引言：注冊(cè)表可謂是Windows系統(tǒng)的核心之處，無(wú)論是應(yīng)用程序安裝還是系統(tǒng)服務(wù)運(yùn)行，都離不開它的控制。也正因?yàn)樗绱酥匾W(wǎng)絡(luò)上的各種惡意程序往往會(huì)將它作為重點(diǎn)攻擊對(duì)象。為讓注冊(cè)表安全無(wú)懈可擊，我們需要采取措施，對(duì)其使用和訪問(wèn)進(jìn)行強(qiáng)化監(jiān)控和保護(hù)！

注冊(cè)表可謂是Windows系統(tǒng)的核心之處，無(wú)論是應(yīng)用程序安裝還是系統(tǒng)服務(wù)運(yùn)行，都離不開它的控制。也正因?yàn)樗绱酥匾?，網(wǎng)絡(luò)上的各種惡意程序往往會(huì)將它作為重點(diǎn)攻擊對(duì)象，如此一來(lái)，它反而變成了Windows系統(tǒng)的安全要害，任何注冊(cè)表鍵值的惡意變動(dòng)，輕則會(huì)引起程序或服務(wù)啟動(dòng)運(yùn)行錯(cuò)誤，重則能導(dǎo)致系統(tǒng)直接崩潰癱瘓。為了讓注冊(cè)表安全無(wú)懈可擊，我們需要采取措施，對(duì)其使用和訪問(wèn)進(jìn)行強(qiáng)化監(jiān)控和保護(hù)！

圖1 注冊(cè)表編輯器對(duì)話框

備份及時(shí)到位

讓注冊(cè)表安全無(wú)懈可擊最簡(jiǎn)單且最常見(jiàn)的方法就是將注冊(cè)表內(nèi)容備份到位，一旦注冊(cè)表內(nèi)容受到破壞時(shí)，可以在第一時(shí)間將其恢復(fù)正常。普通備份操作很簡(jiǎn)單，只要打開系統(tǒng)運(yùn)行文本框，在其中執(zhí)行“regedit”命令，進(jìn)入系統(tǒng)注冊(cè)表編輯界面。選中“計(jì)算機(jī)”節(jié)點(diǎn)選項(xiàng)，打開如圖1所示的右鍵菜單，選擇“導(dǎo)出”命令，從彈出的注冊(cè)表文件導(dǎo)出設(shè)置對(duì)話框中，設(shè)置好備份文件名稱和保存路徑，同時(shí)將“保存類型”修改為“REG”選項(xiàng)，確認(rèn)后就可以將整個(gè)注冊(cè)表內(nèi)容備份成功了。日后如需要將注冊(cè)表內(nèi)容恢復(fù)到正常狀態(tài)時(shí)，只要簡(jiǎn)單地雙擊備份文件即可。

倘若要備份注冊(cè)表中特定分支下的內(nèi)容時(shí)，可以先選中特定分支選項(xiàng)，打開它的右鍵菜單，單擊“導(dǎo) 出”命 令，設(shè)置好保存名稱和路徑就能進(jìn)行備份操作了。因?yàn)椴《灸抉R程序一般會(huì)偷偷修改Run、Winlogon、RunOnce、RunServicesOnce、load、RunOnceEx、RunServices等分支下的內(nèi)容，所以我們應(yīng)該加強(qiáng)對(duì)HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun、HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRunOnce、HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRunOnce、HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionWinlogon、HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRunOnceEx、HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices、HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun等分支內(nèi)容，進(jìn)行及時(shí)備份操作。

