命令提示字元 (cmd.exe) 是系統管理利器，也是惡意程式碼、駭客執行命令、批次檔攻擊的關鍵工具。在高安全環境 (如網咖、Kiosk、受管終端) 中，移除或禁用 cmd.exe 是常見加固手段。本文說明三種方法：檔案替換法、登錄禁用原則、軟體限制原則 (SRP)，並分析各自優缺點與風險。

方法一：檔案替換法 (偽裝/空殼替換) — 破壞性最強，風險最高

1. 若系統安裝來源在硬碟，先重命名安裝目錄 (防止檔案保護從來源復原)。
2. 刪除快取副本：
   del C:\Windows\System32\Dllcache\cmd.exe (2000/XP) 或 C:\WinNT\System32\Dllcache\cmd.exe
3. 快速替換系統目錄檔案：
   copy C:\Windows\System32\notepad.exe C:\Windows\System32\cmd.exe (或任何無提示即結束的小程式)
4. 系統提示插入安裝光碟修復 → 點選「取消」/「略過」。

結果： 執行 cmd 將開啟記事本 (或替換程式)，命令列功能徹底失效。
風險： **系統元件損壞**：Windows Update、Service Pack 安裝、軟體安裝/解除安裝、啟動腳本、排程任務、管理工具 (如 services.msc、eventvwr.msc 內部呼叫) 皆可能失敗。極難還原，需從備份或安裝媒體修復。不建議生產環境使用。

方法二：群組原則/登錄禁用命令處理器 — 官方支援、可逆、粒度可控

登錄位置：

HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\System\DisableCMD (REG_DWORD)

數值含義：

• 0 (預設/不存在)：允許 cmd.exe 與批次檔 (.bat/.cmd) 執行。
• 1：禁止命令處理器互動使用 (輸入 cmd 提示「已被停用」)，**但允許批次檔自動執行** (登入腳本、排程任務不受影響)。
• 2：完全禁止 cmd.exe **與批次檔** 執行。

部署方式：

• 單機：regedit 手動建立鍵值。
• 網域環境：群組原則 → 使用者設定 → 系統管理範本 → 系統 → 「禁止存取命令提示字元」 → 已啟用 → 選項：「是/否 (禁用腳本處理)」。

優點： 官方機制、不損壞系統檔案、可針對用戶/群組差異化部署、一鍵還原。
缺點： 僅限使用者模式，SYSTEM 權限進程 (服務、排程任務) 仍可呼叫 cmd.exe；駭客若已提權至 SYSTEM 無效。

方法三：軟體限制原則 (SRP) 限制 cmd.exe 執行層級 — 企業級、防繞過能力最強

1. secpol.msc → 軟體限制原則 → 新增原則。
2. 安全性層級 → 將「不允許」設為預設 (白名單模式) 或保持「不受限」 (黑名單模式)。
3. 其他規則 → 新增雜湊規則/路徑規則 → 針對 C:\Windows\System32\cmd.exe 設定為「不允許」。
4. 強制 → 「所有軟體檔案，排除程式庫」+「所有使用者，排除本機管理員」。

優點： 核心層級攔截、難以繞過、支援雜湊/憑證/路徑/網區多種識別、可精細例外管理員。
缺點： 設定複雜、需充分測試避免誤殺合法管理腳本。

方法比較與選擇建議

方法	適用場景	優點	缺點/風險
檔案替換	極度簡化的 Kiosk/嵌入式系統、無管理需求	徹底無命令列	破壞系統完整性、極難維護/更新、強烈不建議
登錄/群組原則 DisableCMD	企業終端管制、網咖、學校機房、一般用戶限制	官方支援、可逆、不影響系統服務/批次腳本 (值=1)	不阻擋 SYSTEM 權限呼叫、值=2 會阻擋登入腳本
軟體限制原則 (SRP)	高安全要求企業、伺服器、需精細控制環境	核心級攔截、防繞過、支援白名單、例外管理員	部署複雜、需測試、誤配置可能導致管理癱瘓

關鍵提醒

• 絕不可將 gpedit.msc/secpol.msc/regedit 加入封鎖清單，否則自我鎖定無法修復。
• 禁用 cmd.exe 只是「縱深防禦」一環，**無法替代修補漏洞、防毒、防火牆、最小權限原則**。
• PowerShell (powershell.exe) 同樣需納入管控範圍 (SRP/DisableCMD 同樣適用)。

選擇適合環境的方法，並在變更前**完整備份系統/登錄**，於測試機驗證無誤後再部署生產環境。安全加固的藝術在於「阻擋惡意」與「保留必要管理能力」的動態平衡。