Bloqueia uma chave de registro para evitar reescrever ou excluir acidentalmente ou intencionalmente o uso da linha de comando

Question

Eu vejo a postagem em superusuário e Eu tenho um caso semelhante, mas com uma pequena diferença.

Eu criei uma chave reg.

"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\wscript.exe"

E o destino do conteúdo: /windows/system32/wscript.exe

E eu preciso bloquear essa chave permanentemente (ou qualquer outra chave que eu queira criar), para impedir a exclusão ou modificação acidental ou intencional de qualquer malware

Pergunta:

Que linha de comando pode me ajudar a fazer isso? (cmd ou powershell ou ambos)

Obrigado

Resolvido!

por DavidPostill (e graças à contribuição do w32sh)

    

Answer 1

Eu preciso bloquear essa chave para evitar exclusão ou modificação por malware.

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\wscript.exe

What command line can help me to do this?

De acordo com as respostas no link na sua pergunta, a maneira mais fácil de fazer isso é remover as permissões Editar do SYSTEM e dos grupos Administradores, e a chave deve ser efetivamente somente leitura.

Você pode fazer isso a partir da linha de comando com regini seguindo o procedimento abaixo.

Aviso :

• Eu ficaria muito tentado a fazer backup de todo o seu sistema antes de fazer essas alterações (você pode se sentir confortável apenas fazendo o backup do registro - veja abaixo).

• As instruções abaixo contêm etapas que informam sobre como modificar o registro. No entanto, podem ocorrer sérios problemas se você modificar o registro incorretamente.

• Para proteção adicional, faça backup do registro antes de modificá-lo. Em seguida, você pode restaurar o registro se ocorrer um problema.

• Para obter mais informações, consulte Como fazer backup e restaurar o registro no Windows

1. Crie um arquivo (por exemplo block.txt ) com o seguinte conteúdo:

   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\wscript.exe [2 19]
   

2. Execute o script block.txt usando o seguinte comando, executado a partir de um shell (%) de cmd elevado:

   regini block.txt
   

Notas:

• O comando regini deve ser executado a partir de um shell (co_de%) elevado (Administrador), caso contrário, ele falhará (nenhum erro será exibido).

• A entrada de permissão está definida como cmd , que é Acesso de Leitura do Administrador e Acesso de Leitura do SISTEMA.

• Você precisa pensar com cuidado se outros grupos de usuários também precisam de acesso de leitura.

  Usar uma entrada de permissão de [2 19] também permitirá acesso de leitura aos usuários padrão (e às contas de administrador com token de usuário filtrado) da chave.

• Pode ser necessário alterar as permissões da chave parent para evitar que as subchaves sejam excluídas (não verifiquei isso).

Leitura adicional

• Um índice A-Z da linha de comando do Windows CMD - Uma excelente referência para todas as coisas relacionadas à linha do Windows cmd.
• regini - Altere as permissões do Registro.
• Como usar um script para alterar permissões de registro da linha de comando