当安全防护一夜之间消失Windows Defender完整恢复实战手册【免费下载链接】windows-defender-removerA tool which is uses to remove Windows Defender in Windows 8.x, Windows 10 (every version) and Windows 11.项目地址: https://gitcode.com/gh_mirrors/wi/windows-defender-removerWindows Defender恢复是每一个用过 windows-defender-remover 这类移除工具的用户迟早要面对的一道坎。为了压榨性能、摆脱弹窗你把系统自带的防护拆了个干净可当某天一枚U盘插进机器、一个脚本在后台悄悄运行而你毫无察觉时你才会意识到安全防护重建四个字的分量。这篇文章不做纸上谈兵而是带着你从诊断一路走到恢复完成覆盖注册表策略残留、服务与组件缺失、乃至整体还原三种损坏程度全程给出可复制、可执行的命令帮助你快速重建完整的系统安全防线。一场突如其来的安全告警你的 Defender 去哪了周三早上九点运维老周照例登录那台跑着自动化任务的 Windows Server。邮箱里躺着一封安全中心的提醒实时保护已关闭。他愣了一下——自己上个月确实用工具把 Defender 移除了图的就是省下那 10% 的扫描开销当时一切正常病毒和威胁防护页面也如预期一样灰了下去。直到昨天一台测试机感染了勒索变种全网扫描时老周才发现他的机器没有杀毒软件连一个能扫描的系统组件都不剩。安全中心图标还在任务栏点开却是残缺的页面sc query WinDefend返回服务不存在tasklist | findstr MsMpEng干干净净一行输出都没有。这不是老周一个人的故事。无论是为了老旧 CPU 上那 30% 的 Spectre 缓解性能加成还是单纯不想要弹窗很多人选择用 windows-defender-remover 一次性移除 Windows Defender、安全中心乃至 SmartScreen。移除很快恢复却常常手足无措。好消息是只要系统没被彻底破坏Defender 就是可回收的。关键在于你得先搞清楚自己到底伤到了哪一层。先诊断再动手一张表判断你的损坏程度恢复最忌讳眉毛胡子一把抓。同样是没防护策略被禁、服务被删、文件缺失处理路径完全不同。请先在管理员终端里执行下面这组体检命令把结果记录下来再去对照导览表。:: 检查核心杀毒服务是否存在、是否运行 sc query WinDefend :: 检查安全中心服务状态 sc query wscsvc :: 检查进程是否存活 tasklist | findstr MsMpEng :: 检查 Defender 配置键是否被策略残留覆盖 reg query HKLM\SOFTWARE\Policies\Microsoft\Windows Defender /v DisableAntiSpyware :: 检查计划任务是否还在 schtasks /query /tn \Microsoft\Windows\Windows Defender对照你拿到的结果在下面这张表里找到自己对应的档位体检结果损坏程度首选恢复路径预计耗时风险等级服务在、文件在仅被策略禁用DisableAntiSpyware1轻度第一层清理残留策略15–30 分钟低服务存在但启动失败错误 1068核心文件尚在中度第二层重建服务依赖 修复系统文件30–60 分钟中服务不存在、MsMpEng.exe 等核心文件缺失中度偏重第二层 从健康机器复制文件1–2 小时中高安全中心 App 消失、系统整体异常重度第三层系统还原 / 修复安装1–3 小时高为什么先做诊断因为清理策略改一个值和重建组件补一整套文件的操作难度完全不在一个量级。先花三分钟定位档位能帮你避免在轻度场景里做重度手术——那反而可能把系统搞得更乱。如果你之前移除 Defender 用的是 windows-defender-remover那么项目仓库里Remove_Defender目录下的各 .reg 文件恰好就是一份作案记录它们明确写出了当初禁用了哪些键、删了哪些服务是你反向恢复时的最佳对照清单。想了解每个文件的具体用途可查看模块说明Remove_Defender/README.md。图windows-defender-remover 工具界面盾牌上的红色×代表其移除防护的用途理解移除过程才能更好地设计恢复路径。层层递进的恢复路径从改配置到重装系统确认档位之后按先轻后重的顺序推进。每一步都遵循同一套路判断适用场景 → 执行操作 → 预期结果 → 注意事项。第一层清理残留策略让 Defender 重新被系统认出来适用场景服务存在、文件存在只是被组策略Policies或策略管理PolicyManager下的键值按住了。典型特征是实时保护开关灰显、安全中心显示已由组织管理。⚠️操作前请备份对注册表动手前先把涉及的分支导出留底。