说明：转贴自雨林木风论坛，原帖地址： 则如果 WindowsUpdate 更新了被保护的系统文件，文件版本发生了变更，安全策略就会阻止他的运行，造成系统出错简而言之就是容易带来兼容性问 题所以一般不使用“新散列规则” 散列规则的制作：在“本地计算机配置”——“windows 设置”——“安全设置”——“软件限制策略”下右键其他规则→新散列规则，在安全级别中选择“不受限的” 注意： 1、路径规则---是不允许的（无论用户的访问权如何，程序都不会运行） 散列规则---是不受限的（程序访问权由用户的访问权来决定） 2、路径规则是用来关门的，任何符合“路径”条件的程序都是不能进来运行的 散列规则是给程序发钥匙的由于散列规则的级别高于路径规则，所以符合散列规则的程序是可以运行的 例如：在正常情况下 c:\windows\system32 目录中只有 14 个后缀名为.COM的程序文件，如果有多的话，很可能就是病毒了我们把系统自带的 14 个.COM程序分别做散列规则，再做一个 c:\windows\system32\*.com 的路径规则这样，那 14 个.COM 程序以外的.COM 程序都不能运行了。
例图：部分设置散列及路径：散列优于路径（散列不受限、路径不允许）一、C:\下的目录散列-----NTDETECT.COM路径-----C:\*.*二、C:\Program Files 下的目录1、C:\Program Files\Common Files\Microsoft Shared\MSInfo 散列-----msinfo32.exe路径-----C:\Program Files\Common Files2、C:\Program Files\Internet Explorer 下散列-----iedw.exe散列-----IEXPLORE.EXE路径-----C:\Program Files\Internet Explorer3、C:\Program Files\WinRAR 下散列-----RarExt.dll散列-----WinRAR.exe路径-----C:\Program Files\WinRAR三、C:\WINDOWS 下的目录windows\里做九个必要的【散列】 【不受限 】 散列【explorer.exe】 路径【EXP??RER.*】散列【hh.exe】 路径【hh.*】 散列【notepad.exe】 路径【n*tepad.*】散列【regedit.exe】 路径【reged*t.*】散列【taskman.exe】 路径【taskman.*】散列【twunk_16.exe】 路径【tw*k_16.exe】散列【twunk_32.exe】 路径【tw*k_32.*】 散列【winhelp.exe】 路径【w*?he*p.*】散列【winhlp32.exe】 路径【w*?h*p32.*】路径 C:\WINDOWS\*.exe路径 C:\WINDOWS\*.*四、C:\WINDOWS\system32 下的目录1、C:\WINDOWS\system32\drivers 路径C:\WINDOWS\system32\config 路径下面两个散列要到这个路径里找 C:\WINDOWS\system32\wbem散列 wmiprvse.exe散列 wmiapsrv.exeC:\WINDOWS\system32\wbem 路径2、C:\windows\system32 下面的后缀为 COM 的 14 个文件：散列 【】【】【】 【】【】【】 【】【 】【】【】【】【】【】【】路径C:\windows\system32\*.com3、C:\windows\SYSTEM32 下木马容易伪装的 EXE 文件 20 个：散列 路径 【csrss.exe】 csr*.*【winlogon.exe】 win*g*.* 【services.exe】 serv*.*【svchost.exe】 svch*t.*【spoolsv.exe】 sp*sv.*【cmd.exe】 cmd.*【notepad.exe】 n*tepad.*【alg.exe】 a?g.*【conime.exe】 c*n*me.*【dllhost.exe】 dllh*st.*【dxdiag.exe】 dxd*.*【progman.exe】 pr*gman.*【regedt32.exe】 regedt32.*【runas.exe】 runa*.*【taskmgr.exe】 task*.*【user.exe】 use?.*【sndvol32.exe】 sndv*.*【lsass.exe】 lsas*.*【smss.exe】 smss.*【rundll32.exe】 rund*.*一个散列做一个路径附部分路径规则和散列规则制作表：00 散列 不受限的 NTDETECT.COM01 路径不允许的 %USERPROFILE%\桌面\*.*禁止当前用户桌面上所有文件的运行02 路径不允许的 %USERPROFILE%\Local Settings\Temp\*.