借助注册表强化 Windows 系统登录界面安全

注册表加固可提升Windows登录安全性：设置LegalNoticeCaption/Text显示登录警告；DontDisplayLastUserName=1隐藏上次用户名；restrictanonymous=1限制匿名枚举；清空Winlogon下自动登录键值并禁用快速切换。

注册表是 windows 系统底层配置的核心，合理修改特定键值能有效提升登录界面的安全性，比如防止信息泄露、阻断未授权访问、增强身份提示。这类操作不依赖第三方工具，直接作用于系统行为，但需谨慎操作——建议修改前导出对应分支备份。

显示登录警告信息

在用户看到登录框前弹出定制提示，可起到法律告知与威慑作用。适用于所有 Windows 版本（含家庭版）。

• 打开注册表编辑器（Win + R → regedit），定位到：
  HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionPoliciesSystem
• 新建两个字符串值（String Value）：
  • 名称为 LegalNoticeCaption，数值数据填入标题，如“系统受控设备”；
  • 名称为 LegalNoticeText，数值数据填入正文，如“仅限授权人员使用，非法访问将被审计并追责。”
• 重启后，登录界面将显示该提示；若未生效，检查组策略是否覆盖（secpol.msc 中“交互式登录”相关策略优先级更高）。

隐藏上次登录用户名

避免攻击者通过界面直接获取有效账户名，降低暴力破解效率。

• 导航至：
  HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionPoliciesSystem
• 新建或修改 DWORD 值：
  • 名称：DontDisplayLastUserName
  • 值：1（启用）
• 该设置生效后，登录框用户名栏为空，需手动输入完整账户名，不再默认填充上一次登录的账号。

限制匿名访问与枚举

阻止未认证用户探测本地账户列表或 IPC$ 共享，切断常见横向移动路径。

• 定位到：
  HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlLsa
• 修改或新建 DWORD 值：
  • 名称：restrictanonymous
  • 值：1（推荐）
  → 表示禁止匿名用户列举 SAM 账户和共享名，不影响正常服务（如 SQL Server、IIS）运行。
  ⚠️ 注意：设为 2 会禁用匿名 IPC$ 连接，可能导致部分依赖此机制的服务异常，不建议生产环境使用。

禁用自动登录与快速用户切换

防止物理接触设备时绕过密码直接进入桌面。

• 检查以下两项注册表路径是否存在自动登录配置：
  • HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionWinlogon
  • HKEY_CURRENT_USERSOFTWAREMicrosoftWindows NTCurrentVersionWinlogon
• 确保以下键值为空或不存在：
  • DefaultUserName
  • DefaultPassword
  • AutoAdminLogon（若存在，值应为 0）
• 同时删除或清空 EnableFirstLogonAnimation 和 DisableCAD（后者若为 1，会禁用 Ctrl+Alt+Del 登录保护，应设为 0 或删除）。

注册表加固属于轻量但关键的一环，配合密码策略、账户锁定和远程端口变更等措施，才能形成有效防线。操作本身不复杂，但每个键值都影响系统行为逻辑，务必逐项确认、避免误删主键。