:: 备份策略分支恢复失败时可用 reg import 还原 reg export HKLM\SOFTWARE\Policies\Microsoft\Windows Defender C:\restore_backup\DefenderPolicies.reg /y :: 删除禁用 Defender 的组策略键 reg delete HKLM\SOFTWARE\Policies\Microsoft\Windows Defender /f reg delete HKLM\SOFTWARE\Policies\Microsoft\Microsoft Antimalware /f reg delete HKLM\SOFTWARE\WOW6432Node\Policies\Microsoft\Windows Defender /f :: 重点Windows 10/11 的策略还写在 PolicyManager 下必须一并清理 reg delete HKLM\SOFTWARE\Microsoft\PolicyManager\default\Defender /f :: 把服务启动类型改回自动 sc config WinDefend start auto为什么这么做DisableAntiSpyware这类键值一旦存在Defender 会直接认为自己被组织策略禁止即使组件完好也拒绝启动。删掉键、重启等于解开它身上的枷锁。预期结果reg query ... /v DisableAntiSpyware返回系统找不到指定的注册表项或值重启后sc query WinDefend状态变为RUNNING。注意事项策略键删除属于系统级修改务必在管理员终端执行若系统开启了篡改保护Tamper Protection部分版本可能阻止修改需先在安全中心临时关闭。第二层重建服务与核心组件把引擎装回去适用场景服务注册表项被删sc query提示服务不存在、或服务存在但反复启动失败错误 1068 最常见、MsMpEng.exe等核心文件缺失。这正是 windows-defender-remover 的RemoveServices.reg造成的典型后果——它把WinDefend、WdFilter、WdNisSvc、wscsvc等服务的注册表项整个删除了。⚠️操作前请备份导出当前服务分支避免误操作后连残缺的服务都没了。:: 备份现有服务配置 reg export HKLM\SYSTEM\CurrentControlSet\Services\WinDefend C:\restore_backup\WinDefend_svc.reg /y :: 方案 A推荐从一台健康机器导出同样的服务键再导入回来 :: 在健康机器上执行 :: reg export HKLM\SYSTEM\CurrentControlSet\Services\WinDefend WinDefend_healthy.reg :: 回到故障机器执行 reg import C:\restore_backup\WinDefend_healthy.reg :: 方案 B用 sc 重建服务骨架 sc create WinDefend binPath C:\Program Files\Windows Defender\MsMpEng.exe type share start auto sc description WinDefend Windows Defender Antivirus Service sc create WdNisSvc binPath C:\Program Files\Windows Defender\NisSrv.exe type share start auto sc create Sense binPath C:\Program Files\Windows Defender Advanced Threat Protection\MsSense.exe type share start auto注意这里在官方系统中WinDefend实际由svchost.exe进程组secsvcs承载方案 B 的sc create只是搭了一个最小骨架参数不如注册表导入完整。若方案 B 建完后服务仍无法启动请优先用方案 A 覆盖或直接走第三层的修复安装。服务骨架恢复后还需要补齐缺失的系统文件与 UWP 应用:: 用系统文件检查器修复被破坏的系统文件 sfc /scannow :: 用 DISM 从 Windows 更新服务器修复组件存储 DISM /Online /Cleanup-Image /RestoreHealth :: 重新注册 Defender 核心 DLL regsvr32 /s C:\Windows\System32\mpclient.dll regsvr32 /s C:\Windows\System32\wdscore.dll :: 重新注册安全中心 UWP 应用若 SecHealthUI 也被移除 Get-AppxPackage -AllUsers | Where-Object {$_.Name -eq Microsoft.Windows.SecHealthUI} | Add-AppxPackage -DisableDevelopmentMode -Register $($_.InstallLocation)\AppXManifest.xml预期结果sc query WinDefend能看到服务并启动Get-MpComputerStatus能返回AntivirusEnabled: True任务栏出现安全中心盾牌。