银河麒麟系统需组合策略禁用未知来源软件：先清空KYSEC执行白名单并设为deny_all，再禁用文件管理器执行检测、重置.deb默认应用为软件商店、重定向.sh脚本至拒绝程序。
银河麒麟系统默认启用安全执行控制机制，对未签名或非官方源的软件安装包和可执行脚本会弹出KYSEC授权提示，但该机制在部分场景下可能被绕过或未生效，需通过组合策略彻底禁止未知来源软件的安装与运行。
关闭KYSEC执行控制白名单自动授权
默认情况下，用户点击“始终允许”后，KYSEC会将该路径永久加入可信白名单，后续执行不再拦截。必须禁用此行为才能阻止未知来源软件反复运行。
第一步：打开终端，执行命令查看当前执行控制策略状态：
kysec_get -n exectl -p
第二步：若输出中包含verified或trusted值，说明已有路径被授信。需清空全部执行白名单：
sudo kysec_set -n exectl -x /
第三步：禁止用户自行添加白名单——修改KYSEC配置文件锁定策略：
sudo nano /etc/kysec/kysec.conf
在文件末尾添加一行：exectl_policy=deny_all
【此设置不可逆，修改后普通用户将完全无法通过图形界面添加任何执行白名单】
禁用软件商店以外的安装入口
图形界面双击.deb/.sh等文件是未知来源软件最常见运行路径，需从源头封堵。
方法一：屏蔽文件管理器（Peony）的可执行文件识别
执行命令禁用执行检测模块：
gsettings set org.mate.peony.preferences executable-text-activation 'never'
方法二：移除所有非商店安装器的桌面权限
执行命令重置默认应用关联：
xdg-mime default org.kylinos.SoftwareCenter.desktop application/x-deb
方法三：强制重定向.sh脚本调用至拒绝程序
创建拦截脚本：
sudo tee /usr/local/bin/reject-sh #!/bin/sh
echo "ERROR: Execution of unknown shell scripts is disabled by system policy." >&2
exit 126
EOF
sudo chmod +x /usr/local/bin/reject-sh
再执行：
sudo update-alternatives --install /usr/bin/sh sh /usr/local/bin/reject-sh 100 --slave /usr/bin/bash bash /usr/local/bin/reject-sh
锁定APT源并清除第三方仓库
未知来源软件常通过手动添加第三方APT源引入，必须清理并锁定源列表防止复现。
① 备份原始sources.list：
sudo cp /etc/apt/sources.list /etc/apt/sources.list.bak
② 清空所有非官方源：
sudo sed -i '/^deb\|^#.*kylin\|^#.*cs2c/d' /etc/apt/sources.list
③ 仅保留银河麒麟官方基础源（以SP3为例）：
echo "deb https://update.cs2c.com.cn/NS/V10/V10SP3/os/adv/lic/base/$(uname -m)/ /" | sudo tee /etc/apt/sources.list
④ 锁定文件防篡改：
sudo chattr +i /etc/apt/sources.list
【执行chattr +i后，任何用户（含root）都无法编辑该文件，除非先执行chattr -i】
停用系统级脚本解释器自动调用
即使没有执行权限，攻击者仍可能通过bash script.sh或python3 payload.py方式绕过限制，需切断解释器对非白名单路径的响应。
执行以下命令，使系统拒绝为非/usr/bin/、/usr/local/bin/、/opt/目录下的脚本提供解释器服务：
sudo nano /etc/bash.bashrc
在文件末尾添加：
if [[ "$PWD" != "/usr/bin" && "$PWD" != "/usr/local/bin" && "$PWD" != "/opt"* ]]; then<br> if [[ "$1" == *.sh || "$1" == *.py || "$1" == *.pl ]]; then<br> echo "Permission denied: Script execution from current directory is blocked." >&2<br> exit 126<br> fi<br>fi
保存后，所有新打开的终端将立即生效该限制。
