守住 CMD 防線：利用 AutoRun 登錄鍵值攔截惡意命令列存取

駭客入侵多透過 cmd.exe 取得 Shell、植入後門。傳統權限設定易被上傳自帶 cmd.exe 繞過。創新防禦：利用 AutoRun 登錄鍵值在 cmd.exe 啟動前先執行自訂腳本，掌握控制權。

核心原理

cmd /? 文件說明：若未指定 /D 參數，cmd.exe 啟動時會檢查並執行兩個登錄鍵值：

• HKEY_LOCAL_MACHINE\Software\Microsoft\Command Processor\AutoRun
• HKEY_CURRENT_USER\Software\Microsoft\Command Processor\AutoRun

在這裡指定安全腳本（如記錄啟動時間、使用者、指令、拒絕特定指令），即可在惡意 Shell 生效前攔截/稽核。

部署建議

1. 撰寫批次檔/腳本記錄 %DATE% %TIME% %USERNAME% %CMDLINE% 至安全日誌伺服器。
2. 設定登錄 AutoRun 指向該腳本。
3. 正常管理操作使用 cmd.exe /D 略過 AutoRun。

優勢：不修改 cmd.exe 權限、不影響正常管理、可攔截上傳偽造 cmd.exe、提供完整稽核軌跡。屬「主動防禦」範疇，配合 HIPS/EDR 效果最佳。