组策略之软件限制策略完全教程.docx

1、组策略之软件限制策略完全教程组策略工具是系统自带的一款强大管理软件，却往往被人所忽视，我现在介绍一下它其他用户用你装的QQ，游戏啊之类的，的一个小小的功能，让它来帮我们禁止指定程序的运行。比如你不想让设置得当，还可以防止病毒呢。点击“开始”“运行” 输入gpedit.msc 后回车，就打开了“组策略”点选左边的“windows设置”“安全设置”“软件限制策略”“其他规则” 然后在右边的窗口中右击，选择“新路径规则” attachment=30628 attachment=30629把要限制的软件的地址添加进来即可。知道了原理,破解网吧的限制你也就会了吧?在网吧的电脑上, 只要打开组策略,把里面

2、的限制路径晴空就可以无所限制,任你访问了.禁用指定的文件类型 2009-08-04 信息来源：瑞安免费信息网 视力保护色： 【大 中 小】【打印本页】【关闭窗口】 在日常工作中，系统中的很多文件都可能给系统带来威胁，比如SHS、MSI、BAT、CMD、COM、EXE等程序文件类型。其实我们完全可以利用系统的组策略功能，来禁用这些危险的文件类型。 这样操作不但可以保证系统的安全，而且不会影响系统的正常运行。这里假设我们要禁用批处理格式BAT文件，不让系统运行BAT格式的文件，具体的策略组设置方法如下： 第一步：首先点击开始菜单中的“运行”命令，输入“gpedit.msc”打开组策略。接着点击“计

3、算机配置Windows设置安全设置软件限制策略”，然后在弹出的右键菜单上选择“创建软件限制策略”，即可生成“安全级别”、“其他规则”、“强制”、“指派的文件类型”、“受信任的出版商”等选项。 第二步：双击“指派的文件类型”选项，在弹出的“指派的文件类型属性”窗口，将“指定的文件类型”列表中将其他的文件全部删除，只留下BAT文件类型。如果还有其他的文件类型要禁用，可以再次打开这个窗口，在“文件扩展名”空白栏里输入要禁用的文件类型，将它添加上去。 第三步：双击“安全级别”中的“不允许的”选项，在弹出的“不允许的属性”窗口中，点击“设为默认值”按钮。然后注销系统或者重新启动系统，此策略即可生效。以后

4、再运行BAT文件时，系统就会出现提示“由于一个软件限制策略的阻止，Windows无法打开此程序”。 为了避免“软件限制策略”将系统管理员也限制，我们可以双击“强制”选项，在弹出的窗口选择“除本地管理员以外的所有用户”。如果用的是文件类型限制策略，此选项可以确保管理员有权运行被限制的文件类型，而其他用户无权运行。 第四步：如果用户要取消此软件限制策略的话，双击“安全级别”中的“不受限的”选项，在弹出的“不受限的属性”窗口中，点击“设为默认值”按钮即可。 其实用户鼠标右键点击“软件限制策略其他规则”，就会看到它可以建立新证书规则、新散列规则、新Internet区域规则、新路径规则等策略，利用这些规

5、则我们可以让系统更加安全。 比如利用“新路径规则”可以为电子邮件程序用来运行附件的文件夹创建路径规则，并将安全级别设置为“不允许的”，以防止电子邮件病毒。 理论部分：1.软件限制策略的路径规则的优先级问题2.在路径规则中如何使用通配符3.规则的权限继承问题4.软件限制策略如何实现3D部署（配合访问控制，如NTFS权限），软件限制策略的精髓在于权限，部署策略同时，往往也需要学会设置权限规则部分：5.如何用软件限制策略防毒（也就是如何写规则）6.规则的示例与下载其中，1、2、3点是基础，很多人写出无效或者错误的规则出来都是因为对这些内容没有搞清楚；第4点可能有点难，但如果想让策略有更好的防护效果并

6、且不影响平时正常使用的话，这点很重要。如果使用规则后发现有的软件工作不正常，请参考这部分内容，注意调整NTFS权限理论部分软件限制策略包括证书规则、散列规则、Internet 区域规则和路径规则。我们主要用到的是散列规则和路径规则，其中灵活性最好的就是路径规则了，所以一般我们谈到的策略规则，若没有特别说明，则直接指路径规则。或者有人问：为什么不用散列规则？散列规则可以防病毒替换白名单中的程序，安全性不是更好么？一是因为散列规则不能通用，二是即使用了也意义不大 防替换应该要利用好NTFS权限，而不是散列规则，要是真让病毒替换了系统程序，那么再谈规则已经晚了一.环境变量、通配符和优先级关于环境变量

