《书到用时方恨少,鞋里有垫才不硌脚——组策略之软件限制策略终极禁运规则》由会员分享，可在线阅读，更多相关《书到用时方恨少,鞋里有垫才不硌脚——组策略之软件限制策略终极禁运规则（25页珍藏版）》请在金锄头文库上搜索。
1、引言引言说原创稍有担当不起.而且这标题起的太玩世不恭了，各位愿意揍就揍吧= =、其实本人觉得这个比喻还是比较恰当的，上网好比走路，需要有个安全快捷的方式，方可酣畅淋漓；走路需要一双好鞋，配双好鞋垫才能步步为营乐不思蜀，当然了，也有的，也就是穿拖鞋或者光脚的，正是所谓的让脚趾自由舒展同时伴随着精神上的无限自由.其实开这个帖子我犹豫了很长很长的时间，一来现在 HIPS 的讨论都和最新的安防软件有关，新兴的 HIPS 软件如雨后春笋般雀跃不已，不幸的是，组策略的帖子寥寥无几，发这个帖子有点炒冷饭的嫌疑；二来坛子里高手众多，本人水平也处于才疏学浅，说的不好难免贻笑大方误人子弟，但算来算去最近倒是有些新
2、人也常问一些相关问题，无奈迟迟找不到答案，翻置顶的帖子还束手无措，所以作为禁运党，本着 BT 的人人为我我为人人的精神，在感觉这个规则日渐成熟的情况下，就有义务把它挖掘整理出来，方便使用。先啰嗦下，如果各位上网时所做的只有单纯的听歌看电影，玩单机游戏，泡论坛，下资料等一些无需美化的简单操作，那么这个规则还比较适用，而且防护效果算是理想，不过往下看一定要仔细，每部分都有需要注意的地方，我没有把这些都融合到一起去写，那样反而不过往下看一定要仔细，每部分都有需要注意的地方，我没有把这些都融合到一起去写，那样反而觉得乱，找不到源头觉得乱，找不到源头；如果喜欢折腾软件或进行一些复杂操作，那么还请仔细斟酌
3、或到此戛然而止干脆不看，还是那句话，安全性越高，可操作性越低，反之亦然。=你看到一条分割线=正文正文本路径路径规则适用 Windows XP，系统盘默认 C 盘，老鸟远观。欲全面了解软件限制策略作用流程请看此帖=传送门传送门拜读了置顶组策略相关帖子可以说阅读上面推荐的这个别的软件限制教程大可以粗略阅读即可，所要做的就是学习下他人规则的巧妙性来达到举一反三触类旁通，适当多搜索一些关键字、多翻翻老帖，温故而知新（这十分重要）适当多搜索一些关键字、多翻翻老帖，温故而知新（这十分重要） 。本策略是在大众化的规则里新加了一些更为严厉的策略，力求做到日常使用不耽误，恶意程序无法执行的特点，所谓终极禁运。不
4、过作为软件限制策略的科普文，气流的帖子已经集大成之所在，让我好生觊觎，在此也就不再赘述，唯一需要特殊强调几点的就是原文里需要重点看的，精简并无耻的引用下：首先需要做的：打开注册表编辑器，展开至HKEY_LOCAL_MACHINESOFTWAREPoliciesMicrosoftWindowsSaferCodeIdentifiers新建一个 DWORD 值，命名为 Levels，设成 0x31000（即 4131000）即可。或者直接导入附件里的注册表文件 safer.rar (279 Bytes, 下载次数: 508) 1.环境变量环境变量%SystemDrive%表示 C:%AllUsers
5、Profile%表示 C:Documents and SettingsAll Users%UserProfile%表示 C:Documents and Settings当前用户名%AppData%表示 C:Documents and Settings当前用户名Application Data%Temp% 和 %Tmp%表示 C:Documents and Settings当前用户名Local SettingsTemp%ProgramFiles%表示 C:Program Files%CommonProgramFiles%表示 C:Program FilesCommon Files%WinDir%
6、表示 C:WINDOWS%ComSpec%表示 C:WINDOWSsystem32cmd.exe2.通配符通配符* ：任意个字符（包括 0 个） ，但不包括斜杠。? ：1 个或 0 个字符。3.优先级优先级总的原则是：规则越匹配越优先。.绝对路径 通配符全路径 如 C:Windowsexplorer.exe *Windowsexplorer.exe .文件名规则 目录型规则 如若 a.exe 在 Windows 目录中，那么 a.exe C:Windows.环境变量 = 相应的实际路径 = 注册表键值路径如 %ProgramFiles% = C:Program Files = %HKEY_LO
7、CAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionProgramFilesDir%.对于同是目录规则，则能匹配的目录级数越多的规则越优先；对于同是文件名规则，优先级均相同。.若规则的优先级相同，按最受限制的规则为准。举例：绝对路径(如 C:Windowssystem32cmd.exe) 通配符全路径(如*Windows*cmd.exe) 文件名规则(如 cmd.exe) = 通配符文件名规则(如*.*) 部分绝对路径(不包含文件名，如 C:Windowssystem32 ) = 部分通配符路径（不包含文件名，如 C:*system32 ） C:W
