win11跳过检测代码(Win11避检教程)
267人看过
Windows 11自发布以来，其硬件兼容性检测机制引发了广泛争议。微软通过强制要求TPM 2.0、Secure Boot及特定CPU型号等条件，将大量老旧设备挡在升级门外。尽管官方宣称此举是为了提升安全性，但用户实际需求与技术限制的矛盾催生了“跳过检测代码”的兴起。这类代码通过修改系统检测逻辑或绕过硬件验证，使不合规设备也能安装Windows 11。其本质是用户自主权与厂商安全策略的对抗，既解决了部分设备的升级难题，也带来了系统稳定性、安全性及法律合规性的风险。从技术层面看，绕过检测的核心在于突破UEFI/BIOS层面的硬件校验、篡改安装介质的检测脚本，或利用系统漏洞绕过运行时验证。然而，此类操作可能违反微软的服务协议，且存在数据丢失、功能异常等隐患。
一、绕过检测的技术原理
Windows 11的硬件检测分为安装前（Setup阶段）和安装后（运行时）两个阶段。安装前检测主要依赖Setup.exe程序对TPM、Secure Boot及CPU特性的扫描，而安装后检测则通过内核驱动和系统组件持续验证硬件状态。绕过检测的核心思路包括：
- 篡改安装介质：修改ISO镜像中的setup.wim或sourcesboot.wim文件，删除硬件检测脚本。
- 屏蔽硬件报告：通过UEFI/BIOS设置关闭TPM或Secure Boot检测，或注入虚假硬件信息。
- 利用漏洞绕过：通过未修复的系统漏洞（如驱动加载漏洞）绕过运行时验证。
需注意，不同绕过方法对系统功能的完整性影响差异显著。例如，直接删除检测脚本可能导致部分安全功能缺失，而注入虚假信息可能引发兼容性问题。
二、TPM检测的绕过方法
TPM 2.0是Windows 11最核心的检测项之一。绕过方法可分为三类：
| 方法类型 | 操作难度 | 风险等级 | 兼容性 |
|---|---|---|---|
| TPM模拟工具（如TPM Emulator） | 低（一键注入） | 中（可能被系统更新修复） | 高（支持多数主板） |
| 修改UEFI/BIOS设置 | 中（需进入固件界面） | 高（可能导致固件损坏） | 低（仅适用于支持TPM开关的设备） |
| 注册表劫持（BypassTPMCheck） | 高（需手动定位注册表键） | 极高（系统崩溃概率大） | 低（仅部分版本有效） |
其中，TPM模拟工具通过向系统注入虚拟TPM接口，欺骗安装程序认为硬件符合要求。但该方法可能被后续系统更新识别，导致功能异常。
三、Secure Boot检测的破解路径
Secure Boot的检测逻辑与TPM类似，但破解路径更复杂：
| 破解方式 | 成功率 | 系统完整性 | 可维护性 |
|---|---|---|---|
| 禁用Secure Boot（UEFI设置） | 高（需配合签名驱动） | 中（部分安全功能失效） | 低（重启后可能恢复） |
| 伪造证书（自定义密钥） | 中（需匹配OEM密钥格式） | 低（破坏签名验证链） | 高（需定期更新密钥） |
| 补丁替换法（修改Bootmgr） | 低（依赖特定补丁版本） | 极低（核心启动组件受损） | 极低（兼容性差） |
值得注意的是，禁用Secure Boot会直接导致Windows 11拒绝安装，因此多数方案需结合OEM证书替换或自定义签名驱动才能生效。
四、CPU兼容性检测的规避策略
Windows 11要求CPU支持VBS（虚拟化安全）和Hyper-V特性，但部分旧处理器（如早期Intel酷睿）并不支持。规避方法包括：
| 技术手段 | 适用场景 | 性能影响 | 长期稳定性 |
|---|---|---|---|
| 修改DetectHVKps.exe逻辑 | 安装介质阶段检测 | 无（仅安装时生效） | 中（可能触发系统更新修复） |
| 强制启用VBS模拟 | 运行时功能限制场景 | 高（增加内存占用） | 低（需持续维护模拟状态） |
| 替换CPU微码（高风险） | 固件级兼容性造假 | 极高（可能导致系统蓝屏） | 极低（不可逆操作） |
其中，修改DetectHVKps.exe是较为常见的方案，通过十六进制编辑器跳转检测失败分支，可直接绕过安装阶段限制，但对运行时功能（如沙盒模式）仍有影响。
五、注册表键值的定向修改
Windows 11安装过程中会扫描多个注册表项以验证硬件状态，关键键值包括：
| 注册表路径 | 默认值 | 修改作用 | 关联检测项 |
|---|---|---|---|
| HKLMSYSTEMCurrentControlSetControlDeviceGuardHVCI | Enabled | 禁用VBS检测 | CPU兼容性 |
| HKLMSYSTEMCurrentControlSetControlLsaTpmActivation | Auto | 绕过TPM启动验证 | TPM检测 |
| HKLMSYSTEMSetupOOBESystemIntegrity | 1 | 关闭安全启动检查 | Secure Boot |
需注意，直接修改注册表可能导致系统无法进入桌面，建议在PE环境下操作并备份原始数据。此外，部分键值会被系统更新重置，需配合服务禁用（如Device Guard服务）。
六、OEM密钥与数字许可证的漏洞利用
微软为OEM厂商提供特殊激活密钥，部分绕过方法通过滥用此机制实现：
- 泄露密钥注入：将OEM密钥写入BIOS或UEFI变量，伪装成合法设备。
- 数字许可证劫持：通过KMS服务器伪造激活状态，绕过硬件检测。
- 证书替换攻击：替换安装程序中的CAT根证书，绕过签名验证。
此类方法风险极高，可能触发微软反作弊机制，导致永久封禁激活权限。且密钥泄露事件频发，部分2023年后封装的系统镜像已无法使用此方法。
七、虚拟机与容器环境的适配方案
在虚拟化场景中，Windows 11的检测机制会额外检查宿主机硬件，绕过方法需结合虚拟化特性：
| 虚拟化平台 | 核心限制 | 绕过难点 | 推荐方案 |
|---|---|---|---|
| VMware/VirtualBox | TPM模拟不支持 | 需手动添加虚拟TPM模块 | 启用嵌套虚拟化+TPM 2.0插件 |
| QEMU-KVM | Secure Boot强制校验 | 需自定义EFI启动流程 | 注入OVMF固件+自定义DBX证书 |
| WSL/Containers | 硬件检测白名单 | 需绕过微软RDS限制 | 修改WSL内核参数+禁用HVCI检查 |
虚拟机环境的特殊之处在于，宿主机的硬件信息可能被虚拟机共享或暴露。例如，VMware默认会传递宿主TPM状态至客机，需额外配置才能完全隔离。
跳过检测代码虽能解决硬件限制问题，但潜在风险不容忽视：
| 风险类型 |
|---|
