Windows Defender恢复终极指南：3种方案重建完整系统安全防线（附自检清单）

【免费下载链接】windows-defender-removerA tool which is uses to remove Windows Defender in Windows 8.x, Windows 10 (every version) and Windows 11.项目地址: https://gitcode.com/gh_mirrors/wi/windows-defender-remover

某天你打开电脑，点开 Windows 安全中心，发现实时保护开关是灰色的、扫描选项全被禁用、WinDefend 服务停在 1068 错误——你的 Windows Defender 悄悄"失联"了。如果你用过 windows-defender-remover 这类移除工具，或者被一次失败的移除操作、系统更新搞坏了组件，这篇文章正是为你准备的：3 种由浅入深的 Windows Defender 恢复方案，附 30 秒症状自检、踩坑预警与效果验证清单，帮你把系统安全防线完整重建回来。

30 秒自检：你的系统属于哪一级损坏？

先别急着动手，花 30 秒对照下表，判断自己属于哪种情况，再跳到对应的方案。

💡 拿不准？直接按"等级从重到轻"排查：先查有没有还原点，再查有没有注册表备份，最后才考虑手工重建。判定命令见下文第 1 步。

核心机制"白话版"：先把 Defender 想象成一栋安保房

把 Windows Defender 想成一栋配了保安的房子，恢复原理立刻清楚：

• 注册表是房子的设计图纸——记录服务如何启动、策略如何生效、病毒库注册信息在哪；
• WinDefend 服务是门口的保安——负责把防病毒引擎（MsMpEng.exe）真正拉起来；
• 引擎文件、驱动、DLL是保安手里的工具；
• 计划任务是巡逻班表——决定什么时候自动扫描、更新病毒库。

移除工具做的事，相当于同时撕图纸、辞保安、没收工具、撤掉巡逻班表。而恢复就是逆向操作：有图纸就照图重画（方案A），没图纸就重新雇保安配工具（方案B），实在不行就把整栋房子回滚到装修前的快照（方案C）。

方案总览与决策：先选路，再动手

决策顺序一句话：有还原点 → 选 C；没还原点但有注册表备份 → 选 A；两者都没有 → 选 B，必要时用 SFC/DISM 辅助兜底。

分步实操：从诊断到恢复的 6 步完整流程

第 1 步 定位损坏等级：先跑一轮"体检命令"

为什么要做：恢复动作必须对症下药，先搞清楚缺的是配置、服务还是文件，避免白折腾。

:: 检查核心服务状态（是缺失、停止还是禁用） sc query WinDefend sc query wscsvc :: 检查引擎进程是否存活 tasklist | findstr MsMpEng :: 检查注册表主键是否还在 reg query "HKLM\SOFTWARE\Microsoft\Windows Defender" :: 检查防病毒计划任务是否被撤掉 schtasks /query /tn "\Microsoft\Windows\Windows Defender"

第 2 步 方案A：用注册表备份做"快照还原"（轻度损坏）

为什么要做：注册表是 Defender 的"启动配置说明书"，说明书被撕了，用备份重新贴回去是最快的浅层修复。

:: 1) 先备份当前（已损坏）状态，方便后悔时回退 reg export "HKLM\SOFTWARE\Microsoft\Windows Defender" Defender_broken.reg :: 2) 导入移除前导出的备份文件（文件名按你的实际备份改） reg import DefenderBackup.reg

⚠️诚实提醒：注册表法依赖"移除前的备份"。项目 Remove_Defender/ 目录里的.reg文件是删除配置用的，方向正好相反，千万别把它们当成"恢复文件"导入。没有备份就跳过本步，直接走方案B。

第 3 步 方案B：重建 WinDefend 核心服务（中度损坏）

为什么要做：服务是 Defender 的"门卫"，岗位被撤了，就用sc命令把岗位重新立起来。

sc create WinDefend binPath= "C:\Program Files\Windows Defender\MsMpEng.exe" type= share start= auto sc description WinDefend "Windows Defender Antivirus Service" :: 重建两个关键依赖服务 sc create WdNisSvc binPath= "C:\Program Files\Windows Defender\NisSrv.exe" type= share start= auto sc create Sense binPath= "C:\Program Files\Windows Defender Advanced Threat Protection\MsSense.exe" type= share start= auto :: 尝试拉起主服务 sc start WinDefend

第 4 步 方案B 续：找回文件、驱动并重新注册 DLL（文件缺失时）

为什么要做：门卫上任也得有工具。下面这些文件被移除后必须从另一台正常系统复制回来，再重新注册 DLL 让系统"认识"它们。

C:\Program Files\Windows Defender\MsMpEng.exe C:\Program Files\Windows Defender\NisSrv.exe C:\Windows\System32\drivers\WdFilter.sys C:\Windows\System32\mpclient.dll C:\Windows\System32\wdscore.dll

