威脅模型
無防護 Windows 9x/Me：任意人員開機按 Esc/取消 → 進入桌面 → 完整存取所有檔案、隱私、設定。
註冊表限制實作步驟
- 正常登入 → 控制台 → 密碼 → 建立使用者帳號/密碼
- 重開機 → 開機登入對話框按 Esc (模擬非授權進入)
- 執行
regedit
- 展開：
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
- 新建 6 個 DWORD 值，全部設為
1：
| 值名稱 | 限制功能 |
|---|
| NoRestrictRun | 配合 RestrictRun 白名單限制可執行程式 |
| NoDesktop | 隱藏桌面所有圖示 |
| NoSetFolders | 禁用控制台/印表機設定 |
| NoFind | 禁用開始選單「搜尋」 |
| NoRun | 禁用開始選單「執行」 |
| NoSetTaskbar | 禁用工作列設定 |
- 刪除預設使用者「開始」→「程式集」與「文件」選單內容：
刪除 Windows\Start Menu、Windows\Recent 目錄下所有項目 (不影響個人使用者設定檔內的選單)
- 關閉 Regedit、重開機
效果驗證
- 合法使用者：輸入正確帳號/密碼 → 完整桌面、完整選單、所有功能
- 非授權使用者：按 Esc/取消 → 桌面空白 (僅壁紙)、開始選單僅剩「說明」與「關閉系統」→ 無法執行任何程式、無法存取檔案
新增合法使用者流程
- 以管理員身分登入
- 將上述 6 個 DWORD 改為
0 (或刪除)
- 建立新使用者帳號、設定權限
- 重新將 6 個 DWORD 設回
1
重要提醒
- 修改前必須匯出註冊表備份 (Regedit → 檔案 → 匯出)
- 此法針對「預設使用者」配置，新使用者繼承預設限制，達到「預設拒絕、顯性授權」
- Win9x/Me 核心無真正多使用者安全隔離，此為「軟性限制」，實體接觸仍可破解 (安全模式、DOS、啟動磁碟)
- 關鍵資料請配合檔案層級加密工具 (如 PGP、BestCrypt)
結語
在 Windows 9x/Me 缺乏 NTFS/ACL 的環境下，註冊表策略提供低成本、可接受強度的「預設拒絕」基線。配合實體安全、加密工具、備份習慣，可大幅提升資料保護等級。