7、（假定系统盘为 C盘） %USERPROFILE%表示 C:Documents and Settings当前用户名 %HOMEPATH% 表示 C:Documents and Settings当前用户名%ALLUSERSPROFILE%表示 C:Documents and SettingsAll Users%ComSpec%表示 C:WINDOWSSystem32cmd.exe %APPDATA%表示 C:Documents and Settings当前用户名Application Data %ALLAPPDATA%表示 C:Documents and SettingsAll UsersApp

8、lication Data %SYSTEMDRIVE% 表示 C:%HOMEDRIVE% 表示 C:%SYSTEMROOT%表示 C:WINDOWS %WINDIR% 表示 C:WINDOWS %TEMP% 和 %TMP%表示 C:Documents and Settings当前用户名Local SettingsTemp %ProgramFiles%表示 C:Program Files %CommonProgramFiles%表示 C:Program FilesCommon Files 关于通配符：Windows里面默认* ：任意个字符（包括0个），但不包括斜杠? ：1个或0个字符几个例子*W

9、indows 匹配 C:Windows、D:Windows、E:Windows 以及每个目录下的所有子文件夹。C:win* 匹配 C:winnt、C:windows、C:windir 以及每个目录下的所有子文件夹。*.vbs 匹配 Windows XP Professional 中具有此扩展名的任何应用程序。C:Application Files*.* 匹配特定目录（Application Files）中的应用程序文件，但不包括Application Files的子目录关于优先级:总的原则是:规则越匹配越优先1.绝对路径 通配符全路径 如 C:Windowsexplorer.exe *Wind

10、owsexplorer.exe2.文件名规则 目录型规则 如若a.exe在Windows目录中，那么 a.exe C:Windows3.环境变量 = 相应的实际路径 = 注册表键值路径如 %ProgramFiles% = C:Program Files = %HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionProgramFilesDir%4.对于同是目录规则，则能匹配的目录级数越多的规则越优先 对于同是文件名规则，优先级均相同5.散列规则比任何路径规则优先级都高6.若规则的优先级相同，按最受限制的规则为准举例说明，例如cmd的全路

11、径是 C:Windowssystem32cmd.exe那么，优先级顺序是：绝对路径(如C:Windowssystem32cmd.exe) 通配符全路径(如*Windows*cmd.exe) 文件名规则(如cmd.exe) = 通配符文件名规则(如*.*) 部分绝对路径(不包含文件名，如 C:Windowssystem32 )=部分通配符路径（不包含文件名，如C:*system32 ） C:Windows=*注：1. 通配符 * 并不包括斜杠 。例如*WINDOWS 匹配 C:Windows，但不匹配 C:SandboxWINDOWS2. * 和 * 是完全等效的，例如 *abc = *abc3

12、. C:abc*可以直接写为 C:abc 或者 C:abc，最后的* 是可以省去的，因为软件限制策略的规则可以直接匹配到目录。4. 软件限制策略只对“指派的文件类型”列表中的格式起效。例如 *.txt 不允许的，这样的规则实际上无效，除非你把TXT格式也加入“指派的文件类型”列表中。而且默认不对加载dll进行限制，除非在“强制”选项中指定： 5. * 和 *.* 是有区别的，后者要求文件名或路径必须含有“.”，而前者没有此限制，因此，*.* 的优先级比 * 的高6. ?:* 与 ?:*.* 是截然不同的，前者是指所有分区下的每个目录下的所有子文件夹，简单说，就是整个硬盘；而 ?:*.* 仅包括

13、所有分区下的带“.”的文件或目录，一般情况下，指的就是各盘根目录下的文件。那非一般情况是什么呢？请参考第7点7. ?:*.* 中的“.” 可能使规则范围不限于根目录。这里需要注意的是：有“.”的不一定是文件，可以是文件夹。例如 F:ab.c，一样符合 ?:*.*，所以规则对F:ab.c下的所有文件及子目录都生效。8.这是很多人写规则时的误区。首先引用组策略软件限制策略规则包编写之菜鸟入门（修正版）里的一段：4、如何保护上网的安全 在浏览不安全的网页时，病毒会首先下载到IE缓存以及系统临时文件夹中，并自动运行，造成系统染毒，在了解了这个感染途径之后，我们可以利用软件限制策略进行封堵 %SYSTE