:: 重新注册两个关键 DLL（/s 表示静默执行） regsvr32 /s C:\Windows\System32\mpclient.dll regsvr32 /s C:\Windows\System32\wdscore.dll

第 5 步 方案C：系统还原点兜底（重度损坏）

为什么要做：当注册表和文件层面已被大面积破坏时，手工逐个恢复既慢又容易漏，不如直接回滚到"移除前"的系统快照，一次性还原所有组件。

1. 按Win + R输入rstrui.exe打开系统还原；
2. 选择"选择不同的还原点"，勾选"显示更多还原点"；
3. 挑一个早于移除时间的还原点，确认并等待自动重启。

如果找不到可用还原点，用系统自带的修复工具做一次"体检式修复"：

:: 扫描并修复系统文件（需管理员权限） sfc /scannow :: 修复系统映像，为 sfc 提供健康的文件源 DISM /Online /Cleanup-Image /RestoreHealth

🔧 进阶提示：如果你经常需要在多台机器上恢复环境，可以借助项目的 ISO_Maker 模块制作"预配置 ISO"（自动集成恢复/移除配置的安装镜像），详见 ISO_Maker/README.md。

第 6 步 重启并完成首轮验证

为什么要做：服务、驱动和注册表改动必须重启才能完整生效，别指望"不重启就立刻好"。

:: 立即重启 shutdown /r /t 0

重启后再跑一次sc query WinDefend，确认服务状态变为RUNNING，然后进入下面的效果验证清单逐项核对。

踩坑预警：新手最容易犯的 5 个错误

1. 把"移除专用 .reg"当成"恢复文件"导入——Remove_Defender目录下的注册表文件全部是删除/禁用配置用的，方向相反；恢复靠的是移除前导出的备份或重建，不是导入这些文件。
2. 没开管理员权限就执行命令——sc、reg写入操作必须右键"以管理员身份运行"命令行，否则满屏"拒绝访问"。
3. 没先关闭"篡改防护"（Tamper Protection）——Windows 的 Intelligence Update 会拦截对 Defender 的修改；操作前先到安全中心把篡改防护关掉，否则命令执行了也会被"打回原形"。
4. 不建还原点、不备份就开搞——恢复操作本身也有失败概率，动手前务必先建一个还原点或导出注册表，给自己留退路。
5. 忽略组策略残留——若"关闭 Microsoft Defender 防病毒"策略被设成"已启用"，服务再正常实时保护也起不来，恢复后必须去组策略里改回"未配置"。

效果验证清单：逐条确认 Defender 真正"复活"

长期维护与 FAQ：高频疑问一网打尽

Q1：下载的 Defender Remover 可执行文件被杀毒软件报毒，是病毒吗？这是误报。项目说明中明确指出，.exe的打包方式容易触发安全软件告警；改用 git 方式拉取源码（git clone https://gitcode.com/gh_mirrors/wi/windows-defender-remover）或下载源码压缩包，通常就不会报毒。

Q2：恢复之后，Windows 更新又把 Defender 弄坏了，怎么办？Windows 更新会附带 Intelligence Update，它专门拦截并修改 Defender 相关策略。请先关闭篡改防护，再重新执行恢复操作。

Q3：既没有还原点也没有注册表备份，还能救吗？可以。走方案B（重建服务 + 找回文件 + 重新注册 DLL），再用sfc /scannow与DISM兜底；如果依然失败，最后的手段是用 Windows 安装介质做"修复安装"（保留文件与设置原地重装）。

Q4：恢复成功后，还能再用这个工具移除 Defender 吗？可以，但强烈建议在移除前先创建系统还原点，否则下次恢复时要重复上面整套流程。

Q5：恢复后实时保护依然是灰色，最常见的原因是什么？九成是组策略残留：运行gpedit.msc→ 计算机配置 → 管理模板 → Windows 组件 → Microsoft Defender 防病毒，把"关闭 Microsoft Defender 防病毒"设为"未配置"，再重启。

日常维护建议：每月跑一次Get-MpComputerStatus自查；定期用reg export "HKLM\SOFTWARE\Microsoft\Windows Defender"导出备份；如需长期锁定安全配置，可用组策略启用"防止修改 Windows Defender 注册表设置"，避免误操作再次移除核心组件。

写在最后

恢复 Windows Defender 本质上只有三个动作：找回配置（方案A）、重建服务（方案B）、回滚快照（方案C）——选对路径，你就能把这条系统安全防线完整找回来。现在就去运行第 1 步的体检命令，判断自己的损坏等级，然后照着对应方案动手吧。

【免费下载链接】windows-defender-removerA tool which is uses to remove Windows Defender in Windows 8.x, Windows 10 (every version) and Windows 11.项目地址: https://gitcode.com/gh_mirrors/wi/windows-defender-remover