开启 Windows 的 LSA 凭据保护（RunAsPPL）

让 LSASS 以受保护进程运行，防止恶意软件窃取 Windows 登录凭据。

Windows注册表安全加固安全中风险

在管理员终端运行 `reg add "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v RunAsPPL /t REG_DWORD /d 2 /f`，然后重启电脑。

01命令

命令

$ reg add "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v RunAsPPL /t REG_DWORD /d 2 /f

02作用说明

Windows 的本地安全机构（LSASS）在内存里保存着你的登录凭据，这正是盗号木马最爱偷的东西。开启 LSA 保护后，LSASS 会以"受保护进程"运行，普通程序无法读取它的内存或向它注入代码。把 RunAsPPL 设为 2 即可仅通过注册表开启（不锁定 UEFI）；新装的 Windows 11 默认已开启，但老系统升级上来的往往没有。

03风险

风险中风险

使用条件需要管理员权限；Windows 11 22H2 / Windows 11 新装机默认已开启；某些旧驱动（如老版本安全软件）可能不兼容，需重启生效。

!注意: 需要管理员权限并重启生效。个别老旧的安全软件或驱动可能不兼容；如果开启后系统无法正常启动，进入安全模式把 RunAsPPL 改回 0 即可。

04撤销

撤销

$ reg add "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v RunAsPPL /t REG_DWORD /d 0 /f

05来源

Configuring Additional LSA Protection | Microsoft Learn
Microsoft · vendor-doc · 2026-09-17
依据: RunAsPPL=2 enables LSA protection without UEFI variable; the LSASS process runs as protected process preventing code injection and credential dumping.

最后验证: 2026-09-18 · 分类: 安全与隐私

06相关方案

用 Set-ExecutionPolicy 解决「禁止运行脚本」报错

Windows终端开发安全

理解 PowerShell 执行策略的作用域,选择既能运行自己的本地脚本、又不破坏安全模型的策略。

中风险 ✓ 2026-09-17

用 takeown 和 icacls 夺回文件所有权

Windows文件系统安全

两步命令把自己设为被锁定文件树的所有者并授予完全控制权限,是修复「拒绝访问」的标准做法。

高风险 ✓ 2026-09-17

用 certutil -hashfile 校验文件哈希

Windows哈希命令提示符安全

Windows 内置命令，可计算任意文件的 MD5、SHA1 或 SHA-256 哈希。

低风险 ✓ 2026-09-17