3种无EXE方案彻底移除Windows Defender：纯脚本实现深度指南

3种无EXE方案彻底移除Windows Defender：纯脚本实现深度指南

【免费下载链接】windows-defender-removerA tool which is uses to remove Windows Defender in Windows 8.x, Windows 10 (every version) and Windows 11.项目地址: https://gitcode.com/gh_mirrors/wi/windows-defender-remover

Windows Defender作为Windows系统的内置安全组件，在某些场景下可能对用户造成困扰。无论是资源占用过高、误报频繁，还是与特定软件的兼容性问题，许多技术用户都寻求完全移除Windows Defender的解决方案。然而，传统移除工具往往依赖可执行文件，这些EXE文件本身就可能被安全软件标记为威胁。本文将详细介绍三种纯脚本实现方案，无需下载任何可执行文件，即可安全、透明地完成Windows Defender的彻底移除。

技术背景与核心原理

Windows Defender的移除并非简单的程序卸载，而是涉及多个层面的系统组件禁用。其核心组件包括：

1. 防病毒引擎服务(WinDefend) - 实时监控和扫描服务
2. 安全中心服务(SecurityHealthService) - 系统安全状态监控
3. 用户界面组件(SecHealthUI) - Windows安全应用
4. 注册表策略配置- 系统级安全策略设置
5. 文件系统组件- 驱动程序和定义文件

通过纯脚本方案移除这些组件，可以避免EXE文件可能带来的安全风险，同时提供更高的透明度和可控性。项目提供了模块化的注册表修改文件，位于Remove_Defender/和Remove_SecurityComp/目录中，每个文件针对特定组件进行精确控制。

方案一：批处理脚本自动化移除

这是最推荐的方案，适合大多数用户场景。通过运行Script_Run.bat，系统会自动执行完整的移除流程。

实施步骤

1. 获取项目源码

   git clone https://gitcode.com/gh_mirrors/wi/windows-defender-remover.git cd windows-defender-remover

2. 创建系统还原点(强烈建议)

   # 以管理员身份运行PowerShell Checkpoint-Computer -Description "Defender Removal Backup" -RestorePointType "MODIFY_SETTINGS"

3. 执行移除脚本

   :: 以管理员身份运行命令提示符 Script_Run.bat

脚本执行流程详解

批处理脚本会提供三种操作模式选择：

[Y] 完全移除Windows Defender + 禁用所有安全缓解措施 [A] 仅移除Windows Defender，保留UAC功能 [S] 仅禁用所有安全缓解措施

选择模式后，脚本将按以下流程执行：

1. 权限提升检查- 验证管理员权限
2. 组件移除- 调用RemoveSecHealthApp.ps1移除安全应用
3. 注册表应用- 导入Remove_Defender/目录下的所有注册表文件
4. 服务删除- 停止并删除相关Windows服务
5. 文件清理- 删除Defender相关文件和目录
6. 系统重启- 应用更改并重启系统

核心操作代码分析

脚本中的关键删除操作使用PowerRun工具绕过系统保护：

:: 删除Defender相关文件和目录 for %%d in ("C:\Windows\WinSxS\FileMaps\wow64_windows-defender*.manifest" "C:\Windows\System32\SecurityHealthSystray.exe" "C:\Windows\System32\drivers\WdFilter.sys" "C:\Windows\System32\smartscreen.dll" "C:\ProgramData\Microsoft\Windows Defender") do ( PowerRun cmd.exe /c del /f "%%d" )

方案二：PowerShell脚本精细化控制

对于需要更细粒度控制的用户，可以直接使用PowerShell脚本进行组件级操作。

PowerShell脚本执行

# 以管理员身份运行PowerShell .\RemoveSecHealthApp.ps1

关键注册表修改详解

注册表文件Remove_Defender/RemoveServices.reg包含以下核心修改：

[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WinDefend] [-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WdFilter] [-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WdNisSvc] [-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SecurityHealthService]

这些注册表项对应Windows Defender的核心服务，删除后系统将无法启动这些服务。

服务状态管理

# 检查服务状态 Get-Service WinDefend, WdNisSvc, SecurityHealthService, SgrmBroker | Format-Table Name, Status, StartType -AutoSize # 停止并禁用服务 Stop-Service WinDefend -Force Set-Service WinDefend -StartupType Disabled

方案三：模块化注册表手动导入

对于高级用户或特定场景需求，可以手动导入单个注册表文件实现精准控制。

可用模块概览

项目提供了丰富的模块化注册表文件：

选择性应用示例

如果只需要禁用Defender通知而不完全移除：

reg import Remove_Defender\DisableDefenderandSecurityCenterNotifications.reg

如果需要禁用虚拟化安全功能：

reg import Remove_Defender\Disable Mitigation.reg

移除效果验证与系统优化

验证移除效果

1. 服务状态验证

   # 检查Defender相关服务状态 Get-Service WinDefend, WdNisSvc, SecurityHealthService, SgrmBroker | Where-Object {$_.Status -eq "Running"}

