Win7 旗艦版用 USB 碼表鎖定電腦：批次檔偵測 USB 存在性實現硬體加密登入

Windows 7 可透過群組原則登入腳本搭配批次檔，偵測特定 USB 隨身碟是否存在，若不存在則強制關機，實現低成本硬體金鑰保護機制。本文說明建立 USB 金鑰檔案、撰寫批次檔、設定群組原則登入腳本的完整流程。

準備 USB 金鑰檔案與批次腳本

1. 插入 USB 隨身碟，根目錄右鍵 →「新增」→「文字文件」→ 命名 suo.txt（作為金鑰存在性標記）。
2. 用記事本開啟 suo.txt，輸入以下程式碼並另存為 pass.bat（儲存類型選「所有檔案」）：

@echo off
if not exist H:\suo.txt (
    shutdown -t 3 -s -c "對不起!該系統已經被鎖，系統將立即關機!"
)

關鍵說明：H: 為 USB 隨身碟代號（插入時請在「電腦」確認實際代號），shutdown.exe 為系統關機程式，-t 3 3 秒倒數，-s 關機，-c 關機提示訊息。

設定群組原則登入腳本自動執行

1. Win+R 輸入 gpedit.msc 開啟群組原則編輯器。

2. 依序展開：使用者設定 → Windows 設定 → 指令碼 (登入/登出) → 右側雙擊 「登入」。
3. 「新增」→「瀏覽」→ 選擇剛建立的 pass.bat →「確定」→「確定」關閉所有視窗。

運作邏輯與安全性分析

• 登入時：系統執行 pass.bat，檢查 H:\suo.txt 是否存在。存在 → 腳本結束，正常進入桌面。不存在 → 執行 shutdown 強制關機。
• 安全性限制：此為軟體層面邏輯，非硬體加密（如 BitLocker、TPM、智慧卡）。繞過方式：安全模式登入（不執行登入腳本）、Linux Live USB 掛載磁碟刪除腳本/註冊表、註冊表離線編輯移除群組原則設定。
• 適用場景：家庭/個人防止好奇人士隨意開機、臨時離位保護。企業/高機密環境請使用 BitLocker + TPM + PIN、智慧卡登入、Windows Hello 生物辨識等硬體級保護。

改進建議：將批次檔改為 PowerShell 腳本（.ps1），增加：USB 序號/VID/PID 驗證（防止任意 USB 插入繞過）、寫入事件日誌記錄嘗試、發送郵件/網路通知警報。群組原則支援 PowerShell 腳本登入執行（需設定執行原則 RemoteSigned）。