello for Business等等，后文中只介绍第一种体系
• 微软由于经常性对产品和功能进行改名，导致下面的列表中有很多不同名称指向同一功能的情况，并且可能没有提到旧名称
• 微软经常砍掉或废弃一些功能和项目，这里就不列出了，例如Windows的User-Mode Scheduling
• 部分功能可能需要用第三方开源软件才方便
• 包括了一小部分的实验性或预览的功能，行为可能会发生变化，可能缺少文档，后续也可能被移除

HyperV：Type-1 Hypervisor，开启HyperV/VBS/…后Windows本身会被虚拟化，成为一个特殊地位的HyperV虚拟机（也即root partition），同时可以托管虚拟机，且支持嵌套虚拟化，是相当多Windows功能的基石，并且本身也有很多高级特性（比如有HyperV RCT）

WSL：也就是WSL2，目前WSL1已经基本上被抛弃了，WSL2是HyperV虚拟机中的Linux，兼容性很好，与Windows有较好的集成（比如有WSLg、镜像网络模式、……）（局限性：1. USB很难处理，要用usbipd等项目通过USB/IP在Linux内访问USB设备；2. HyperV强大的功能，比如暂停/恢复、RCT、设备直通/DDA、……都用不了）

卷影复制 VSS：为指定的卷提供一致的视图，用于备份使用中的数据，这是Windows上大部分备份软件（restic、Veeam、Synology ABB、……）所需要的底层机制

winget：微软的CLI工具，是一个类似Linux包管理的软件安装和管理工具，与scoop和choco等第三方工具接近

MSIX：应用打包和分发机制，适用于传统Win32应用和被抛弃的UWP应用，甚至可以把一个已经安装好的Win32程序打包，支持增量更新，强制签名（意味着必须要微软签名服务、来自CA的组织签名或者本地信任根证书），可选带AppContainer沙盒，此外，还有PSF用于让打包现有项目更容易

AppContainer：沙盒机制，可以用来隔离应用程序，使得它只能访问指定的资源，支持capability访问控制，在新版本中还有一个实验性API CreateProcessInSandbox，大大简化了这个过程（局限性：1. 带GUI的程序不得不共享win32k.sys这个安全隐患；2. 不支持命名空间和挂载，它只是一个访问控制机制，而不是后文中提到的Windows容器）

Win32 App Isolation：基于AppContainer的Win32应用隔离机制，解决了部分缺陷（局限性：目前长期处于预览阶段，并且很长时间没有更新，有可能被抛弃）

WDAC / App Control for Business：控制哪些代码可以被执行，包括应用、驱动、脚本、PowerShell等等，对安全性非常关键，适合企业内部管理（比如，可以开启Secure Boot，然后配置签名的WDAC策略，在Secure Boot未关闭的情况下强制签名不能禁用，只能更新为同样签名的策略，有防篡改效果；还可以在配置自定义UEFI PK，再通过签名的CustomKernelSigners策略加载未经微软签名的内核驱动，不需要TestSigning或者EfiGuard这样的bootkit）

Smart App Control：类似WDAC，但面向普通消费者（局限性：首次运行程序前有明显延迟，使用户体验变差）

Windows事件日志、ETW、WER、WHEA：重要的信息来源，用于诊断程序、分析性能和排查故障，有eventvwr、wevtutil等工具，比如获取ECC内存的错误报告、检查哪个程序占用了可移动磁盘导致无法弹出、找出最近崩溃的程序以及直接原因、浏览某类被审计的行为的成功/失败记录、……

WMI：重要的信息来源和管理接口，有wmic（命令行工具）、wbemtest（GUI工具）以及PowerShell接口，支持远程操作（基于WinRM/WS-Man或DCOM），比如用于查询是否启用了内存ECC功能、查询最近的启动时间、启动和终止指定进程或指定服务、在指定进程被运行时执行回调、批量获取远程机器的信息和状态、……

WinRM、WS-Man：远程管理接口，是PowerShell Remoting、WMI等远程控制的基础，与RDP、SSH、Telnet均无关

域 Active Directory (AD)：为企业内网提供集中的管理和维护服务

组策略：可以本地修改或者批量下发的配置体系，方便企业进行集中管理

Configuration Service Provider (CSP)：为企业的MDM提供接口

Configuration Manager / SCCM：批量进行安装和更新或者下发配置/推送补丁

WSUS：集中管理所有机器的Windows更新情况，比如让所有机器推迟一周获取功能更新

Windows部署相关工具，包括但不限于DISM、WinADK、WinPE、MDT、WDS等等，典型应用场景有用官方的Windows评估与部署包（WinADK）制作自己的WinPE环境（当然也有方便的第三方工具）、用Answer File自定义Windows安装（安装过程中无需用户参与，并且能预先修改好系统配置，比如第三方工具UnattendedWinstall）等等

