应立即锁定Windows受信任根证书目录文件并禁用自动更新：依次停止wuauserv服务，对authrootstl.cab、disallowedcertstl.cab和disallowedcert.sst设置权限拒绝写入，启用组策略关闭自动根证书更新，并配置注册表DisableRootAutoUpdate与ForceRootLockdown为1以强制拦截非微软签名证书。
当你发现浏览器频繁提示“证书不受信任”、企业内网应用打不开、或安全软件突然失效，很可能是第三方软件擅自修改了Windows受信任的根证书目录（CTL），导致系统信任链被破坏。这种行为常见于某些国产杀毒软件、远程控制工具、或网络代理类程序，它们会在未告知用户的情况下导入自签名根证书，从而劫持HTTPS流量或实施内容过滤。禁止这类修改必须从组策略和文件系统权限两个层面同时加固，否则仅靠卸载软件无法阻止残留进程反复写入。
锁定受信任根证书目录文件
第一步：以管理员身份运行命令提示符，执行以下命令停止Windows更新服务，防止系统在操作中自动同步CTL文件：
net stop wuauserv
第二步：进入系统CTL文件默认存储路径 C:\Windows\System32\catroot2，找到以下关键文件：
authrootstl.cab（微软受信任根证书列表）
disallowedcertstl.cab（已吊销证书列表）
disallowedcert.sst（序列化吊销证书存储）
第三步：右键点击 authrootstl.cab → 属性 → 安全 → 高级 → 禁用继承 → 选择“将继承的权限转换为此对象的显式权限”，然后逐条删除除SYSTEM和Administrators外的所有用户/组条目。最后勾选“拒绝”对“写入”和“修改”的所有权限，点击确定。这一步必须做，否则任何有管理员权限的进程都能覆盖该文件。
第四步：对 disallowedcertstl.cab 和 disallowedcert.sst 重复第三步操作。注意：不要对整个 catroot2 文件夹设权，只锁这三个核心文件——锁太宽会阻断Windows正常更新CTL，锁太松则形同虚设。
禁用第三方证书自动安装策略
方法一：通过组策略彻底关闭自动根证书更新
1. 按 Win+R 输入 gpedit.msc 回车 → 依次展开：计算机配置 → 管理模板 → 系统 → Internet通信管理 → Internet通信设置
2. 双击“关闭Windows更新的自动根证书更新”，设置为【已启用】
3. 重启后，系统将不再从 ctldl.windowsupdate.com 下载并合并新的根证书，第三方软件也无法借道此机制注入证书
方法二：重定向证书更新源至空地址（适用于域环境）
在相同组策略路径下，启用“指定Windows更新的自动根证书更新URL”，将URL设为 http://127.0.0.1（本地回环）。该地址无响应，系统尝试连接超时后即放弃更新，比直接关闭更可控——既防篡改，又保留手动导入证书的能力。
阻止非微软签名证书的系统级安装
这一步针对的是那些绕过组策略、直接调用CertAddCertificateContextToStore API强行写入证书的顽固软件：
1. 打开注册表编辑器（regedit），定位到 HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\SystemCertificates\Root
2. 新建 DWORD（32位）值，名称为 DisableRootAutoUpdate，数值数据设为 1
3. 再新建一个 DWORD 值，名称为 ForceRootLockdown，数值数据也设为 1
【ForceRootLockdown=1 后，任何非微软WHQL签名的根证书都将被系统拒绝加载，即使管理员手动双击安装也会失败】
完成上述注册表修改后，无需重启，立即生效。验证方式：下载任意非微软签名的根证书（如某国产CA发布的.crt文件），双击安装——若弹出“证书导入向导”但最终提示“证书存储区拒绝访问”，说明策略已起效。