如果嫌手動(dòng)備份操作麻煩，我們不妨利用ERUNT這款外力工具，快速備份注冊(cè)表內(nèi)容，該工具可以免費(fèi)使用且無(wú)需進(jìn)行安裝操作。從網(wǎng)上獲得漢化版ERUNT工具壓縮包，借助專業(yè)解壓工具，將壓縮包內(nèi)容釋放到臨時(shí)目錄中，雙擊可執(zhí)行文件“ERUNT.EXE”，不經(jīng)過(guò)安裝操作就能彈出如圖2所示備份主窗口。在“備份選項(xiàng)”設(shè)置項(xiàng)處，勾選“系統(tǒng)注冊(cè)表”選項(xiàng)，可以對(duì)整個(gè)注冊(cè)表內(nèi)容進(jìn)行備份；如果勾選了“當(dāng)前用戶注冊(cè)表”選項(xiàng)，那么目標(biāo)程序僅會(huì)備份與當(dāng)前用戶相關(guān)分支內(nèi)容。之后指定好備份文件名稱和存儲(chǔ)路徑，按下“確定”按鈕后，目標(biāo)工具就能成功備份好系統(tǒng)注冊(cè)表了。為了確保安全，建議大家在安裝、卸載應(yīng)用程序，或?qū)ο到y(tǒng)配置之前，都及時(shí)對(duì)注冊(cè)表備份一次。日后，當(dāng)系統(tǒng)注冊(cè)表受到損壞需要恢復(fù)時(shí)，只要進(jìn)入備份文件夾窗口，雙擊“ERUNT.EXE”文件即可。

圖2 備份對(duì)話框

此外，為了提高備份效率，也能通過(guò)ERUNT工具自動(dòng)備份注冊(cè)表內(nèi)容。例如，ERUNT工具現(xiàn)被保存在“F：111”文件夾中，在通過(guò)該工具對(duì)注冊(cè)表進(jìn)行自動(dòng)備份時(shí)，只要進(jìn)行如下操作：

首先啟動(dòng)記事本之類的文本編輯程序，在文本編輯窗口中輸入下面的命令行代碼：

@echo off

F：111ERUNT.EXE %SystemRoot%ERUNT#Date# /noconfirmdelete

其 中“F：111ERUNT.EXE”是ERUNT程序保存路徑，“%SystemRoot%ERUNT#Date#”表示備份文件存儲(chǔ)路徑，并且備份文件自動(dòng)以當(dāng)前日期作為名 稱，“noconfirmdelete”參數(shù)表示強(qiáng)制刪除同名備份文件。將上面的命令代碼保存為“222.bat”批處理文件。

接著打開系統(tǒng)運(yùn)行文本框，在其中執(zhí)行“gpedit.msc”命令，開啟組策略編輯器運(yùn)行狀態(tài)，依次跳轉(zhuǎn)到“本地計(jì)算機(jī)策略”、“計(jì)算機(jī)配置”、“Windows設(shè)置”和“腳本（啟動(dòng)/關(guān)機(jī)）”分支上，找到指定分支下的“啟動(dòng)”選項(xiàng)，用鼠標(biāo)雙擊進(jìn)入對(duì)應(yīng)選項(xiàng)設(shè)置框，選擇“添加”，從文件添加對(duì)話框中導(dǎo)入“222.bat”批處理文件，確認(rèn)后保存設(shè)置操作。日后Windows系統(tǒng)每次啟動(dòng)運(yùn)行時(shí)，ERUNT工具都會(huì)自動(dòng)調(diào)用指定批處理文件，對(duì)系統(tǒng)注冊(cè)表自動(dòng)備份。

限制遠(yuǎn)程訪問(wèn)

眾所周知，我們既能在本地訪問(wèn)系統(tǒng)注冊(cè)表，又能在其他地方遠(yuǎn)程訪問(wèn)它。但要是讓人隨意在其他地方遠(yuǎn)程訪問(wèn)系統(tǒng)注冊(cè)表，那注冊(cè)表安全可能會(huì)受到不小威脅。為了減少注冊(cè)表的安全攻擊途徑，我們不妨對(duì)系統(tǒng)進(jìn)行如下設(shè)置操作，切斷注冊(cè)表的遠(yuǎn)程訪問(wèn)通道：

首先選中系統(tǒng)桌面上的“計(jì)算機(jī)”圖標(biāo)，打開它的快捷菜單，單擊“管理”命令，展開計(jì)算機(jī)管理界面。在該界面左側(cè)列表中，依次點(diǎn)擊“服務(wù)和應(yīng)用程序”、“服務(wù)”節(jié)點(diǎn)選項(xiàng)。