Windows Feature Store (i.e. Velocity)：微软内部用于控制新功能分批推送的机制，参考Controlled Feature Rollout、Flighting、Feature Staging API，用户可以通过ViVe等第三方工具开关具体功能

Hotpatch：基于热更新的Windows更新，可以避免传统Windows更新后的重启，类似Linux上的kpatch，但要求基于Azure或额外付费订阅

Nano Server：Windows Server 2016引入的一个轻量级安装选项，提供一个非常轻的Windows Server，和Windows Server Core一样无GUI和桌面（要通过PowerShell管理），后续不再支持，转而被用于容器和虚拟化

Windows Sandbox / WSB：一次性的Windows环境，是轻量级优化过的HyperV中的Windows虚拟机，不能持久化数据，关闭后会清空所有数据

Windows容器：原生的容器，也称WCOW，支持Docker和containerd，也支持hcsshim，可以基于进程隔离或HyperV虚拟化，并且不会遇到非英语Windows的代码页和编码问题（局限性：1. 不支持GUI和RDP；2. 除了Nano Server以外的Windows容器镜像都比较大；3. 和Linux相比，Windows明显更重）

WHP / WHPX：基于HyperV的虚拟化平台，QEMU等各种VMM可以用它来调用更底层的硬件虚拟化功能并和HyperV共存，类似Linux的KVM

虚拟磁盘 VHDX：单文件形式的一个虚拟的磁盘，有不少用途，例如差分VHDX

挂载：将硬盘挂载到一个NTFS路径上并访问（而不是使用盘符访问），参考diskpart、mountvol

UNC路径和NT路径：通过路径直接访问指定的卷（无需挂载）、WSL2中的文件系统、带特殊名称（比如nul、con和符号）的文件、SMB/WebDAV共享文件夹、绕过MAX_PATH限制 ……

robocopy：文件的复制和同步工具（复制大量小文件时性能远远强于有缺陷/bug的Windows资源管理器）

UWF (Unified Write Filter)：类似还原软件，过滤所有写入并重定向

Custom Shell：自定义Shell，来代替Windows资源管理器

挂起/恢复进程：暂时停止进程的运行，后续可恢复运行，可以在资源监视器里直接操作

Sysinternals等系列工具：微软官方的工具，比如用Autoruns检查所有启动项、用ProcMon检查应用程序的活动、用Handle搜索句柄来检查哪个程序占用了文件/文件夹导致无法删除（也能通过资源监视器实现）、……

Sysmon：原本是Sysinternals的一部分，但最新版本里逐渐内置为Windows组件，用于监控和审计整个系统，类似EDR软件

开发工具，包括Windows SDK、Windows App SDK、WinRT、Debugging Tools for Windows（内含经典版WinDbg等等）、Windows Performance Toolkit（内含WPR/WPA/Xperf等等）

新版WinDbg：Windows上的调试器（现代版），功能仍然强大，它还有一个附加组件TTD用于Time Travel Debugging（类似Linux上的rr）

Windows PowerShell、PowerShell 7：Windows上的原生Shell，与COM/WMI/.NET的互操作性很好，还有各种Windows系统功能的集成，也支持远程操作，并且可以用于脚本和自动化，目前建议用PowerShell 7（否则可能遇到一些奇怪问题）

安全桌面：用于UAC弹窗、第三方密码管理器（如KeePass）界面等场景（局限性：有绕过的可能性）

Windows恶意软件删除工具 MSRT：用于扫描和删除恶意软件

BitLocker：软件实现的全硬盘加密（除了部分旧版本可能会用并不安全的SED功能），最常见的是TPM-only模式的BitLocker，但对于有安全要求的用户应当采用TPM+PIN模式（当然要注意及时备份密钥）（在部分设备上被OEM默认启用，称为设备监控）

VBS/VSM：基于虚拟化的安全性，是现代Windows安全性的基石之一

VBS Key Protection：基于VBS实现的密钥存储功能，可以用于不可导出且自动持久化的密钥，功能上类似TPM，你可以请求密钥进行相关操作，而恶意软件（甚至包括BYOVD攻击后的或提权到SYSTEM的恶意软件）无法从内存或硬盘的任何地方得到这个密钥（注意：它本身不对抗DMA攻击，那应该是Kernel DMA Protection和IOMMU的责任，内存也没有实际加密，只是在hypervisor层阻止访问，类似Android的pKVM）

VBS Enclave：一种安全enclave（可以类比一下Intel SGX），基于VBS（而非硬件功能）实现，可以保护enclave内程序不受外部影响且enclave内存不被其它软件读写，即使是Windows内核自身、Windows内核驱动或提权到SYSTEM的恶意软件也都无法影响到enclave（局限性：发布VBS Enclave需要被微软的Azure Trusted Signing签名，而这个签名很难搞到，这点上有点像PPL，并且enclave内程序理应不信任外部输入，很难开发）

