命令提示字元安全防護三層次：忽悠 net user、禁用 cmd.exe、限制僅管理員可用

命令提示字元（cmd.exe）是 Windows 核心控制介面，駭客取得 Shell 即等於取得系統控制權。本文提供三層次防護策略：修改登錄檔忽悠 net user、軟體限制原則禁用 cmd.exe、進階設定僅允許本機管理員執行，附完整操作路徑與截圖。

威脅背景

• 駭客透過溢位攻擊取得 Shell → 執行 net user hacker /add 建立帳號 → net localgroup administrators hacker /add 提權管理員，兩指令即完成入侵。
• 保護 cmd.exe 等於保護系統大門。

層次一：忽悠駭客 — 禁用 net user 顯示

1. regedit → HKEY_LOCAL_MACHINE\SAM\SAM → 右鍵「權限」→ 勾選「完全控制」→ 確定 → F5 重新整理。
2. 展開至 HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names → 右鍵新增機碼 → 名稱輸入一個空白鍵 → 右側預設值也設為空白。

駭客輸入 net user 將見「清單是空的」，以此延緩攻擊（僅能忽悠菜鳥駭客）。

層次二：徹底禁用 cmd.exe（軟體限制原則）

1. Win+R → secpol.msc → 「軟體限制原則」→ 「其他規則」→ 右鍵空白處 → 「新雜湊規則」。
2. 「檔案雜湊」瀏覽選取 C:\Windows\System32\cmd.exe → 「安全性等級」選「不允許」→ 確定。

所有使用者（含管理員）無法執行 cmd，Win+R 輸入 cmd 提示「軟體限制原則阻擋」。

層次三：僅允許本機管理員使用（進階平衡）

1. 同「軟體限制原則」視窗 → 雙擊「強制執行」→ 「將軟體限制原則套用至下列使用者」→ 選「本地管理員以外的所有使用者」→ 確定。

結果：本機管理員可用 cmd，一般使用者/駭客取得的低權限 Shell 無法執行 cmd，完美平衡管理需求與安全性。

策略選擇建議

⚠ 操作前必讀

• 修改 SAM 機碼權限需小心，錯誤可能導致帳號管理失效。
• 禁用 cmd 後，批次檔、部署腳本、部分管理工具將無法運作，請評估影響。
• 層次三設定後，新增本機管理員帳號自動獲得 cmd 權限。

三層次防護，由忽悠到徹底禁用再到精準授權，根據環境選擇最適策略，守住系統核心大門。