如何禁用 USB 存储设备

通过组策略及注册表如何禁用USB设备

还没有休完假，就接到头的电话，说要在办公室里部分机器上，禁用USB设备，唉，命苦啊，不得

不开始实验过程，还好，我有二台台式的，二台手提，可供做实验，不然，死翘翘了。这些是废话，

可略过不看也！！

1、USB设备是使用USB接口的，在网上找了下，得知它使用如下两个配置文件或是注册表文件，

usbstor.inf和usbstor.png。注册表文件是:
Windows 2000下
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\usbhub
或是
winxp ,win2k3下
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\usbstor

2、清楚了USB的配置文件或是注册表中的位置就好说了，下面就分两种方法来完成禁用USB设备的目

的，一是通过组策略使用户禁用这两个配置文件，一是通过注册表。

以下两种实验均在WINDOWS 2003实验通过

通过组策略，当然，这个要应用在域环境中了，而且要保证，没有使用过USB设备的（注册表文件里

会有变化的）嘿嘿。

如下图，在管理工具�D�D域安全策略�D�D计算机配置�D�DWINDOWS设置�D�D安全设置�D�D文件系统，

单击右键�D�D添加文件或文件夹。找到c:\windows\inf\usbstor.inf 和usbstor.pnf，并添加之

[url=http://fang.prain.net/img/winusb/1.jpg][img]http://fang.prain.net/img/winusb/1.jpg[/img][/url]

[url=http://fang.prain.net/img/winusb/2.jpg][img]http://fang.prain.net/img/winusb/2.jpg[/img][/url]
然后，确定，会弹出一个对话框，这可是重要步骤，通过此，设定不同用户对此的访问级别，当然，

这里选拒绝了，你可以根据实际情况选择不同的用户组对这两个文件的拒绝权限。如下图

[url=http://fang.prain.net/img/winusb/3.jpg][img]http://fang.prain.net/img/winusb/3.jpg[/img][/url]

确定，OK，会弹出以下的窗口，当然，还是确定，不过，如果上一步你没有做的话，可以在此重新设

定不同用户组的访问权限的哟（点编辑安全设置按钮）！确定，便可以了，等域组策略刷新后，就会

生效了。

[url=http://fang.prain.net/img/winusb/4.jpg][img]http://fang.prain.net/img/winusb/4.jpg[/img][/url]

如果，使用过了USB设备了，（或者不是域控怎么办？）呵呵，当然是通过注册表键值来搞定了！

找到键值所在的注册表位置，HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\usbhub

（2000系统下）或HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\usbstor（XP or 2K3

）
，在对应的usbhub（或USBSTOR）分支右边子窗口中，双击一下“Start”键值，在弹出的数值设置窗

口中，检查一下其中的数字是多少，如果是4，表明该计算机的USB端口使用权限已经被限制起来了;

如果是3，表明该计算机的USB端口使用权限已经被启用起来了，这里确保是4！！！

[url=http://fang.prain.net/img/winusb/5.jpg][img]http://fang.prain.net/img/winusb/5.jpg[/img][/url]

如下：
Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR]
"Type"=dword:00000001
"Start"=dword:00000004
"ErrorControl"=dword:00000001
"ImagePath"=hex(2):73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,44,00,\
  52,00,49,00,56,00,45,00,52,00,53,00,5c,00,55,00,53,00,42,00,53,00,54,00,4f,\
  00,52,00,2e,00,53,00,59,00,53,00,00,00
"DisplayName"="USB 大容量存储驱动程序"

重启机器吧，就可以了。

另注，如果是想省些功夫，可以通过组策略来分发启动脚本的方式来达到禁用的目的！各位去试吧！

如果是几台独立服务器或是PC机，也可以直接设置c:\windows\inf\usbstor.inf 和usbstor.pnf这两

个文件的权限的！！
如果较多独立服务器或是PC机的，干脆就做个注册表文件，提供他们下载，导入就行了！！嘿嘿，要

重启才能生效！

如何禁用 USB 存储设备

察看本文应用于的产品

文章编号	:	823732
最后修改	:	2005年6月3日
修订	:	3.1

重要说明：本文包含了有关修改注册表的信息。修改注册表之前，一定要先进行备份，并且一定要知道在发生问题时如何还原注册表。有关如何备份、还原和修改注册表的更多信息，请单击下面的文章编号，以查看 Microsoft 知识库中相应的文章：

256986 ([url]http://support.microsoft.com/kb/256986/[/url]) Microsoft Windows 注册表说明

.toc{display: none;}

概要

本文讨论两种可用于防止用户连接 USB 存储设备的方法。

回到顶端

禁用 USB 存储设备

要禁用 USB 存储设备，请根据您的具体情况使用下面的一个或多个步骤：

如果计算机上尚未安装 USB 存储设备

如果计算机上尚未安装 USB 存储设备，请向用户或组分配对下列文件的“拒绝”权限：

•	%SystemRoot%\Inf\Usbstor.pnf
•	%SystemRoot%\Inf\Usbstor.inf

这样，用户将无法在计算机上安装 USB 存储设备。 要向用户或组分配对 Usbstor.pnf 和 Usbstor.inf 文件的“拒绝”权限，请按照下列步骤操作：

1.	启动 Windows 资源管理器，然后找到 %SystemRoot%\Inf 文件夹。
2.	右键单击“Usbstor.pnf”文件，然后单击“属性”。
3.	单击“安全”选项卡。
4.	在“组或用户名称”列表中，单击要为其设置“拒绝”权限的用户或组。
5.	在“UserName or GroupName 的权限”列表中，单击以选中“完全控制”旁边的“拒绝”复选框，然后单击“确定”。 注意：此外，还需将系统帐户添加到“拒绝”列表中。
6.	右键单击“Usbstor.inf”文件，然后单击“属性”。
7.	单击“安全”选项卡。
8.	在“组或用户名称”列表中，单击要为其设置“拒绝”权限的用户或组。
9.	在“UserName or GroupName 的权限”列表中，单击以选中“完全控制”旁边的“拒绝”复选框，然后单击“确定”。

如果计算机上已经安装了 USB 存储设备

警告：注册表编辑器或其他方法使用不当可能导致严重问题。这些问题可能需要重新安装操作系统。Microsoft 不能保证您可以解决这些问题。修改注册表需要您自担风险。 如果计算机上已经安装了 USB 存储设备，请将以下注册表项中的“Start”值设置为 4：

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\UsbStor

这样，当用户将 USB 存储设备连接到计算机时，该设备将无法运行。要设置“Start”的值，请按照下列步骤操作：

1.	单击“开始”，然后单击“运行”。
2.	在“打开”框中，键入 regedit，然后单击“确定”。
3.	找到并单击下面的注册表项： HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\UsbStor
4.	在右窗格中，双击“Start”。
5.	在“数值数据”框中，键入 4，单击“十六进制”（如果尚未选中），然后单击“确定”。
6.	退出注册表编辑器。

回到顶端

请与您的 USB 设备供应商联系，以咨询有关新驱动程序的相关情况。有关如何与 USB 设备供应商联系的信息，请单击下面列表中适当的文章编号，以查看 Microsoft 知识库中相应的文章：

65416 ([url]http://support.microsoft.com/kb/65416/[/url]) 硬件和软件供应商联系信息，A-K

60781 ([url]http://support.microsoft.com/kb/60781/[/url]) 硬件和软件供应商联系信息，L-P

60782 ([url]http://support.microsoft.com/kb/60782/[/url]) 硬件和软件供应商联系信息，Q-Z