接著從指定節(jié)點(diǎn)下面選中“Remote Registry”選項(xiàng)，并用鼠標(biāo)雙擊切換到如圖3所示的選項(xiàng)設(shè)置對(duì)話框，單擊“停止”按鈕，并將啟動(dòng)類型設(shè)置為“禁止”，確認(rèn)后退出設(shè)置對(duì)話框。這樣，就能完全切斷對(duì)系統(tǒng)注冊(cè)表的遠(yuǎn)程訪問(wèn)通道了。

巧妙鎖定保護(hù)

一些惡意程序常常會(huì)主動(dòng)修改系統(tǒng)注冊(cè)表有關(guān)鍵值內(nèi)容，以便讓自身跟隨Windows系統(tǒng)一起啟動(dòng)運(yùn)行。為了避免病毒木馬等程序隨意修改注冊(cè)表鍵值，影響系統(tǒng)安全運(yùn)行，我們不妨借助“Registry Locker”這款外力工具，巧妙鎖定保護(hù)系統(tǒng)注冊(cè)表中的特定重要分支內(nèi)容，讓病毒木馬沒(méi)有任何編輯修改權(quán)限。該工具內(nèi)置了很多項(xiàng)容易被病毒木馬程序感染的注冊(cè)表位置，通過(guò)對(duì)這些注冊(cè)表位置的鎖定保護(hù)，就能避免注冊(cè)表受到各類病毒或其他惡意程序的損壞。

圖3 屬性對(duì)話框

圖4 Registry Locker主程序

在對(duì)系統(tǒng)注冊(cè)表執(zhí)行鎖定保護(hù)操作之前，建議大家先將常用程序都安裝到計(jì)算機(jī)中，再用殺毒軟件完整掃描一次Windows系統(tǒng)，確保系統(tǒng)處于“干凈”狀態(tài)。接著下載安裝好“Registry Locker”工具，展開如圖4所示的主程序窗口，在這里可以直觀看到一些容易受到非法攻擊的注冊(cè)表分支或項(xiàng)目，例如系統(tǒng)服務(wù)、映像劫持、IE插件項(xiàng)、系統(tǒng)啟動(dòng)項(xiàng)、IE右鍵菜單、IE首頁(yè)等，將特定分支和項(xiàng)目選中，選擇工具欄中的“鎖定選定項(xiàng)”，這樣對(duì)應(yīng)注冊(cè)表分支或項(xiàng)目就會(huì)自動(dòng)受到“Registry Locker”工具保護(hù)了，日后惡意程序在嘗試篡改特定注冊(cè)表分支內(nèi)容時(shí)，系統(tǒng)將彈出無(wú)權(quán)修改之類的提示。如果我們自己想調(diào)整特定注冊(cè)表分支下的內(nèi)容時(shí)，可以從注冊(cè)表項(xiàng)目列表中，對(duì)特定項(xiàng)目執(zhí)行解鎖操作即可。

如果我們想修改默認(rèn)的注冊(cè)表項(xiàng)目時(shí)，只要先單擊主界面中的“保存”工具欄按鈕，將當(dāng)前列表內(nèi)容存儲(chǔ)成“Registry.dat”，該 文 件默認(rèn)會(huì)被存儲(chǔ)到“Registry Locker”工具的安裝目錄下。下面用寫字板之類的文本編輯程序打開“Registry.dat”文件，根據(jù)已有的條目信息，手工增加或刪除需要安全保護(hù)的注冊(cè)表分支或項(xiàng)目，每一行只允許存在一條記錄，每條記錄輸入格式一定要符合“1或0|說(shuō)明項(xiàng)|注冊(cè)表項(xiàng)”標(biāo)準(zhǔn)，這里的“1”或“0”代表在默認(rèn)狀態(tài)是否選定當(dāng)前注冊(cè)表分支或項(xiàng)目，“說(shuō)明項(xiàng)”指的是當(dāng)前條目詳細(xì)說(shuō)明信息，“注冊(cè)表項(xiàng)”用來(lái)指定需要被鎖定保護(hù)的注冊(cè)表詳細(xì)分支地址。按需編輯好“Registry.dat”文件后，將其重新保存一下，并關(guān)閉文本編輯界面。重啟“Registry Locker”工具，該工具會(huì)自動(dòng)為“Registry.dat”文件中指定的新注冊(cè)表項(xiàng)目，提供鎖定保護(hù)服務(wù)。

