禁止電腦執行特定軟體的三種方法：偽裝 ws2_32.dll、軟體限制原則、檔案權限鎖定

企業或家長常需禁止電腦執行特定程式（如遊戲、聊天軟體、P2P 下載工具）。本文提供三種不同層級的禁止執行方案：偽裝系統 DLL 檔（簡單粗暴、針對單一程式）、Windows 軟體限制原則 (Software Restriction Policies, SRP)（企業級、支援路徑/雜湊/憑證/區域規則）、NTFS 檔案權限鎖定（檔案系統層級、最底層）。適用 Windows XP/2000/2003/Vista/7/10/11。

方法一：偽裝 ws2_32.dll 導致程式載入失效（最簡單、針對單一 .exe）

原理： 絕大多數 Windows 程式依賴 ws2_32.dll (Winsock 2.0) 進行網路通訊。在程式目錄放置一個空的同名檔案，Windows 搜尋 DLL 時會優先載入當前目錄檔案，導致載入失敗彈出「損壞的映像」錯誤，程式無法啟動。

操作步驟

1. 找到目標程式安裝目錄（如 C:\Program Files\Tencent\QQ\Bin）。
2. 在該目錄建立空文字檔：右鍵空白處 → 新增 → 文字文件 → 命名為 ws2_32.dll（確認副檔名為 .dll，非 .txt）。
3. 嘗試執行程式，將彈出：
   QQ.exe - 損壞的映像
C:\Program Files\Tencent\QQ\Bin\ws2_32.dll 不是有效的 Windows 映像。
4. 若需恢復，刪除該 ws2_32.dll 即可。

優點： 無需管理員權限（僅需目錄寫入權限）、瞬間生效、不修改系統設定。
缺點： 僅針對單一目錄、使用者可刪除檔案繞過、不適用無網路依賴程式、可能被防毒軟體誤報。

方法二：Windows 軟體限制原則 (SRP) — 企業級標準方案

適用： Windows XP Professional / Vista / 7 / 8 / 10 / 11 (Pro/Enterprise/Education 版)，Home 版不支援組策略。

核心概念： 設定「預設安全性等級」為 「不允許」 (所有程式預設禁止)，再建立「額外規則」例外允許特定程式執行。規則類型：路徑規則、雜湊規則、憑證規則、網路區域規則。

設定流程 (單機、影響所有使用者)

1. 執行 gpedit.msc 開啟「本機群組原則編輯器」。
2. 瀏覽：電腦設定 → Windows 設定 → 安全性設定 → 軟體限制原則。
3. 右鍵「軟體限制原則」 → 建立新原則 (若已存在則跳過)。
4. 點選 安全性等級 → 雙擊 「不允許」 → 「設為預設」 → 是 (確認警告)。
   關鍵： 此步驟使「除非明確允許，否則所有程式禁止執行」。
5. 點選 其他規則 → 右鍵空白處 → 新增雜湊規則 (最安全，防止檔案被替換)。
6. 點選「瀏覽」選取允許執行的程式 (如 winword.exe, excel.exe, powerpnt.exe, outlook.exe) → 安全性等級選 「不受限制」 → 確定。
7. 重複步驟 6 為每個允許的程式建立規則。
8. 關閉組策略編輯器，原則立即生效 (無需重開機)。

規則類型選擇指南

進階設定

• 強制執行： 可設定 SRP 是否套用至系統管理員帳號 (建議不套用，防鎖死自己)。
• 指定檔案類型： 定義哪些副檔名視為可執行檔 (預設 .exe, .com, .bat, .cmd, .vbs, .js 等)，可新增 .ps1, .jar 等。
• 信任的發行者： 設定使用者是否可自行決定信任憑證。

緊急解鎖

若誤設導致系統工具無法執行 (如 gpedit.msc、mmc.exe)：
→ 安全模式開機 → 以 Administrator 登入 (安全模式不受 SRP 限制) → 開啟 gpedit.msc 刪除/修改錯誤規則。

方法三：NTFS 檔案權限鎖定 (檔案系統層級、最底層)

1. 以管理員身分開啟檔案總管，找到目標程式 .exe。
2. 右鍵 → 內容 → 安全性 索引標籤 → 進階。
3. 停用繼承 → 將「使用者」/「Users」群組的 「讀取並執行」/「執行」權限設為「拒絕」。
4. 確保「Administrators」與「SYSTEM」保有「完全控制」。

優點： 繞過不了、不依賴組策略服務、Home 版也可用。
缺點： 需管理員權限、每個程式需單獨設定、使用者可複製檔案到其他位置執行 (需配合 SRP 路徑規則)。

綜合建議

掌握這三種不同層級的禁止執行技術，可因應從家庭管控到企業資安的各種需求。