一条命令禁用 Windows Defenderno-defender 使用、验证与撤销全解【免费下载链接】no-defenderA slightly more fun way to disable windows defender firewall. (through the WSC api)项目地址: https://gitcode.com/GitHub_Trending/no/no-defender部署脚本在隔离测试环境里总被实时保护拦下最直接的办法是禁用 Windows Defender并连带关掉防火墙用完再一键还原需要时还能跨重启保持关闭。开源工具 no-defender 做的就是这件事。本文覆盖它的工作原理、分场景命令、防火墙开关验证与故障定位。它凭什么能关掉走 WSC 接口的已就位上报Windows 安全中心WSC有一条老规矩杀毒产品可以向系统上报本机已有第三方杀毒在场收到上报后系统会自动停用 Defender避免双重防护冲突。对应的 WSC API 没有公开文档官方文档需要与 Microsoft 签 NDA 才能拿到所以多数土办法只能停服务、改组策略容易被系统打回去。no-defender 走的是真实杀毒软件同一条正路通过 WSC 接口上报一个虚拟杀毒在场Defender 随即自行让位防火墙也随同一条上报链路关闭对应网络配置。命令之所以一条就生效是因为它撤销的只是上报这件事不需要手工恢复任何注册表项。获取与前置条件克隆仓库。上游项目在 2024-08 因 DMCA 下架仓库现以说明文档为主本地已有no-defender-loader二进制可直接跳过。git clone https://gitcode.com/GitHub_Trending/no/no-defender cd no-defender在管理员权限的 PowerShell 中执行普通权限下上报会失败。可执行文件放在固定目录不要随手挪动——这是后面跨重启持久化的前提。分场景操作场景A临时关掉用完立刻开回来原理先行这条命令并不停止任何服务只是向系统提交一次第三方杀毒在场上报实时保护由系统侧自动停下。no-defender-loader --av执行后马上验证Get-MpComputerStatus | Select RealTimeProtectionEnabled字段为False即已关闭。收尾命令见下文撤销与清理一节。场景B重启后也要保持关闭WSC 上报本身不跨重启工具的对策是把自身写进自启动项每次开机自动重发一次上报。代价要记牢二进制必须一直留在磁盘上。文件被删等于持久化失效重启后 Defender 会自己回来。验证方式重启后重跑场景A的验证命令RealTimeProtectionEnabled仍为False即持久化成功。启动项可以在任务管理器启动页里看到属于预期行为。场景C只关其中一项、或指定上报名称只关防火墙不碰 Defenderno-defender-loader --firewall验证方法换成看三个网络配置文件Get-NetFirewallProfile | Select Name, EnabledDomain / Private / Public 全部False即关闭生效。两者一起关并把安全中心里显示的虚拟杀毒名称改成自定义no-defender-loader --av --firewall --name My Test AV--name默认是一个仓库风格的占位名多台机器或多种工具混用时自定义名称便于区分是谁在做上报。参数速查参数作用示例--av禁用 Defender--av--firewall禁用 Windows 防火墙--firewall--av --firewall两项同时禁用组合使用--disable重新启用并还原--disable--name VAR自定义杀毒上报名称--name My Test AV-h/-v查看帮助 / 版本--help/--version完整参数说明见 README 的 Usage 段落。✅ 状态确认交叉验证实时保护与防火墙三条命令完成完整核对Get-MpComputerStatus | Select RealTimeProtectionEnabled含义Defender 实时保护是否激活False表示已关闭。Get-NetFirewallProfile | Select Name, Enabled含义三个网络配置文件各自的防火墙开关全False才是彻底关闭。Get-Service wscsvc, WinDefend这里有个高频混淆点禁用生效后WinDefend宿主服务仍可能是Running服务在跑 ≠ 防护在开实际关闭的是实时保护与防火墙配置。另外wscsvc是上报的执行通道它异常是命令跑了没生效的最常见原因。 撤销与清理别漏掉自启动项no-defender-loader --disable效果撤销第三方杀毒在场上报Defender 与防火墙恢复启用。还原后交叉确认Get-MpComputerStatus | Select RealTimeProtectionEnabled Get-NetFirewallProfile | Select Name, Enabled实时保护回到True、三个配置文件回到True才算干净。容易漏的残留如果开过跨重启持久化自启动项仍在注册表里。清理顺序建议为先跑--disable撤销上报恢复防护 → 再移除对应启动项任务管理器启动页可见→ 最后才删二进制。反过来操作会留下悬空启动项开机时静默失败排查起来更麻烦。故障定位从症状到根因症状最可能原因处理动作重启后又恢复了二进制被删或自启动项失效确认文件还在、启动项生效命令执行但状态没变wscsvc服务异常查服务状态恢复后重试提示由组织管理组策略/注册表被外部改过先跑--disable再查策略安全中心空白或灰置安全中心组件异常跑sfc /scannow修复表格没覆盖到时用下面几条往里挖Get-Service wscsvc定位执行通道WSC 未处于 Running 时任何上报命令都会空转先恢复服务再重试。Get-WinEvent -LogName Microsoft-Windows-Windows Defender/Operational -MaxEvents 10定位拦截点读出最近 Defender 运行事件用来区分被策略拦下与组件自身异常。sfc /scannow DISM /Online /Cleanup-Image /RestoreHealth定位系统底层扫描并修复系统文件与系统映像排除文件损坏导致的开关失灵。使用守则用完必须还原结束后的默认状态应是--disable别让实时保护长期缺席。二进制别乱删持久化依赖自启动项删文件等于无声解除重启即回弹。记录状态基线操作前后各存一份两条验证命令的输出出问题才有得比。别混用多个上报工具多个第三方杀毒在场声明并存容易策略打架。分清环境隔离/测试机随便用生产机动手前先评估风险。FAQQ为什么重启后 Defender 又自己回来了A持久化靠自启动项。可执行文件被删或启动项失效都会导致回弹。先确认文件还在、启动项生效再重启验证一次。Q怎么算真的关掉了AGet-MpComputerStatus实时保护为False、Get-NetFirewallProfile三个配置文件全False、Defender 运行日志无异常三处一致才算关闭。Q关掉后服务还在跑正常吗A正常。工具关闭的是实时保护与防火墙配置不是WinDefend宿主服务判断状态别只看服务。Q用完一定要还原吗A要。除隔离/测试环境外建议结束即执行no-defender-loader --disable恢复防护。写在最后no-defender 把禁用 Defender 与防火墙压缩成几条可控命令确认现状、按需关闭、交叉验证、用完还原。记住这条纪律用完一定跑--disable。【免费下载链接】no-defenderA slightly more fun way to disable windows defender firewall. (through the WSC api)项目地址: https://gitcode.com/GitHub_Trending/no/no-defender创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考