防木馬竊取硬碟資料：三種隱藏磁碟機代號的實作方法

遠端控制木馬（如 GrayPigeon、PcShare）常透過枚舉磁碟機代號竊取檔案。隱藏磁碟機代號可增加攻擊者枚舉難度，延緩資料外洩。

方法一：登錄檔 NoDrives 隱藏指定磁碟（僅影響總管顯示）

路徑：HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
新增 DWORD：NoDrives
值計算：每顆磁碟對應一個位元
A=1 (0x1), B=2 (0x2), C=4 (0x4), D=8 (0x8), E=16 (0x10), F=32 (0x20)...
隱藏 E 槽：值 = 16 (十進位) = 0x10
隱藏 C+E：值 = 4+16 = 20

登出/重開機生效。總管、檔案對話框不顯示，但 cmd、dir E:、木馬 API 仍可存取。

方法二：群組原則「防止存取磁碟機」（同樣僅限總管）

gpedit.msc → 使用者設定 → 管理範本 → Windows 元件 → Windows 檔案總管 →「防止存取我的電腦中的磁碟機」→ 啟用 → 選擇限制磁碟。

方法三：磁碟管理「移除磁碟機代號」（真正阻擋 API 枚舉）

1. 右鍵「我的電腦」→「管理」→「磁碟管理」。
2. 右鍵目標分區 →「變更磁碟機代號和路徑」→「移除」→ 確定。

分區無代號，總管、cmd、GetLogicalDrives() API 皆無法枚舉，木馬無法直接列出。需存取時，再「新增」代號或掛載至空資料夾（mountvol）。

比較與建議

結合方法三（平時移除代號）+ 方法一（臨時需用時快速加回代號並設 NoDrives 隱藏），兼顧安全與便利。