Win7 禁止遠端存取登錄表路徑 防止駭客透過遠端登錄操作竊改系統設定

Windows 7 預設允許遠端存取登錄表特定路徑（透過 regedit 「連線網路登錄表」或程式呼叫 RegConnectRegistry），這為遠端管理提供便利，但也讓駭客在取得一般使用者憑證後，能遠端修改關鍵登錄值（如啟動項、服務、安全性原則），植入持久化後門、關閉防火牆、降低 UAC。本文教你透過「本機安全性原則」清空「可遠端存取的登錄表路徑」，切斷此攻擊面。

風險說明

• 遠端登錄存取使用 RPC over SMB (連接埠 445/135)，僅需有效帳號密碼（含 Guest 啟用時的匿名連線）。
• 預設開放路徑包含 System\CurrentControlSet\Control\Print\Printers、System\CurrentControlSet\Services 等，涵蓋服務、驅動、列印、網路設定。
• 攻擊者可遠端修改 HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 植入啟動項，或停用 HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess (防火牆)。

操作步驟

1. 按 Win 搜尋 「本機安全性原則」 (secpol.msc) → 開啟（需專業版/企業版/旗艦版）。
2. 左側展開：安全性設定 → 本機原則 → 安全性選項。

3. 右側清單向下捲動，找到：「網路存取：可遠端存取的登錄表路徑」 (Network access: Remotely accessible registry paths)。

4. 雙擊開啟 → 將文字方塊內容全部清空 → 確定。

5. 同頁籤下方另一項：「網路存取：可遠端存取的登錄表路徑和子路徑」 (Network access: Remotely accessible registry paths and sub-paths) 同樣清空。
6. 重新開機生效（或執行 gpupdate /force）。

驗證封鎖效果

1. 另一台電腦開啟 regedit → 「檔案」→「連線網路登錄表」。
2. 輸入目標電腦名稱/IP → 嘗試展開 HKEY_LOCAL_MACHINE。
3. 應出現「存取被拒」或無法展開子機碼，僅能看到根節點。

登錄表直接修改法（家用版/腳本部署）

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurePipeServers\winreg]
"AllowedPaths"=hex(7):00
"AllowedPaths\Machine"=hex(7):00
"AllowedPaths\Users"=hex(7):00

儲存為 DisableRemoteReg.reg 匯入，或在批次檔中執行：

reg delete "HKLM\SYSTEM\CurrentControlSet\Control\SecurePipeServers\winreg\AllowedPaths" /f
reg delete "HKLM\SYSTEM\CurrentControlSet\Control\SecurePipeServers\winreg\AllowedPaths\Machine" /f
reg delete "HKLM\SYSTEM\CurrentControlSet\Control\SecurePipeServers\winreg\AllowedPaths\Users" /f

影響與例外處理

建議搭配設定

• 停用 SMBv1、強制 SMB 簽署、防火牆封鎖 445/135/139 連接埠 僅開放信任管理網段。
• 啟用 Windows 防火牆「遠端管理」規則 僅允許特定 IP。
• 定期稽核：reg query HKLM\SYSTEM\CurrentControlSet\Control\SecurePipeServers\winreg 確認值未被竄改。