14、MROOT%tasks*.* 不允许的 （这个是计划任务，病毒藏身地之一） %SYSTEMROOT%Temp*.* 不允许的 %USERPROFILE%Cookies*.* 不允许的 %USERPROFILE%Local Settings*.* 不允许的（这个是IE缓存、历史记录、临时文件所在位置）说实话，上面引用的部分不少地方都是错误的先不谈这样的规则能否保护上网安全，实际上这几条规则在设置时就犯了一些错误例如：%USERPROFILE%Local Settings*.*不允许的可以看出，规则的原意是阻止程序从Local Settings（包括所有子目录）中启动现在大家不妨想想这规则的实际作

15、用是什么？先参考注1和注2，* 和* 是等同的，而且不包含字符“”。所以，这里规则的实际效果是 “禁止程序从Local Settings文件夹的一级子目录中启动”，不包括Local Settings根目录，也不包括二级和以下的子目录。现在我们再来看看Local Settings的一级子目录有哪些：Temp、Temporary Internet Files、Application Data、History。阻止程序从Temp根目录启动，直接的后果就是很多软件不能成功安装那么，阻止程序从Temporary Internet Files根目录启动又如何呢？实际上，由于IE的缓存并不是存放Tempor

16、ary Internet Files根目录中，而是存于Temporary Internet Files的子目录Content.IE5的子目录里（-_-|），所以这种写法根本不能阻止程序从IE缓存中启动，是没有意义的规则若要阻止程序从某个文件夹及所有子目录中启动，正确的写法应该是：某目录* 某目录* 某目录 某目录9. ?:autorun.inf 不允许的这是流传的所谓防U盘病毒规则，事实上这条规则是没有作用的，关于这点在 关于各种策略防范U盘病毒的讨论 已经作了分析二.软件限制策略的3D的实现：“软件限制策略通过降权实现AD，并通过NTFS权限实现FD，同时通过注册表权限实现RD，从而完成3D

17、的部署”对于软件限制策略的AD限制，是由权限指派来完成的，而这个权限的指派，用的是微软内置的规则，即使我们修改“用户权限指派”项的内容（这个是对登陆用户的权限而言），也无法对软件限制策略中的安全等级进行提权。所以，只要选择好安全等级，AD部分就已经部署好了，不能再作干预而软件件限制策略的FD和RD限制，分别由NTFS权限、注册表权限来完成。而与AD部分不同的是，这样限制是可以干预的，也就是说，我们可以通过调整NTFS和注册表权限来配置FD和RD，这就比AD部分要灵活得多。小结一下，就是AD用户权利指派（内置的安全等级）FDNTFS权限RD注册表权限先说AD部分，我们能选择的就是采用哪种权限等级

18、，微软提供了五种等级：不受限的、基本用户、受限的、不信任的、不允许的。不受限的，最高的权限等级，但其意义并不是完全的不受限，而是“软件访问权由用户的访问权来决定”，即继承父进程的权限。基本用户，基本用户仅享有“跳过遍历检查”的特权，并拒绝享有管理员的权限。受限的，比基本用户限制更多，也仅享有“跳过遍历检查”的特权。不信任的，不允许对系统资源、用户资源进行访问，直接的结果就是程序将无法运行。不允许的，无条件地阻止程序执行或文件被打开很容易看出，按权限大小排序为 不受限的 基本用户 受限的 不信任的 不允许的其中，基本用户 、受限的、不信任的 这三个安全等级是要手动打开的具体做法：打开注册表编辑器

19、，展开至HKEY_LOCAL_MACHINESOFTWAREPoliciesMicrosoftWindowsSaferCodeIdentifiers新建一个DWORD值，命名为Levels，其值可以为0x10000 /增加受限的0x20000 /增加基本用户0x30000 /增加受限的，基本用户0x31000 /增加受限的，基本用户，不信任的设成0x31000（即4131000）即可如图：或者将下面附件中的reg双击导入注册表即可再强调两点：1.“不允许的”级别不包含任何FD操作。你可以对一个设定成“不允许的”文件进行读取、复制、粘贴、修改、删除等操作，组策略不会阻止，前提当然是你的用户级别拥