注意事项sfc与DISM需要在管理员权限下运行DISM 需联网或指定\Source指向本地镜像。若你的系统是精简版、Defender 平台组件目录C:\ProgramData\Microsoft\Windows Defender\Platform整个被清空那么仅靠复制 DLL 不够建议直接用第三层的修复安装让 Windows 把平台目录完整重建。第三层整体还原——系统还原点与修复安装适用场景多个安全组件被移除、安全中心 App 消失、系统行为异常且前两层无法生效。这时候局部修补已经得不偿失需要整体回滚或重建。路径一系统还原点最省事若有:: 打开系统还原向导 rstrui.exe勾选显示更多还原点选择 Defender 被移除之前的时间点确认后系统自动重启并回滚。这正是 windows-defender-remover 在 README 里反复建议你先做的事——项目官方也明确提示运行脚本前强烈建议创建系统还原点。当年顺手建的还原点今天就是你的后悔药。路径二修复安装原位升级保留数据挂载与你当前系统同版本、同版本号的 Windows 安装 ISO进入后运行setup.exe选择保留个人文件和应用。安装程序会重建系统组件存储、恢复被删除的服务和文件同时尽量保住你的数据。这是重度损坏但不想重装时的最佳解。路径三全新安装一劳永逸如果数据已有备份直接全新安装最快。若你希望新系统开箱即按需定制项目还提供了无人值守安装模块按 ISO_Maker/README.md 的指引把应答文件放进sources\$OEM$\$$\Panther\目录再重新打包 ISO即可制作带自定义配置的安装介质——不过要注意该模块默认方向是禁用防护使用前请仔细阅读配置内容确保符合你的安全需求。预期结果系统重启后安全中心完整可用防护模块全部回到正常状态。注意事项修复安装耗时较长且必须保证系统盘有足够剩余空间执行前务必备份重要数据。恢复之后照着这张清单逐项打钩恢复不等于能开机就算完。请逐项验证缺哪项补哪项sc query WinDefend显示STATE : RUNNINGsc query wscsvc显示STATE : RUNNING安全中心服务Get-MpComputerStatus返回AntivirusEnabled : True、AMServiceEnabled : TrueStart-MpScan -ScanType QuickScan能正常执行快速扫描Update-MpSignature能成功更新病毒库打开Windows 安全中心实时保护开关可正常切换事件查看器中Microsoft-Windows-Windows Defender/Operational日志无持续性错误重启一次后以上状态依旧成立防止重启即失效为什么最后一条是重启后再查一遍很多恢复失败不是当场失败而是重启后被残留的启动项或策略再次压制。重启验证能筛掉这一批假成功。高频翻车现场错误示范与正确做法恢复过程中下面这几个坑出现频率最高。对照检查能帮你省掉大量试错时间。翻车场景错误示范正确做法导入/删除注册表报拒绝访问普通权限直接运行 reg 命令用管理员终端执行项目自带的 PowerRun.exe 可以提权运行PowerRun.exe regedit.exe /s xxx.reg适合在受限环境下绕过权限拦截只清理了 Policies忘了 PolicyManager只删HKLM\SOFTWARE\Policies\...就重启Windows 10/11 的禁用策略同时存在于PolicyManager\default\Defender下需一并清理服务重建不全启动报 1068只建了WinDefend一个服务检查依赖树WdFilter/WdBoot驱动、WdNisSvc需一同恢复sc query查依赖服务状态重启后又变回禁用恢复完立刻关窗口、不复查恢复后立即更新病毒库、复查策略键、再重启验证若仍被压制检查是否装了 Windows Security Intelligence Update 这类会重写策略的更新误把禁用当删除来修一上来就重建服务、复制文件先诊断档位禁用只需清策略删除才需要重建组件路径完全不同还原点不存在时干等反复点系统还原却找不到可用点改走sfc /scannow DISM 修复安装的兜底链路防患未然把再被移除的概率降到最低恢复一次不容易别让它在两个月后重演。下面这套日常守护建议能让你提前发现问题、留好后悔药。1. 建立每日自检任务:: 每天中午检查 Defender 服务是否存活异常时便于及时发现 schtasks /create /tn Defender Health Check /tr powershell -Command Get-Service WinDefend,wscsvc /sc daily /st 12:002. 