应分层实施防篡改：先用sfc和dism修复系统文件完整性并验证签名，再通过受控文件夹访问、组策略强制完整性级别及清理注册表封堵dll劫持路径，最后严格设置ntfs权限归属trustedinstaller且仅授权system和administrators读取执行。
要保护核心运维 dll 文件（如 user32.dll、oleaut32.dll 等）不被非法替换或权限篡改，不能靠简单设“只读”或改文件属性——windows 会主动阻止对关键系统文件的直接写入，但恶意程序仍可能通过提权、劫持加载路径或篡改注册表等方式绕过。真正有效的防篡改配置需分层实施：先修复系统完整性，再锁定访问路径，最后加固策略执行环境。
优先用系统工具修复并验证文件完整性
多数 DLL 异常并非权限问题，而是文件本身已损坏或被替换。务必先排除底层异常：
- 以管理员身份运行命令提示符，执行：
sfc /scannow —— 扫描并还原所有受保护的系统文件（含 user32.dll、oleaut32.dll） - 若 SFC 报告无法修复，追加执行：
DISM /Online /Cleanup-Image /RestoreHealth —— 从 Windows Update 恢复健康映像 - 验证结果：运行 sigcheck -a -q C:\Windows\System32\user32.dll（需提前下载 Sysinternals Sigcheck 工具），确认签名状态为 “Signed” 且发布者为 “Microsoft Windows”
限制非授权修改 DLL 的执行与加载路径
仅保护文件本身不够，还需封堵恶意代码加载篡改版 DLL 的常见入口：
Pandas 配置文件报告生成器
下载
使用ydata-profiling（前身为pandas-profiling）生成全面的数据质量报告，包含相关性分析、缺失值模式和基数检测。导出交互式HTML仪表板和JSON摘要。
- 启用 Windows Defender 的“受控文件夹访问”（设置 → 更新与安全 → Windows 安全中心 → 病毒和威胁防护 → 管理设置 → 受控文件夹访问）
→ 添加C:\Windows\System32和C:\Windows\SysWOW64到受保护文件夹列表 - 通过组策略禁用 DLL 劫持高危行为：
计算机配置 → 管理模板 → 系统 → “启用/禁用全局强制完整性级别” → 启用并设为 “High Mandatory Level”
（需配合启用 UAC 完整性机制） - 检查并清理注册表中易被滥用的 DLL 加载项：
重点核查HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellIconOverlayIdentifiers和AppInit_DLLs键值，删除非 Microsoft 签名条目
精确控制对 DLL 文件的 NTFS 权限与所有权
当确需手动干预权限时（例如修复被恶意重置的权限），必须严格遵循系统默认模型：
- 所有权必须归属 NT SERVICE\TrustedInstaller（不可改为 Administrators 或 SYSTEM）
→ 使用命令：takeown /f "C:\Windows\System32\user32.dll" /a 获取所有权后，立即用：
icacls "C:\Windows\System32\user32.dll" /setowner "NT SERVICE\TrustedInstaller" /t - 权限应仅允许：
• TrustedInstaller：完全控制
• SYSTEM 和 Administrators：读取和执行、读取、列出文件夹内容
• 其他用户/组：无任何权限
→ 设置命令：icacls "C:\Windows\System32\user32.dll" /grant:r "NT AUTHORITY\SYSTEM:(RX)" "BUILTIN\Administrators:(RX)" /deny "Everyone:(W)" /t - 禁止使用图形界面“属性→安全→编辑”方式修改——该操作极易误删 TrustedInstaller 权限，导致系统组件失效
启用并协调篡改防护的多层联动机制
Windows 原生的篡改防护不是单一开关，而是一套协同机制。需确保各层级不冲突且覆盖完整：
- 先关闭 Windows Defender 的“防篡改保护”（Windows 安全中心 → 病毒和威胁防护 → 管理设置 → 关闭“防篡改保护”）
→ 否则后续组策略或权限变更会被自动回滚 - 完成所有策略配置后，再重新启用防篡改保护，并确认其日志中无拒绝事件：
事件查看器 → Windows 日志 → 安全 → 筛选事件 ID 5015（篡改防护拦截记录） - 同步启用AppLocker DLL 规则（仅限专业版及以上）：
计算机配置 → Windows 设置 → 安全设置 → 应用程序控制策略 → AppLocker → DLL 规则 → 新建规则
→ 规则条件设为：“发布者 = Microsoft Windows”，路径 =%WINDIR%\System32\*.dll，操作 = “允许”；再建一条默认拒绝规则