* 禁止当前用户临时文件目录下,不含子目录,所有文件的运行03 路径不允许的 %USERPROFILE%\Local Settings\Temporary Internet Files\*.*禁止当前用户临时文件目录下,不含子目录,所有文件的运行04 路径 不允许的 *.BAT禁止任何路径下的批处理文件运行05 路径不允许的 *.SCR禁止任何路径下的.scr（屏幕保护）文件运行06 路径 不允许的 C:\*.*禁止 C:\根目录下所有文件的运行07 路径 不允许的 C:\Program Files\*.*此目录下不应有可执行文件！禁止此级目录下,不含子目录 ,所有文件的运行08 路径 不允许的 C:\Program Files\Common Files\*.*此目录下不应有可执行文件！禁止此级目录下,不含子目录 ,所有文件的运行09 路径不允许的 C:\WINDOWS\Temp\*.* 禁止 WINDOWS 临时文件目录下,不含子目录,所有文件的运行10 路径不允许的 C:\WINDOWS\Config\*.* 此目录下不应有可执行文件！禁止此级目录下,不含子目录 ,所有文件的运行11 路径不允许的 C:\WINDOWS\system32\*.LOG 此级目录下不应该有后缀名为 LOG 的文件12 路径不允许的 C:\WINDOWS\system32\drivers\*.* 此目录下不应有可执行文件！禁止此级目录下,不含子目录 ,所有文件的运行13 路径不允许的 C:\WINDOWS\Downloaded Program Files\*.* 禁止 WINDOWS 临时文件目录下,不含子目录,所有文件的运行 IE 限制策略 路径 1 散列 314 路径 不允许的 C:\Program Files\Internet Explorer\*.* 此目录下只有以下 3 个文件。
禁止 IE 目录下,不含子目录, 所有文件的运行15 散列 不受限的 HMMAPI.DLL (6.0.3790.1830) 所在位置:C:\Program Files\Internet Explorer, 赋予 HMMAPI.DLL 可运行权限,此文件为 ie 运行时需调用的动态链接库文件16 散列 不受限的 IEDW.EXE (5.2.3790.2732) 所在位置:C:\Program Files\Internet Explorer, 赋予 IEDW.EXE 可运行权限, 这个是微软新加的 IE 崩溃检测程序，当 IE 运行中崩溃时，插件以及崩溃管理系统将分析崩溃时都运行了那些插件，并提交给用户17 散列 不受限的 IEXPLORE.EXE (6.0.3790.1830) 所在位置:C:\Program Files\Internet Explorer, 赋予 IEXPLORE.EXE 可运行权限,这是 Microsoft Internet Explorer 的主程序这不是纯粹的系统程序，但是如果终止它，可能会导致不可知的问题SYSTEM32 目录下容易被木马伪装的 EXE 路径 20 散列 2018 路径 不允许的 CSRSS.* 阻止任何目录下的伪装成系统文件 csrss.exe 程序的运行19 散列 不受限的 CSRSS.EXE (5.2.3790.0) 所在位置:C:\WINDOWS\system32,csrss.exe 是系统的正常进程。
是核心部分，客户端服务子系统，用以控制图形相关子系统系统中只有一个 CSRSS.EXE 进程，若以上系统中出现两个(其中一个位于 Windows 文件夹中)，则是感染了 Trojan.Gutta 或 W32.Netsky.AB@mm 病毒20 路径 不允许的 LSASS.* 阻止任何目录下的伪装成系统文件 LSASS.EXE 程序的运行21 散列 不受限的 LSASS.EXE (5.2.3790.0) 所在位置:C:\WINDOWS\system32,lsass.exe 是一个系统进程，用于微软 Windows 系统的安全机制它用于本地安全和登陆策略lsass.exe 也有可能是 Windang.worm、irc.ratsou.b、Webus.B 、MyDoom.L、Randex.AR 、Nimos.worm创建的，病毒通过软盘、群发邮件和 P2P 文件共享进行传播 22 路径 不允许的 RUND??32.* 阻止任何目录下的伪装成系统文件 RUNDLL32.EXE 程序的运行23 散列 不受限的 RUNDLL32.EXE (5.2.3790.1830) 所在位置:C:\WINDOWS\system32,Rundll32 为了需要调用 DLLs 的程序24 路径 不允许的 SMSS.* 阻止任何目录下的伪装成系统文件 SMSS.EXE 程序的运行25 散列 不受限的 SMSS.EXE (5.2.3790.1830) 所在位置:C:\WINDOWS\system32,SMSS.EXE 进程为会话管理子系统用以初始化系统变量，负责启动用户会话。
这个进程是通过系统进程初始化的并且对许多活动的包括已经正在运行的 Winlogon，Win32（Csrss.exe ）线程和设定的系统变量作出反映在启动这些进程后，它等待 Winlogon 或者 。