駭客入侵 WinXP 常用手法（二）：群組原則禁用「開始」選單與桌面項目、鎖定桌面設定

前言

Windows 2000/XP 內建群組原則編輯器 (gpedit.msc)，駭客取得管理員權限後常用其鎖定介面、移除關鍵選單、禁止變更設定，達到持久控制與隱藏蹤跡目的。

第三招：禁用「開始」選單命令

1. 執行 gpedit.msc，展開：
   本機電腦原則 → 使用者設定 → 系統管理範本 → 工作列和「開始」功能表
2. 右側策略清單中啟用下列項目即可移除對應選單：
• 「從『開始』功能表移除『所有程式』清單」
• 「從『開始』功能表移除『我的文件』圖示」
• 「移除『文件』功能表」
• 「從『開始』功能表移除『網路芳鄰』圖示」等。
3. 範例：雙擊「從『開始』功能表移除『我的文件』圖示」→ 「設定」分頁選「已啟用」→ 確定，我的文件圖示即刻從開始選單消失。

第四招：桌面相關選項禁用與鎖定

1. 展開：
   本機電腦原則 → 使用者設定 → 系統管理範本 → 桌面
2. 隱藏系統圖示：啟用「隱藏桌面上的『網路芳鄰』圖示」、「隱藏桌面上的『Internet Explorer』圖示」，或啟用「隱藏並停用桌面上的所有項目」一次清空桌面。
3. 移除特定圖示：啟用「從桌面移除『我的文件』圖示」、「從桌面移除『我的電腦』圖示」、「從桌面移除『資源回收筒』」。
4. 禁止儲存桌面變更：啟用「登出時不儲存設定」，使用者雖可暫時移動圖示、調整工作列，但登出後全部復原，無法持久化個人化設定。

駭客目的與防禦

• 目的：限制受害者操作路徑、隱藏系統工具、防止發現異常、鎖定桌面環境便於遠控腳本運行。
• 防禦：
  • 一般使用者帳號日常操作，不給予管理員權限（無法執行 gpedit.msc）。
  • 定期備份 HKCU\Software\Microsoft\Windows\CurrentVersion\Policies 登錄樹狀結構，異常時快速還原。
  • 懷疑被竄改時，以管理員身分執行 gpupdate /force 重新套用正確原則，或手動刪除 Policies 下對應機碼。