風險背景：Dr. Watson 是雙面間諜

Windows 發生應用程式錯誤時，drwtsn32.exe (Dr. Watson) 自動收集：呼叫堆疊、暫存器狀態、載入模組、記憶體傾印 (user.dmp)、日誌 (drwtsn32.log)。這些資料包含：加密金鑰、資料庫連線字串、Session Token、個人隱私等極敏感資訊。攻擊者若誘發或等待程式崩潰，即可獲取這份「禮物」。

根治方案：註冊表停用自動錯誤報告

1. Win+R → regedit
2. 定位：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\AeDebug
3. 找到字串值 Auto，預設為 1（啟用）。
4. 雙擊修改為 0（停用）。
5. 重新開機或登出/登入生效。

驗證方法

• 人為觸發應用程式崩潰（如 notepad.exe 開啟超大檔案），確認 %TEMP% 或 C:\Documents and Settings\All Users\Application Data\Microsoft\Dr Watson 下不再產生 user.dmp 與 drwtsn32.log。

補充：Windows XP/2003 之後的錯誤報告機制

XP 引入「錯誤報告服務」(ersvc)，可傳送錯誤報告至微軟。企業環境建議同步停用：

• 群組原則：電腦設定 → 系統管理範本 → 系統 → 網際網路通訊管理 → 網際網路通訊設定 → 關閉錯誤報告：已啟用
• 或註冊表：HKLM\SOFTWARE\Microsoft\PCHealth\ErrorReporting\DoReport = 0

結語：錯誤報告留給開發人員，不留給攻擊者

生產環境必須停用自動錯誤報告與核心傾印。開發/測試環境可啟用並限制存取權限。將「不洩露記憶體內容」納入基準映像檢查清單，縮小攻擊面。