防範 Sticky Keys (sethc.exe) 後門提權：ACL 收斂與映像劫持註冊表保護

經典提權手法：替換 C:\Windows\System32\sethc.exe 為 cmd.exe，登入介面連按 5 次 Shift 喚起 SYSTEM 權限 Shell。雙重防護徹底封堵。

防護一：檔案層面 ACL 收斂

目標檔案 (兩處皆需處理)：

• C:\Windows\System32\sethc.exe
• C:\Windows\System32\dllcache\sethc.exe (隱藏系統檔，需資料夾選項顯示)

操作

1. 右鍵檔案 → 「屬性」 → 「安全性」 → 「進階」
2. 停用繼承 → 「將繼承的權限轉換為此物件的明確權限」
3. 移除所有使用者/群組 (包含 Administrators、SYSTEM)
4. 確定套用

極端做法：連 SYSTEM 也移除，導致系統自身無法呼叫 sethc.exe，但有效阻斷替換攻擊。業務若需粘滑鍵功能，請改用 Group Policy 部署無障礙設定。

防護二：映像劫持 (Image File Execution Options) 註冊表封鎖

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\sethc.exe

操作

1. 建立同名金鑰 sethc.exe
2. 金鑰 ACL：移除所有群組、新增 Everyone → 全部拒絕

效果：任何嘗試透過 IFEO 重導向 sethc.exe 執行的行為 (如設定 Debugger 為 cmd.exe) 皆被拒絕。

驗證

• 登入介面連按 5 次 Shift → 無反應 (或報錯)
• 嘗試 copy cmd.exe sethc.exe → 拒絕存取

擴展防護：同類可替換系統程式

建議同樣對上述程式套用 ACL 收斂與 IFEO 封鎖。