定期备份关键配置注册表 服务# 每周备份 Defender 注册表与关键服务状态 $dir C:\DefenderBackup\$(Get-Date -Format yyyyMMdd) New-Item -ItemType Directory -Path $dir -Force reg export HKLM\SOFTWARE\Microsoft\Windows Defender $dir\DefenderReg.reg /y reg export HKLM\SYSTEM\CurrentControlSet\Services\WinDefend $dir\WinDefendSvc.reg /y Get-Service WinDefend, wscsvc, WdNisSvc | Export-Clixml $dir\Services.xml3. 用组策略锁住开关打开gpedit.msc→ 计算机配置 → 管理模板 → Windows 组件 → Microsoft Defender 防病毒把关闭 Microsoft Defender 防病毒设置为未配置或已禁用并启用防止修改 Microsoft Defender 防病毒注册表设置。这样既不会主动禁用防护又能拦下第三方误改。4. 还原点是最便宜的保险系统属性 → 系统保护 → 创建或配置自动还原点。windows-defender-remover 的 README 同样强调动手前先建还原点。任何一次系统级操作前花五分钟建个还原点都是性价比最高的习惯。常见问题速查FAQQ1我马上要动手恢复第一步最该做什么先建系统还原点再执行开头的体检命令。前者给你退路后者告诉你走哪条恢复路径——顺序不能反。Q2sc query WinDefend提示服务不存在还有救吗有。属于中度损坏走第二层从健康机器导出服务键导入或sc create重建骨架再配合sfc /scannow和 DISM 补齐文件。若核心平台目录也被清空直接考虑修复安装。Q3服务存在但启动就报错误 1068是什么问题1068 表示依赖服务或组无法启动。先sc query检查WdFilter、WdNisSvc、wscsvc是否正常把依赖链上的服务逐个恢复再启动WinDefend。Q4实时保护开关是灰色的点不了为什么大概率是策略残留。检查HKLM\SOFTWARE\Policies\Microsoft\Windows Defender和PolicyManager\default\Defender下是否还有禁用键值清理后重启。Q5恢复成功过几天又被自动禁用怎么回事常见元凶是 Windows Update 的 Intelligence Update 或安全中心的重置策略。恢复后立即更新病毒库、复查策略键并确认篡改保护未被重新启用必要时暂时暂停更新窗口再观察。Q6我装了第三方杀软是不是可以不恢复 Defender可以但前提是系统里不能残留半吊子的 Defender 配置——残留的禁用策略或损坏的服务可能引发系统日志报错、冲突。建议先恢复到可用状态再决定用哪个杀软别让系统处于两边都不是的真空期。Q7项目里那些 .reg 文件能反向导入来恢复吗不能。Remove_Defender下的 .reg 是移除专用的里面的[-HKEY...]语法是删除键值反着导入并不能重建服务。它真正的价值是当对照清单让你清楚知道当初删了什么从而知道要恢复什么。Q8到底哪种恢复方式最稳稳定性排序通常是系统还原点 修复安装 逐项重建。还原点一步到位且无残留修复安装适合组件大面积缺失逐项重建灵活性最高但最依赖经验和备份。时间允许时优先考虑前两者。尾声让防护不再说没就没回到老周的机器他最终用健康机器导出的服务键 sfc 修复 重装安全中心 App的组合把 Defender 救了回来并在服务器上补了一条每日自检计划任务。他后来在总结里写了一句移除一个组件只需要十分钟理解它值多少钱却花了一整天。这篇文章想传递的正是同一件事Windows Defender恢复不是玄学而是一条先诊断、再分层、后验证的清晰路径。无论你是轻度策略残留、中度组件缺失还是重度系统异常都能按图索骥完成安全防护重建。按本文步骤亲手走一遍你会对自己的系统多一分底气顺手把每日自检和备份机制搭起来下次防护再出问题你就能在它说没就没之前把它拦下来。如果你在恢复过程中遇到本文没覆盖的怪现象欢迎在评论区把报错信息和服务状态贴出来我们一起把这块拼图补完整。【免费下载链接】windows-defender-removerA tool which is uses to remove Windows Defender in Windows 8.x, Windows 10 (every version) and Windows 11.项目地址: https://gitcode.com/gh_mirrors/wi/windows-defender-remover创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考