8、indows = *4.模板范例模板范例根目录规则： 某目录* + 某目录*目录规则（包含目录中所有文件）： 某目录* 或某目录或某目录含“*”的目录规则： 某目录*（注意要加上斜杠“”）文件型规则： a.exe 、*.com 等绝对路径规则： 如 C:Windowsexplorer.exe全局型规则： *5.其他需要注意的其他需要注意的.软件限制策略只对“指派的文件类型”列表中的格式起效。.*.* 的优先级比 * 的高，有“.”的不一定是文件，也可以是文件夹。.一个程序所能获得的最终权限取决于：父进程权限和规则限定的权限的最低等级，也就是我们所说的最低权限原则。.如果一个用户属于多个组，那么
9、该用户所获得的权限是各个组的叠加；“拒绝”的优先级比“允许”要高，尽量不要使用“拒绝”，不然管理员权限下的程序也会受影响。everyone 组的权限适用于任何人、任何程序，故 everyone 组的权限不能太高，至少要低于 Users 组。另外提醒一下，在设置规则时，注意要考虑以下 4 条系统默认规则的影响（可以考虑删除）：%HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionSystemRoot% 路径 不受限的 %HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVers
10、ionSystemRoot%*.exe 路径 不受限的 %HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionSystemRoot%System32*.exe 路径 不受限的%HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionProgramFilesDir% 路径 不受限的相当于规则：%SystemRoot% 不受限的 整个 Windows 目录不受限%SystemRoot%*.exe 不受限的 Windows 下的 exe 文件不受限%SystemRoot%Syst
11、em32*.exe 不受限的 System32 下的 exe 文件不受限%ProgramFiles% 不受限的 整个 ProgramFiles 目录不受限关于规则，我不一一列举说明，把一些图片发上来，配合里面的策略简单的介绍下，如果各位对此规则还比较感兴趣，不妨感受一下。注：因规则的修复和更新，所以截图若与规则有出入，请按规则为准。注：因规则的修复和更新，所以截图若与规则有出入，请按规则为准。一、插件、双后缀和一、插件、双后缀和 U 盘盘策略里添加了一些最常见的一些恶意插件的免疫（注意排除 foobar 以防被*bar*.*误伤） ，当然完全靠它来防插件的话是防不全的，还是建议安装防护软件建议
12、安装防护软件，组策略的作用虽然强大，但不代表可以不安装防护软件。把快播列为恶意插件，是因为 XX 播放器实在太多= =、至于 vagaa，某些版本运行是会在系统盘根目录释放可疑文件，深有体会防双后缀扩展名病毒有新增，对比原规则更加严厉，唯一的问题是禁止*.?.exe 会导致一些刚下载软件包无法安装（如TheWorld_3.1.3.9.exe） ，解决办法很简单，改名就成了。二、系统程序和目录的降权二、系统程序和目录的降权管制系统盘程序，这个没有太大的不同，改写环境变量成%WinDir%，排版看起来更直观，查找更方便。三、用户程序的降权三、用户程序的降权限制常用程序的访问令牌，基本用户策略里调整
13、了一些用户群较大的浏览器，并添加了一些压缩管理器、阅读工具（防止恶意捆绑） 、下载工具（防止直接从下载工具里安装软件感染恶意程序） 、翻译工具、聊天工具（防文件传输恶意程序）和邮件客户端，有其他需要的可以另行添加。四、高危文件和系统危险进程四、高危文件和系统危险进程禁了绝大多数通常用不上的系统程序。前面的禁止打开危险文件总觉得写的有点牵强，不过有些小网站下来的软件，不管是封装的还是绿色自解压的，都会起一些诱惑你去点击的文件名（后缀多为.bat，.reg） ，小则篡改主页，大则中毒瘫痪，所以上面的几条有时候还是可以派上用处的（reg 等后缀只是防止被误打开，但可以通过 Win+R 调用的方式导入
14、） ；另外我本想把 verclsid 和 mshta 给处理掉，无奈写完规则后发现搜索功能无法使用，控制面板里的账户也无法切换，于是便索性禁了 hta，于是又想，一不做二不休，脚本也禁= =、五、系统危险目录五、系统危险目录禁系统目录同上，没有太大的更改和细分。建议把 IE 缓存（Temporary Internet Files）还有其他浏览器的临时文件目录转移到其他磁盘目录，比如 D:Temp（?:T?mp 不允许来禁止从缓存启动程序）一来缩小 C 盘空间占用，二来减少磁盘碎片的增加以便提高运行速度。但不管怎么设置，%Temp%和%Tmp%可不受限，但 Temporary Internet
15、Files 必须不允许，二者最好不要混放同一目录以防发生冲突。六、伪装系统进程相关六、伪装系统进程相关禁止伪装系统进程，多少能起一部分作用，主流规则黑名单、样本区样本、网络相关资料皆韦编三绝。作为常见的，算是比较全的了吧，伪装系统进程的名字我写的比较严厉，可自行更改。七、伪装系统文件（夹）相关七、伪装系统文件（夹）相关文件（夹）病毒仿佛牛仔裤，不是每年都流行，但基本随处可见。伪装系统文件和文件夹的规则也不多赘述，同样是希望能起一些作用。八、特殊目录和用户自定义目录八、特殊目录和用户自定义目录?:Installer 为可安装软件的文件夹，可以建立在每个盘符的根目录下，?:Program Files* 是给一些安装软件不喜欢放在系统盘里的同学准备的，?:Game* 和?:Study* 归为游戏与学习类文件存放目录，有玩有学，寓教于乐，劳逸结