定期進(jìn)行修復(fù)

由于非法攻擊或操作錯(cuò)誤等原因，系統(tǒng)注冊(cè)表常常會(huì)出現(xiàn)一些蹊蹺的錯(cuò)誤。為了讓系統(tǒng)注冊(cè)表運(yùn)行狀態(tài)快速還原，我們不妨借助“Registry Life”工具，對(duì)系統(tǒng)注冊(cè)表中的各種錯(cuò)誤進(jìn)行強(qiáng)制修復(fù)。

啟 動(dòng) 運(yùn) 行“Registry Life”工具后，它會(huì)自動(dòng)掃描整個(gè)系統(tǒng)注冊(cè)表，掃描任務(wù)完成后，系統(tǒng)注冊(cè)表中存在的各個(gè)錯(cuò)誤和錯(cuò)誤數(shù)量都會(huì)列寫在主操作窗口中。其中，該工具會(huì)用紅色感嘆號(hào)標(biāo)記突出顯示錯(cuò)誤的地方，我們能直觀分辨出錯(cuò)誤屬于什么類型。要想對(duì)存在的錯(cuò)誤進(jìn)行清除修復(fù)時(shí)，只要在主操作窗口中單擊“Run Registry Ceanup”按鈕，彈出錯(cuò)誤清除向?qū)гO(shè)置框，單擊“Start”按 鈕，“Registry Life”工具就能智能逐項(xiàng)分析系統(tǒng)注冊(cè)表中存在的錯(cuò)誤，分析結(jié)束后，我們能看到對(duì)錯(cuò)誤信息的詳細(xì)說(shuō)明，再單擊“Fix”按鈕，錯(cuò)誤修復(fù)操作就會(huì)正式開始。

圖5 權(quán)限設(shè)置對(duì)話框

系統(tǒng)注冊(cè)表在一段時(shí)間運(yùn)行后，很可能會(huì)產(chǎn)生垃圾或出現(xiàn)錯(cuò)誤，定期清除垃圾，能讓注冊(cè)表處于最理想工作狀態(tài)。在進(jìn)行該操作時(shí)，先進(jìn)入“Registry Life”主操作窗口，依次點(diǎn)選“Main Functions”、“Registry Optimization”命令，彈出注冊(cè)表優(yōu)化設(shè)置界面，單擊“Perform the Registry Optimization”按鈕，位于系統(tǒng)注冊(cè)表各個(gè)位置處的的所有垃圾，就能被目標(biāo)工具強(qiáng)行清除掉了。

嚴(yán)控編輯權(quán)限

惡意程序可以偷偷修改系統(tǒng)注冊(cè)表，主要是因?yàn)閃indows系統(tǒng)默認(rèn)對(duì)注冊(cè)表編輯權(quán)限管控不嚴(yán)。倘若對(duì)注冊(cè)表重要分支編輯權(quán)限進(jìn)行嚴(yán)格限制，那么注冊(cè)表的安全性能會(huì)大大提升。在嚴(yán)控注冊(cè)表編輯權(quán)限時(shí)，既可以對(duì)特定鍵值權(quán)限直接限制外，又能借助安全模板進(jìn)行限制，通過(guò)模板進(jìn)行限制時(shí)，往往不要擔(dān)心設(shè)置不當(dāng)引起Windows系統(tǒng)運(yùn)行不正常。