   成功移除后，所有相关服务应显示"已停止"或"不存在"。

2. 注册表验证

   # 检查关键注册表项 Get-ItemProperty "HKLM:\SOFTWARE\Policies\Microsoft\Windows Defender" -Name DisableAntiSpyware

   值应为1，表示Defender已被禁用。

3. 界面验证

   • 打开"设置"应用，导航到"更新和安全" > "Windows安全中心"
   • 页面应显示为空或无法访问
   • 任务栏不再显示安全中心图标

系统性能优化

移除Windows Defender后，可以进一步优化系统性能：

# 禁用不必要的Windows服务 Set-Service wuauserv -StartupType Disabled # Windows更新服务 Set-Service diagtrack -StartupType Disabled # 诊断跟踪服务 Set-Service WdiServiceHost -StartupType Disabled # Windows诊断服务 # 清理Defender残留文件 Remove-Item -Path "C:\ProgramData\Microsoft\Windows Defender" -Recurse -Force -ErrorAction SilentlyContinue Remove-Item -Path "C:\Windows\Temp\MpCmdRun.log" -Force -ErrorAction SilentlyContinue

故障排除与常见问题

权限不足问题

如果遇到"访问被拒绝"错误，使用PowerRun工具提升权限：

PowerRun.exe reg import Remove_Defender\RemoveServices.reg

Windows更新后Defender恢复

系统更新可能恢复部分Defender组件，需要重新应用移除脚本：

:: 重新应用注册表设置 reg import Remove_Defender\RemoveServices.reg reg import Remove_SecurityComp\Remove_SecurityComp.reg :: 重启系统 shutdown /r /t 0

虚拟化安全(VBS)相关问题

如果虚拟化安全功能持续启用，可能是以下原因：

1. Hyper-V或WSL启用

   bcdedit /set hypervisorlaunchtype off

2. Android Studio或Visual Studio集成这些开发工具可能自动启用虚拟化功能

文件删除失败处理

如果某些文件无法删除，可能是被系统锁定：

# 使用PowerRun强制删除 .\PowerRun.exe cmd.exe /c "del /f C:\Windows\System32\drivers\WdFilter.sys"

安全考虑与最佳实践

移除后的安全替代方案

移除Windows Defender后，建议安装第三方安全软件：

1. 商业杀毒软件- 如Norton、McAfee、Bitdefender
2. 轻量级安全工具- 如Malwarebytes、HitmanPro
3. 行为监控软件- 如Process Monitor、Sysinternals Suite

系统监控与日志

即使移除了Defender，仍应保持系统监控：

# 启用系统审核日志 auditpol /set /category:"System" /success:enable /failure:enable # 监控关键系统目录 Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4663} -MaxEvents 10 | Format-Table TimeCreated, Message -AutoSize

定期系统检查

建议定期检查系统安全状态：

# 检查异常服务 Get-Service | Where-Object {$_.StartType -eq "Automatic" -and $_.Status -eq "Running"} | Select-Object Name, DisplayName, Status # 检查异常进程 Get-Process | Where-Object {$_.CPU -gt 50} | Select-Object Name, CPU, WorkingSet | Sort-Object CPU -Descending

结论与建议

通过纯脚本方案移除Windows Defender提供了更高的透明度和可控性，避免了传统EXE工具可能带来的安全风险。三种方案各有优势：

1. 批处理脚本自动化- 适合大多数用户，操作简单
2. PowerShell精细化控制- 适合技术人员，控制粒度细
3. 模块化注册表手动导入- 适合特定需求场景

无论选择哪种方案，都建议：

1. 创建系统还原点- 操作前务必备份
2. 了解移除影响- Defender移除后系统将失去内置保护
3. 安装替代方案- 考虑第三方安全软件
4. 定期系统检查- 监控系统安全状态

项目提供的模块化设计允许用户根据实际需求选择移除程度，从完全移除到部分禁用，提供了灵活的配置选项。对于企业环境或需要严格控制的场景，建议使用模块化方案进行精细控制。

通过本文介绍的纯脚本方案，技术爱好者和系统管理员可以安全、透明地管理Windows Defender，实现系统资源的优化和安全策略的定制化配置。记住，安全永远是第一位的，移除内置安全组件后，确保有适当的安全替代方案保护您的系统。

【免费下载链接】windows-defender-removerA tool which is uses to remove Windows Defender in Windows 8.x, Windows 10 (every version) and Windows 11.项目地址: https://gitcode.com/gh_mirrors/wi/windows-defender-remover