HVCI / Memory Integrity：在VBS/VSM基础上进一步保护系统，对于内核和驱动的安全很重要

Microsoft驱动程序阻止列表和打印保护模式：防止某些本身无恶意但存在漏洞的驱动被加载

DTRM / System Guard Secure Launch：在不可信的启动过程以后重新使系统回到保护状态，也算是基于硬件的安全性

WPBT：微软允许厂商在固件侧放一个Win32程序（.exe）并让Windows在启动时自动执行它，即使重装系统也会保留（严格来讲，WPBT不是Windows操作系统的东西，而是一个ACPI表）

DFCI：让企业将管理策略放到固件层/UEFI

DTrace for Windows：一个由微软将原本来自Solaris的DTrace工具移植到Windows（基于OpenDTrace）的开源项目，可以动态追踪内核和用户进程，目前已经内置到Windows了（局限性：相对BSD来说功能覆盖较少）

eBPF for Windows：微软将Linux下eBPF移植到Windows（基于eBPF相关开源项目）的开源项目（局限性：目前处于比较初级的阶段、远没有Linux eBPF那样通用和强大）

RDP：远程桌面，非视频流，支持多个平台的客户端，它不仅仅是一个方便的远程管理功能，同时还是一个显示协议，运用于虚拟机等场景，比如用在Windows沙盒中

RemoteApps：基于RDP的远程应用，可以用第三方工具RemoteAppsTool和RAWeb来创建

Shell扩展：对Windows资源管理器进行一定程度的扩展和自定义，参考Link Shell Extension（一个方便管理Windows硬链接/符号链接的Shell扩展）

ReFS：一个新的CoW文件系统，有支持快照、block cloning、对虚拟化友好、与Storage Spaces集成等特点，但ReFS不是用来替代NTFS的（局限性：建议不要把ReFS用在系统盘上；ReFS上各类第三方文件系统过滤驱动的兼容性可能有问题；ReFS自身可能还不够成熟）

DevDrive：基于ReFS的开发人员虚拟硬盘，支持一些增强体验的功能，比如Windows Defender异步扫描（局限性：目前还不成熟）

Storage Spaces：存储的池化以及软件RAID（局限性：有可能不够稳定可靠）

SMB 3：网络上的文件共享，支持RDMA（也就是SMB Direct）、SMB over QUIC等高级功能

App-V：一种兼容性沙盒，它和AppContainer不一样，不是为了安全性（局限性：目前维护基本停止，新功能不再支持）

Hyperlight：微软开源的microVM，和Firecracker不太一样，支持Windows

MXC：微软开源的沙盒管理系统，支持多种沙盒方案

hcsshim：微软开源的容器管理系统

WSLC：另一种运行Linux容器（LCOW）的方案，在此之前，Windows上用Docker运行Linux容器要么走WSL后端（也就是在一个WSL发行版里运行相关容器），要么走HyperV后端（也就是一个Linux虚拟机），现在有了第三种，直接基于WSL运行Linux容器，也就是WSLC

Host Compute System (HCS)：关于Windows容器（WCOW）、Linux容器（LCOW）或HyperV的一套系统，用法可以参考微软hcsshim和第三方开源软件NanaBox（一个开箱即用的虚拟机管理界面），它还有配套的网络服务，即HNS

Projected File Systems (ProjFS)：提供虚拟文件视图，参考VFS for Git或Git for Windows内置的Scalar等，它们为超大型Git仓库提供更好的体验（其实用第三方类FUSE方案也能实现，如WinFsp和Dokany），核心是prjflt.sys驱动

Cloud Files API (CFAPI)：用于网盘同步的虚拟文件视图，和资源管理器集成，参考OneDrive等网盘，核心是cldflt.sys驱动

UnionFS、WCIFS (Windows Container Isolation File System)、BFS (Brokered File System)：基本不公开的新功能，可能是Windows容器所需的文件系统，大概率底层也是基于minifilter和reparse point的，核心是unionfs.sys、wcifs.sys、bfs.sys驱动

Bind Link：对应Linux bind mount，核心是bindflt.sys驱动，目前已经提供了部分接口（通过bindlink.dll），但仍有很多功能未公开（例如Job Silo范围内的bind link）

Silo、Job Silo、Server Silo：对应Linux namespace，基本不公开

杂项：

• 全局UTF-8编码（注意有些中文软件可能遇到问题）
• 解除MAX_PATH限制
• API SetWindowDisplay Affinity防截图
• 配置指定进程崩溃后自动转储其内存
• 可以绕过Windows 11 OOBE中的微软账号登录和TPM 2.0和Secure Boot要求