正常情況下，對(duì)特定注冊(cè)表分支權(quán)限進(jìn)行管控時(shí)，可以通過(guò)權(quán)限直接編輯法來(lái)完成（如圖 5），詳細(xì)操作為：先進(jìn)入系統(tǒng)注冊(cè)表編輯窗口，選中特定注冊(cè)表分支選項(xiàng)，比如說(shuō)選中注冊(cè)表分支 選 項(xiàng)“HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun”，打開它的右鍵菜單，單擊“權(quán)限”命令，展開如圖5所示的權(quán)限編輯框。我們可以在這里單擊“添加”或“刪除”按鈕，導(dǎo)入或移除特定用戶賬號(hào)，接著選中某個(gè)對(duì)象，同時(shí)對(duì)操作權(quán)限進(jìn)行拒絕或允許。

要提醒大家的是，很多注冊(cè)表分支權(quán)限是從高級(jí)別分支繼承過(guò)來(lái)的，有時(shí)不能對(duì)其直接控制。這個(gè)時(shí)候，不妨單擊“高級(jí)”按鈕，在高級(jí)安全設(shè)置框“權(quán)限”頁(yè)面中的“繼承于”設(shè)置項(xiàng)處，查看對(duì)應(yīng)權(quán)限究竟是從哪里繼承來(lái)的，這些權(quán)限默認(rèn)都是從對(duì)應(yīng)鍵值根分支繼承過(guò)來(lái)的。在確認(rèn)修改訪問(wèn)權(quán)限前，一定要弄清楚有沒(méi)有必要勾選“包括可以從該對(duì)象的父項(xiàng)繼承的權(quán)限”選項(xiàng)，如果勾選的話，特定分支下的訪問(wèn)權(quán)限都會(huì)同步跟隨變化。打開“所有者”選項(xiàng)設(shè)置頁(yè)面，可以查到特定分支的當(dāng)前所有者，并能根據(jù)實(shí)際需要設(shè)置所有權(quán)，默認(rèn)狀態(tài)下，只有特定分支會(huì)受到影響，如果希望適用于特定分支下的所有子項(xiàng)時(shí)，必須要勾選“替換子容器和對(duì)象的所有者”選項(xiàng)。在“有效權(quán)限”選項(xiàng)設(shè)置頁(yè)面中，可以查看到當(dāng)前配置會(huì)對(duì)特定用戶或組應(yīng)用什么樣的權(quán)限，該特性作用不可忽視，可以幫助大家知道在對(duì)權(quán)限修改確認(rèn)前會(huì)不會(huì)被應(yīng)用。

如果要對(duì)整個(gè)系統(tǒng)注冊(cè)表的編輯權(quán)限進(jìn)行嚴(yán)格限制，也可以對(duì)注冊(cè)表程序的訪問(wèn)權(quán)限進(jìn)行控制。在進(jìn)行該操作時(shí)，不妨先進(jìn)入系統(tǒng)資源管理器界面，找到%SystemRoot%目錄下的“Regedit.exe”文件，這個(gè)文件其實(shí)就是系統(tǒng)注冊(cè)表編輯器程序，打開該程序的右鍵菜單，選擇“屬性”命令，切換到對(duì)應(yīng)程序?qū)傩栽O(shè)置框，點(diǎn)選“安全”選項(xiàng)卡，在對(duì)應(yīng)選項(xiàng)設(shè)置頁(yè)面中，按照實(shí)際情況添加或者刪除用戶或組，再定義好適當(dāng)?shù)脑L問(wèn)權(quán)限。

密切實(shí)施監(jiān)控

如果對(duì)系統(tǒng)注冊(cè)表變化狀態(tài)進(jìn)行實(shí)時(shí)監(jiān)控，那么非法程序攻擊注冊(cè)表時(shí)，就可以在第一時(shí)間被發(fā)現(xiàn)，這有利于保護(hù)系統(tǒng)注冊(cè)表的安全運(yùn)行。要想監(jiān)控系統(tǒng)注冊(cè)表異常，可以使用“Registry Monitor”工具，它既可以監(jiān)控記錄與注冊(cè)表數(shù)據(jù)有關(guān)的各種操作，又能允許用戶對(duì)監(jiān)控結(jié)果進(jìn)行查找、篩選、過(guò)濾、分析等。

