必须立即切断软件注册表写入权限，方法包括：一、接管HKEY_CURRENT_USER\Software等高频路径所有权并禁用继承；二、取消Users/Everyone的“写入”“创建子项”“删除”权限；三、用PowerShell批量加固SharedAccess等关键服务项；四、手动限制Run启动项仅保留当前用户“读取”权限。
当你发现某个软件在未经允许的情况下擅自修改系统注册表，导致设置错乱、功能异常甚至安全风险时，必须立即切断其注册表写入权限。这不同于禁用 regedit，而是让软件进程本身无法调用 RegSetValueEx、RegCreateKeyEx 等 API 写入键值。
定位并锁定高频被篡改的注册表路径
多数恶意软件或流氓程序会集中修改以下三类位置：HKEY_CURRENT_USER\Software 下的用户级配置、HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node 下的 32 位软件注册表项、以及 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services 下的服务启动参数。先按下 Win + R，输入 regedit 并以管理员身份运行。
导航至 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run，这是最常见的自启动劫持点；再打开 HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Tencent\WeChat，模拟第三方软件常改路径；最后进入 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess，它是 Windows 防火墙核心服务，一旦被篡改将导致网络防护失效。
右键任一目标项 → 选择“权限” → 点击“高级” → 在顶部“所有者”旁点击“更改” → 输入 Administrators → “检查名称” → 勾选“替换子容器和对象的所有者” → 点击“确定”。【此步不可跳过，否则后续权限修改将因所有权缺失而失败】
阻断未授权写入：禁用继承并收紧显式权限
返回“权限”窗口 → 点击“禁用继承” → 弹出选项中选择“将继承的权限转换为此对象的显式权限” → 点击“确定”。
在下方权限条目列表中，找到 Users 或 Everyone（若存在），双击打开属性页 → 取消勾选“写入”“创建子项”“删除”三项下的“允许”，其余如“读取”“查询值”保持勾选 → 点击“确定”。
对每个已定位的关键路径重复上述操作。注意：不要直接删除 Users 组，否则可能导致标准用户无法读取自身配置而引发应用崩溃。
加固系统级服务注册表项（仅限管理员操作）
方法一：使用 PowerShell 批量加固关键服务项
以管理员身份运行 PowerShell，执行以下命令：
Get-ChildItem 'HKLM:\SYSTEM\CurrentControlSet\Services' | Where-Object {$_.PSChildName -in 'SharedAccess','Dnscache','Winmgmt','wuauserv'} | ForEach-Object { $path = $_.PSPath; icacls "$path" /deny "Users:(OI)(CI)(WD,AD,DC)" /t /c 2>$null }
该命令对防火墙、DNS 缓存、WMI、Windows 更新四个高危服务项，拒绝 Users 组的写入、删除和更改权限，并向下递归应用到所有子项。
方法二：手动加固 Run 启动项（最易被劫持）
导航至 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run → 右键 → 权限 → 高级 → 禁用继承 → 转换为显式权限 → 找到当前用户名（非 Administrators），双击 → 只保留“读取”“查询值”，取消其余所有“允许”项 → 确定。
【务必保留当前用户的“读取”权限，否则 Explorer 将无法加载开机启动项，桌面图标可能全部消失】
