防入侵進階：讓 Windows 服務「隱形」與「失效」的三重防護

Windows 內建服務 (如 Terminal Services、Remote Registry) 若被惡意啟用，極易成為入侵跳板。單純「禁用」服務不夠，攻擊者取得帳密後可重新啟用。本文介紹三種進階手法，從註冊表層面徹底阻斷服務被濫用。

方法一：刪除服務註冊表鍵值，使服務永久失效

1. 開啟 services.msc，將目標服務 (如 Messenger) 設為「禁用」。
2. 啟動 regedit，定位 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services，找到對應子鍵 (如 Messenger)。
3. 先右鍵導出備份，再刪除該子鍵 (或重命名)。
4. 重啟後，服務管理器中雙擊該服務將報錯，攻擊者也無法修改屬性啟動。
5. 需恢復時，導入備份的 .reg 檔即可。

方法二：重命名服務「顯示名稱」，增加攻擊者尋找難度

同樣在 Services\Messenger 下，刪除 Description 值，修改 DisplayName 為無關名稱 (如 Gsn)，重啟生效。服務列表將顯示新名稱，攻擊者需逐一點擊查看真實服務名才能識別。

方法三：使用資源工具包工具修改服務「真實名稱」

需 Srinstw.exe、Srany.exe (Windows 2000 Resource Kit)。

1. 用 Srinstw.exe 安裝新服務，服務名設為新名 (如 Gsnsr)，路徑指向 Srany.exe。
2. 禁用原服務，用工具移除原服務。
3. 編輯原服務備份的註冊表檔，將鍵路徑 Services\Messenger 改為 Services\Gsnsr，導入註冊表。
4. 結合方法一、二再次隱藏/刪除，並清除預設共享，大幅提高入侵門檻。

警告：操作前務必完整備份註冊表、服務屬性、可執行檔路徑。僅針對確無用途且高風險的服務操作，避免導致系統功能異常。