啟 動(dòng) 運(yùn) 行“Registry Monitor”程序后，它會(huì)默認(rèn)掃描系統(tǒng)注冊(cè)表的變化狀態(tài)，并同步顯示掃描結(jié)果，掃描結(jié)果包括訪問(wèn)注冊(cè)表的進(jìn)程、位置以及相關(guān)操作等，依照這些結(jié)果，基本就能初步判斷出注冊(cè)表是否受到過(guò)攻擊了。因?yàn)榉治霾粩喔碌淖?cè)表掃描結(jié)果往往有點(diǎn)吃力，此時(shí)不妨進(jìn)行合適設(shè)置，突出顯示一些關(guān)鍵更新項(xiàng)目。在進(jìn)行該操作時(shí)，逐一選擇“選項(xiàng)”、“過(guò)濾”、“高亮”命令，彈出高亮設(shè)置界面，在“高亮”設(shè)置項(xiàng)處，輸入關(guān)鍵鍵值名稱，例如輸入“Run”、“RunOnce”，確認(rèn)后與關(guān)鍵鍵值相關(guān)數(shù)據(jù)就會(huì)被突出顯示。為了進(jìn)一步提高分析成功率，我們還可以利用“Registry Monitor”程序強(qiáng)大的過(guò)濾功能，按需過(guò)濾記錄內(nèi)容，例如過(guò)濾注冊(cè)表讀寫操作、成功錯(cuò)誤操作等。

在沒(méi)有外力工具可以使用的情況下，也可以加強(qiáng)系統(tǒng)注冊(cè)表訪問(wèn)操作的審核，達(dá)到實(shí)時(shí)監(jiān)控目的。因?yàn)樽?cè)表審核操作會(huì)消耗一些系統(tǒng)資源，所以僅對(duì)重要項(xiàng)目審核，能降低系統(tǒng)資源的消耗。在審核注冊(cè)表之前，先要啟用系統(tǒng)審核功能。打開系統(tǒng)運(yùn)行對(duì)話框，輸入“gpedit.msc”命令并回車，進(jìn)入本地計(jì)算機(jī)策略控制臺(tái)，依次跳轉(zhuǎn)到“計(jì)算機(jī)配置”、“Windows 設(shè)置”、“安全設(shè)置”、“本地策略”、“審核策略”節(jié)點(diǎn)上，雙擊指定節(jié)點(diǎn)下的“審核系統(tǒng)事件”選項(xiàng)，彈出如圖6的選項(xiàng)設(shè)置框，勾選“成功”、“失敗”選項(xiàng)，單擊“確定”按鈕保存設(shè)置。

圖6 屬性對(duì)話框

啟用了系統(tǒng)審核功能后，就可以審核監(jiān)控特定注冊(cè)表分支內(nèi)容了，當(dāng)然通過(guò)繼承功能，就用不著對(duì)注冊(cè)表相關(guān)分支進(jìn)行審核設(shè)置了。如在審核與賬戶安全相關(guān)的注冊(cè)表分支時(shí)，不妨先進(jìn)入系統(tǒng)注冊(cè)表編輯窗口，選中注冊(cè)表分支 選 項(xiàng)“HKEY_LOCAL_MACHINESAMSAM”，打開該分支選項(xiàng)的右鍵菜單，單擊“權(quán)限”命令，切換到權(quán)限編輯對(duì)話框，選擇“高級(jí)”按鈕，彈出高級(jí)安全設(shè)置框，選擇“審核”選項(xiàng)卡，單擊對(duì)應(yīng)選項(xiàng)設(shè)置頁(yè)面中的“添加”按鈕，導(dǎo)入要審核的用戶或組，針對(duì)每個(gè)權(quán)限定義好適當(dāng)?shù)膶徍祟愋停_認(rèn)后退出設(shè)置對(duì)話框即可。