Windows Defender 禁用工具实测：开源 defender-control 从永久关闭到一键还原

Windows Defender 禁用工具实测开源 defender-control 从永久关闭到一键还原【免费下载链接】defender-controlAn open-source windows defender manager. Now you can disable windows defender permanently.项目地址: https://gitcode.com/gh_mirrors/de/defender-controlWindows Defender 禁用工具并不少见但大多只能做到临时关一下。开源项目 defender-control 的目标要彻底得多它用系统级最高权限把 Defender 的进程、服务、驱动和策略一次关干净也能一键恢复全程无需进入安全模式。先还原一个常见的场景你刚编译好的程序被实时防护秒删后台扫描时不时占满 CPU设置里手动关掉的 Defender 隔几天又自己打开了。如果你被这类问题困扰过这篇指南应该对你有用。它不堆术语只围绕四个问题展开——为什么官方开关关不干净这个工具凭什么能做到怎么安全地使用出了问题怎么退回来为什么 Windows 10/11 的设置开关关不掉 DefenderDefender 从来不是一个普通程序它是由多个部件拼起来的体系负责扫描的引擎MsMpEng、防病毒服务WinDefend、内核过滤驱动WdFilter.sys、WdBoot.sys、网络检查服务NisSrv外加一层名为篡改保护的内核级保险锁。想从外面关掉它等于同时对付这么多环节设置界面里的开关只影响运行状态对开机驱动和自启动项基本无效手动修改注册表里的DisableAntiSpyware在较新的系统上会被反篡改机制悄悄回滚重启后一切如初就算侥幸关掉一部分安全中心检测到状态异常时也会自动把相关服务重新拉起来。换句话说普通管理员身份根本动不了它。要真正关掉必须同时满足三个条件拿到比管理员更高的身份、能改写内核驱动文件、以及写下一套能对抗自动恢复的策略。defender-control 的设计目标就是把这三件事一次做完。从 TrustedInstaller 到驱动改名禁用原理拆解工具以管理员身份启动后会通过任务计划程序Task Scheduler的 RunEx 技术把自身以 TrustedInstaller 服务账户重新拉起。TrustedInstaller 是 Windows 中负责安装与修复系统组件的最高级别服务账户只有它才够格改写那些被 Defender 锁死的注册表项。拿到这层身份之后整个禁用流程可以归纳成下面这张表环节具体动作作用停进程结束 MsMpEng、NisSrv、安全中心相关的常驻进程让引擎先停下为后续改名腾出空间改服务把 WinDefend、网络检查服务等注册表启动值设为禁用阻止系统重新拉起这些服务改驱动把 WdFilter.sys、WdBoot.sys 等驱动及引擎 exe 重命名为.OLD开机时找不到驱动文件引擎根本无法启动写策略写入DisableAntiSpyware等禁用策略并锁定安全中心界面防止安全中心悄悄把一切改回去其中最关键的是改驱动名这一步。驱动文件一旦被改名重启后内核加载阶段会直接跳过它们——这正是整套方案不需要进入安全模式的原因。所有被改动的文件都会登记进%ProgramData%\defender-control下的恢复清单为之后的一键还原留好退路。还有一个容易被忽略的细节防火墙服务被有意保留运行。因为 Microsoft Store、winget、Docker、WSL 都依赖防火墙服务提供的网络管道把它一起关掉会连累这些日常工具。动手之前先关掉篡改保护与实时保护正式操作前有两道保护必须手动关掉否则后续步骤大概率失败打开Windows 安全中心 → 病毒和威胁防护 → 管理设置关闭篡改保护。这是内核层的一道防写入锁开着它时即使以 TrustedInstaller 身份改写部分关键项也会被系统拒绝。顺手关闭实时保护。不关的话工具本体可能在执行之前就被隔离了。准备工作完成后右键以管理员身份运行工具即可。整个流程只有两行git clone https://gitcode.com/gh_mirrors/de/defender-control disable-defender.exe跑完后建议重启一次让驱动改名彻底生效。重启后引擎没有机会在开机时加载禁用效果才算真正固化。永久禁用 Windows Defender 的操作流程与一键恢复方法项目发布时提供两个成品一个负责关一个负责开互为闭环可执行文件用途disable-defender.exe执行完整禁用流程并锁定安全中心界面enable-defender.exe按恢复清单还原全部改动让 Defender 恢复自动启动禁用之后安全中心界面是被锁定的无法从界面确认当前状态。这时可以在命令行里检查disable-defender.exe -c-c等价于-check会输出一份人类可读的报告内容包括实时保护与行为监视是否开启、篡改保护状态、MsMpEng.exe进程是否在运行、WinDefend 服务的启动类型与DisableAntiSpyware策略值最后给出一句综合结论DISABLED / PARTIALLY DISABLED / ACTIVE。加上-s参数可以跳过执行完后的暂停等待方便把命令写进脚本或计划任务。想恢复时以管理员身份运行enable-defender.exe然后重启。工具会按恢复清单把.OLD文件逐一改回原名清理策略与界面锁定项并重新把 WinDefend 设为自动启动。被微软标记 HackTool 怎么办聊聊检测与安全性下载或编译这个工具时Windows Defender 大概率会弹出警告把它标记为HackTool:Win32/DefenderControl甚至直接隔离。这属于类目检测——凡是具备禁用 Defender 能力的工具都会命中此类并不代表代码本身有恶意。判断一个工具是否可靠最扎实的依据是源码。defender-control 完全开源全部实现位于src/defender-control/目录可以逐行审查也可以自行编译。比起那些来路不明的一键关闭工具这是它最大的底气。想自己编译用 Visual Studio 2022 定制专属版本如果你想验证源码或者希望定制关闭范围可以自行构建。项目使用 Visual Studio 2022打开src/defender-control.sln在settings.hpp里切换一行宏即可#define DEFENDER_CONFIG DEFENDER_DISABLE // 编译出禁用版 #define DEFENDER_CONFIG DEFENDER_ENABLE // 编译出启用版选择 Release / x64 配置后编译就能得到符合预期的两个 exe。想深入理解实现细节archive/research.md里保留了作者逆向分析同类工具的全过程从权限获取到注册表调用的思路都有迹可循。Defender 恢复失败怎么办两条兜底命令绝大多数情况下enable-defender.exe就能完成还原。万一极端情况下 Defender 怎么都起不来可以在管理员终端里依次执行DISM /Online /Cleanup-Image /RestoreHealth sfc /scannow然后重启。这两条命令会修复系统组件与受保护文件的完整性属于微软官方的系统自愈手段。使用前请想清楚的几件事最后说几句实在话。关闭 Defender 意味着系统失去默认的实时防护建议只在受信任的网络环境里操作动手前给重要数据留一份备份禁用后用-c定期确认系统状态需要防护时再一键还原。这个工具的价值在于把选择权交还给用户——想关得干净利落还是想恢复得原封不动都由你的实际需求决定。现在就可以克隆一份亲自把完整流程跑一遍。【免费下载链接】defender-controlAn open-source windows defender manager. Now you can disable windows defender permanently.项目地址: https://gitcode.com/gh_mirrors/de/defender-control创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考