Как мне остановить установку Windows 10 от изменения настроек загрузки BIOS?

Узнал следующее:

1. В Linux это было бы довольно просто, с помощью efibootmgr
2. EasyUEFI позволил бы мне делать то, что я хочу - для поддержки командной строки требуется довольно много дешевая лицензия; но я не чувствую себя хорошо, полагаясь на такой нишевый инструмент, как он, особенно если есть другие варианты.
3. bcdedit на машине с UEFI изменяет настройки UEFI . Я думаю, это сработает.
4. Спецификация UEFI для порядка загрузки не слишком сложна. В действительности API - это просто GetVariable / SetVariable с переменными с именем BootOrder (для получения / установки списка параметров загрузки в том порядке, в котором они будут опробованы) и Boot #### (для получения / установки информации о каждом варианте загрузки).
5. Я понятия не имею, как бы я написал приложение для Windows с UEFI API на Windows (кто угодно?)
6. Windows предоставляет API , который, среди прочего, включает GetVariable / SetVariable UEFI.

Как только я понял спецификацию UEFI для порядка загрузки и Windows API, код (C ++, созданный для 64-разрядной версии, поскольку это все, что мы используем) оказался неплохим. Это должно быть встроено в исполняемый файл, который требует административных привилегий и статически связывает среду выполнения Windows, а затем я запускаю его в MDT после установки ОС перед перезапуском.

Во-первых, вы должны заявить право на вызов API. Воспользуйтесь небольшим помощником:

struct CloseHandleHelper
{
    void operator()(void *p) const
    {
        CloseHandle(p);
    }
};

BOOL SetPrivilege(HANDLE process, LPCWSTR name, BOOL on)
{
    HANDLE token;
    if (!OpenProcessToken(process, TOKEN_ADJUST_PRIVILEGES, &token))
        return FALSE;
    std::unique_ptr<void, CloseHandleHelper> tokenLifetime(token);
    TOKEN_PRIVILEGES tp;
    tp.PrivilegeCount = 1;
    if (!LookupPrivilegeValueW(NULL, name, &tp.Privileges[0].Luid))
        return FALSE;
    tp.Privileges[0].Attributes = on ? SE_PRIVILEGE_ENABLED : 0;
    return AdjustTokenPrivileges(token, FALSE, &tp, sizeof(tp), NULL, NULL);
}

затем вызовите

SetPrivilege(GetCurrentProcess(), SE_SYSTEM_ENVIRONMENT_NAME, TRUE));

Затем получите список параметров загрузки (конкатенация значений uint16_t):

const int BUFFER_SIZE = 4096;
BYTE bootOrderBuffer[BUFFER_SIZE];
DWORD bootOrderLength = 0;
const TCHAR bootOrderName[] = TEXT("BootOrder");
const TCHAR globalGuid[] = TEXT("{8BE4DF61-93CA-11D2-AA0D-00E098032B8C}");
DWORD bootOrderAttributes;
bootOrderLength = GetFirmwareEnvironmentVariableEx(bootOrderName, globalGuid, bootOrderBuffer, BUFFER_SIZE, &bootOrderAttributes);
if (bootOrderLength == 0)
{
    std::cout << "Failed getting BootOrder with error " << GetLastError() << std::endl;
    return 1;
}

Затем вы можете перебирать каждый параметр загрузки, формировать имя переменной Boot #### для него, а затем используйте это, чтобы получить структуру с информацией об этой опции. Вы захотите увидеть, имеет ли первый активный параметр «Описание», равное «Диспетчеру загрузки Windows». Описание представляет собой строку широких символов с завершающим нулем со смещением 6.

for (DWORD i = 0; i < bootOrderLength; i += 2)
{
    std::wstringstream bootOptionNameBuilder;
    bootOptionNameBuilder << "Boot" << std::uppercase << std::setfill(L'0') << std::setw(4) << std::hex << *reinterpret_cast<uint16_t*>(bootOrderBuffer + i);
    std::wstring bootOptionName(bootOptionNameBuilder.str());
    BYTE bootOptionInfoBuffer[BUFFER_SIZE];
    DWORD bootOptionInfoLength = GetFirmwareEnvironmentVariableEx(bootOptionName.c_str(), globalGuid, bootOptionInfoBuffer, BUFFER_SIZE, nullptr);
    if (bootOptionInfoLength == 0)
    {
        std::cout << "Failed getting option info for option at offset " << i << std::endl;
        return 1;
    }
    uint32_t* bootOptionInfoAttributes = reinterpret_cast<uint32_t*>(bootOptionInfoBuffer);
    //First 4 bytes make a uint32_t comprised of flags. 0x1 means the boot option is active (not disabled)
    if (((*bootOptionInfoAttributes) & 0x1) != 0)
    {
        std::wstring description(reinterpret_cast<wchar_t*>(bootOptionInfoBuffer + sizeof(uint32_t) + sizeof(uint16_t)));
        bool isWBM = boost::algorithm::to_upper_copy<std::wstring>(description) == L"WINDOWS BOOT MANAGER";
        // details - keep track of the value of i for the first WBM and non-WBM options you find, and the fact that you found them
    }
}

Теперь, если вы обнаружили активные параметры загрузки WBM и не-WBM, и первый параметр WBM находится в wbmOffset, а первый параметр не-WBM находится в nonWBMOffset с wbmOffset

    uint16_t *wbmBootOrderEntry = reinterpret_cast<uint16_t*>(bootOrderBuffer + wbmOffset);
    uint16_t *nonWBMBootOrderEntry = reinterpret_cast<uint16_t*>(bootOrderBuffer + nonWBMOffset);
    std::swap(*wbmBootOrderEntry, *nonWBMBootOrderEntry);
    if (SetFirmwareEnvironmentVariableEx(bootOrderName, globalGuid, bootOrderBuffer, bootOrderLength, bootOrderAttributes))
    {
        std::cout << "Swapped WBM boot entry at offset " << wbmOffset << " with non-WBM boot entry at offset " << nonWBMOffset << std::endl;
    }
    else
    {
        std::cout << "Failed to swap WBM boot entry with non-WBM boot entry, error " << GetLastError() << std::endl;
        return 1;
    }