软件分享 - 开发笔记分享

最后修改人	果农
最后修改时间	2023-04-05 05:42:44
创建人	果农
创建时间	2023-04-05 05:32:25

该文档由果农创建于 2023-04-05 05:32:25 ，果农在 2023-04-05 05:42:44 修改了该文档。

[TOCM]

本文来源于：[远景论坛](https://bbs.pcbeta.com/viewthread-1964123-1-1.html)

## 前言  
看到很多帖子询问如何关WD，或者询问以为关闭了，但是WD动不动老是复活。其实这都是WD没有彻底关闭导致的。你以为关闭了（包括安装第三方杀毒让它退位）其实都没有关闭，WD还在后台以服务的形式运行着。通过任务管理器可以查看出WD的进程其实都还在。

## 为什么要彻底关闭  
可以杜绝复活（有时候补丁更新后WD会被自动打开），减少莫名其妙的因WD导致的性能下降（占用CPU Ring0权限和干扰Intel性能计数器监视器），Bug/报错/冲突。

## 原理  
运行 `services.msc` ，禁用并停止以下服务：  
```  
* Windows Security Service (SecurityHealthService)  
* Windows Defender Advanced Threat Protection Service (Sense)  
* Security Center (wscsvc)  
* Microsoft Defender Antivirus Service (WinDefend)  
* Microsoft Defender Antivirus Network Inspection Service (WdNisSvc)  
```  
所以事实上就是，你没有去关闭（并禁止自启）这五个服务，WD和其周边组件（实时防护，安全中心等）都是一直在运行。

## 不推荐的工具  
`WDControl1.4`，`Defender Control 2.1`等，都是关闭了`WD`的扫描等，使其停止功能，说白了和你手动去关掉开关没区别，都没有禁用上述五个服务，所以WD还是运行在后台，只是什么都不会做。但是说不准会随着更新复活等等。尤其是所谓关闭了右下角盾牌logo还在的，更是自欺欺人。

## 不推荐的做法  
删除defender或安全中心组件。100%会导致无法更新。用下面方法单纯禁用不会影响任何系统功能和`Windows Update`，而且100%可逆。

## 推荐的工具和最终解决办法  
1，进入"Windows 安全中心"，转到"病毒&威胁防护"，将“实时防护”关闭，然后将“篡改防护”切换为“关”。工具解压打开之前先到安全中心关闭防篡改和实时保护！要不然下载完秒删。  
2，论坛@chiannet大佬的《Microsoft Defender & Windows Update 开关》  
```  
https://bbs.pcbeta.com/viewthread-1913968-1-2.html  
```  
是我目前发现的唯一能自动关闭WD的功能，并禁用掉所有WD相关进程+五个服务+计划任务的脚本

## 最终步骤

还可以做的几个额外的步骤，有助于排解一些特殊问题和提升整体系统性能：如DEP导致一些程序/文件打不开，一些国产软件不按期望运行，游戏闪退，帧数低等等。核心思路就是除了WD，还有一些更底层的组件在保护着Windows，可以考虑关闭来获取更好的性能。  
如果你没有使用HV虚拟机等，可以直接套用。如果你想知道具体含义，请参考[微软官方文档](https://learn.microsoft.com/zh-cn/microsoft-365/security/defender-endpoint/?view=o365-worldwide)  
这部分是关闭内核完整性，SystemGuard，MitigationOptions，Meltdown与Spectre保护  
```  
Windows Registry Editor Version 5.00  
[HKLM\SYSTEM\CurrentControlSet\Control\CI\Policy]  
"VerifiedAndReputablePolicyState"=dword:00000000  
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\DeviceGuard\Scenarios\SystemGuard]  
"Enabled"=dword:00000000  
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\kernel]  
"MitigationOptions"=hex:22,22,22,00,00,02,00,00,00,02,00,00,00,00,00,00  
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management]  
"FeatureSettingsOverride"=dword:00000003  
"FeatureSettingsOverrideMask"=dword:00000003  
```  
这部分是关闭基于虚拟化的安全  
```  
reg add "HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard\Scenarios\HypervisorEnforcedCodeIntegrity" /v "Enabled" /t REG_DWORD /d 0 /f  
reg add "HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard" /v "EnableVirtualizationBasedSecurity" /t REG_DWORD /d 0 /f  
reg add "HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard" /v "RequirePlatformSecurityFeatures" /t REG_DWORD /d 0 /f  
```  
这部分是关闭Exploit Protection的具体六个项目  
```  
PowerShell Set-Processmitigation -System -Disable DEP  
PowerShell Set-Processmitigation -System -Disable CFG  
PowerShell Set-Processmitigation -System -Disable ForceRelocateImages  
PowerShell Set-Processmitigation -System -Disable HighEntropy  
PowerShell Set-Processmitigation -System -Disable SEHOP  
PowerShell Set-Processmitigation -System -Disable TerminateOnError  
```  
这部分是通过bcdedit，彻底关闭DEP，内核签名和一些校验  
```  
bcdedit.exe /set {current} nx AlwaysOff  
bcdedit.exe /set {current} pae ForceEnable  
bcdedit.exe /set {current} nointegritychecks on  
bcdedit.exe /set {current} quietboot on  
bcdedit.exe /set {current} bootstatuspolicy IgnoreAllFailures  
bcdedit.exe /timeout 0  
```  
欢迎讨论补充。请评估自己的喜好和使用情况，不要跳出来杠说我就是要安全啥的，请直接关闭此帖子，此处只讨不安全行为。