四重封鎖體系精準管控程式執行：註冊表/組策略/帳戶權限/VBS 腳本/專用工具，從系統級到內核級全方位防繞過

弟弟誤執行 diskpart.exe 導致分區表損壞數據丟失，痛定思痛構建 **四層遞進程式執行封鎖體系**，從註冊表到組策略、NTFS 權限、內核級腳本、專用防強殺工具，**徹底杜絕非授權程式運行**。

第一層：註冊表 DisallowRun — 當前用戶級黑名單

1. regedit 定位 HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer。
2. 新建 DWORD: DisallowRun = 1 (Hex)。
3. 同層新建 Key: DisallowRun，其下新建字串值 (名任意) 值為程式檔名 (如 Thunder.exe)。
4. 重啟生效。防篡改： DisallowRun 子鍵權限設「完全控制」僅限當前帳戶，其他帳戶移除所有權限。

第二層：組策略「不要執行指定的 Windows 應用程式」+ 軟體限制策略路徑規則

• gpedit.msc → 用戶配置 → 管理範本 → 系統 → 不要執行指定的 Windows 應用程式 → 啟用 → 「顯示」添加黑名單 (如 Thunder.exe)。
• 缺陷： CMD 進入目錄手輸檔名可繞過。
• 進階：軟體限制策略 → 電腦配置 → Windows 設定 → 安全性設定 → 軟體限制策略 → 新增路徑規則 → 瀏覽選擇目標程式完整路徑 → **安全等級設「不允許」**，**內核級攔截，CMD 繞過無效**。
• 建議將 gpedit.msc 改名防被開啟修改。

第三層：NTFS 權限 + runas 降權執行 — 檔案系統級硬性管控

1. 建立非管理員帳戶 (如 lysofter)。
2. 目標程式必須在 NTFS 分區。右鍵屬性 → 「安全性」→ 「進階」→ **取消繼承** → 刪除所有繼承權限。
3. 「新增」→ 加入 lysofter → 給予「完全控制」。
4. 結果：管理員登入也無法直接雙擊運行 (無權限)。
5. 授權運行：CMD → runas /user:lysofter "d:\tools\racer.exe" → 輸入密碼 → 以 lysofter 身份運行。

第四層：VBS 腳本輪詢殺進程 + NotRun 專用防強殺工具

• 自製 VBS： 記事本寫 WMI 輪詢 Win32_Process，匹配程式名 (如 QQ.exe) → Terminate() → Sleep 200ms 循環。存 Deny.vbs 放 C:\Windows，組策略「啟動腳本」添加開機自動運行。
  多程式用 OR name='xxx.exe' 串聯。解除：任務管理器結束 wscript.exe。
• NotRun 專用工具： 托盤介面添加黑名單 → 設訪問密碼 → **防強殺機制極強**：任務管理器強殺 NotRun.exe 會自動重生，**極難被終止**。

分層選型建議

**單一防線必有漏洞，分層疊加才是王道。** 家庭建議「組策略軟體限制 + NotRun」雙重保障；企業/高安全場景全四層疊加，構建程式執行鐵幕。