Windows 11 如何禁止第三方软件修改系统 Hosts 文件

Hosts 文件被第三方软件偷偷改写，这事在 Windows 11 上并不少见。广告拦截工具、优化大师、甚至某些恶意浏览器插件，都可能在不经你同意的情况下修改它。后果呢？本地开发环境突然失效、DNS 被劫持、隐私泄露——这些都不是危言耸听。要从源头切断非法写入通道，最狠的一招就是直接剥夺权限。

锁定 hosts 文件写入权限

这一步的目标很明确：直接剥夺除 TrustedInstaller 和管理员外所有进程的修改能力。这是目前防篡改最有效的手段，没有之一。

先打开文件资源管理器，在地址栏粘贴 C:\Windows\System32\drivers\etc，然后按回车进入目录。

找到 hosts 文件，右键 → “属性” → 切换到“安全”选项卡 → 点击“高级”按钮。

在“高级安全设置”窗口中，点击“禁用继承”。弹出提示时，选择“从此对象中删除所有已继承的权限” → 点击“确定”。

这时列表里只剩下几条原始权限项。逐个选中除 TrustedInstaller 和你当前登录的管理员账户外的所有条目（比如 SYSTEM、Users、Everyone），点击“删除” → 每删一条都确认一下。

关键操作来了：双击你自己的管理员账户条目 → 在“权限条目”窗口中，只勾选“读取”和“读取和执行”，绝对不要勾选“写入”“修改”“完全控制” → 点击“确定”保存。

添加系统级只读属性与隐藏保护

光靠 ACL 权限还不够稳。有些低权限进程仍然可能绕过去，所以需要叠加文件系统属性防护。

回到 hosts 文件“属性”窗口 → “常规”选项卡 → 勾选“只读”和“隐藏” → 点击“应用”。

如果系统提示“你需要提供管理员权限才能更改此文件夹的属性”，点击“继续” → 输入管理员密码或确认 UAC 提示。

做完这一步，普通程序调用 CreateFile 或 WriteFile API 时，会直接返回 ERROR_ACCESS_DENIED——连打开写句柄都会失败，从根本上堵死了写入路径。

用命令行彻底固化保护（可选但推荐）

图形界面操作虽然方便，但有些后台服务可能会把它重置回去。用管理员 PowerShell 执行以下命令，保护更彻底，不可逆。

以管理员身份运行 Windows Terminal（PowerShell）。

依次执行以下两条命令：

attrib +r +a +s +h C:\Windows\System32\drivers\etc\hosts

icacls C:\Windows\System32\drivers\etc\hosts /inheritance:r /grant:r "NT SERVICE\TrustedInstaller:(F)" /grant:r "%USERNAME%:(R)"

注意：第二条命令中的 %USERNAME% 会自动替换为你当前用户名，无需手动修改；执行后如果提示“处理成功”，说明权限已经强制锁定，以后任何第三方软件想动它，门都没有。