20、有修改该文件的权限2.“不受限的”级别不等于完全不受限制，只是不受软件限制策略的附加限制。事实上，“不受限的”程序在启动时，系统将赋予该程序的父进程的权限字，该程序所获得的访问令牌决定于其父进程，所以任何程序的权限将不会超过它的父进程。权限的分配与继承:这里的讲解默认了一个前提：假设你的用户类型是管理员。在没有软件限制策略的情况下，很简单，如果程序a启动程序b，那么a是b的父进程，b继承a的权限现在把a设为基本用户，b不做限制（把b设为不受限或者不对b设置规则效果是一样的）然后由a启动b，那么b的权限继承于a，也是基本用户，即:a（基本用户）- b（不受限的） = b（基本用户）若把b设为基本

21、用户，a不做限制，那么a启动b后，b仍然为基本用户权限，即a（不受限的）- b（基本用户） = b（基本用户）可以看到，一个程序所能获得的最终权限取决于：父进程权限 和 规则限定的权限 的最低等级，也就是我们所说的最低权限原则举一个例：若我们把IE设成基本用户等级启动，那么由IE执行的任何程序的权限都将不高于基本用户级别，只能更低。所以就可以达到防范网马的效果即使IE下载病毒并执行了，病毒由于权限的限制，无法对系统进行有害的更改，如果重启一下，那么病毒就只剩下尸体了。甚至，我们还可以通过NTFS权限的设置，让IE无法下载和运行病毒，不给病毒任何的机会。FD：NTFS权限* 要求磁盘分区为NTF

22、S格式 *其实Microsoft Windows 的每个新版本都对 NTFS 文件系统进行了改进。NTFS 的默认权限对大多数组织而言都已够用。注：设置前请先在“文件夹选项”中取消选中“使用简单文件共享（推荐）”NTFS权限的分配1.如果一个用户属于多个组，那么该用户所获得的权限是各个组的叠加2.“拒绝”的优先级比“允许”要高例如：用户A 同时属于Administrators和Everyone组，若Administrators组具有完全访问权，但Everyone组拒绝对目录的写入，那么用户A的实际权限是：不能对目录写入，但可以进行除此之外的任何操作高级权限名称 描述 （包括了完整的FD和部分A

23、D）遍历文件夹/运行文件（遍历文件夹可以不管，主要是“运行文件”，若无此权限则不能启动文件，相当于AD的运行应用程序）允许或拒绝用户在整个文件夹中移动以到达其他文件或文件夹的请求，即使用户没有遍历文件夹的权限（仅适用于文件夹）。列出文件夹/读取数据允许或拒绝用户查看指定文件夹内文件名和子文件夹名的请求。它仅影响该文件夹的内容，而不影响您对其设置权限的文件夹是否会列出（仅适用于文件夹）。读取属性 （FD的读取）允许或拒绝查看文件中数据的能力（仅适用于文件）。读取扩展属性允许或拒绝用户查看文件或文件夹属性（例如只读和隐藏）的请求。属性由 NTFS 定义。创建文件/写入数据 （FD的创建）“创建文件

24、”允许或拒绝在文件夹中创建文件（仅适用于文件夹）。“写入数据”允许或拒绝对文件进行修改并覆盖现有内容的能力（仅适用于文件）。创建文件夹/追加数据“创建文件夹”允许或拒绝用户在指定文件夹中创建文件夹的请求（仅适用于文件夹）。“追加数据”允许或拒绝对文件末尾进行更改而不更改、删除或覆盖现有数据的能力（仅适用于文件）。写入属性 （即改写操作了，FD的写）允许或拒绝用户对文件末尾进行更改，而不更改、删除或覆盖现有数据的请求（仅适用于文件）。即写操作写入扩展属性允许或拒绝用户更改文件或文件夹属性（例如只读和隐藏）的请求。属性由 NTFS 定义。删除子文件夹和文件 （FD的删除）允许或拒绝删除子文件夹和文

25、件的能力，即使子文件夹或文件上没有分配“删除”权限（适用于文件夹）。删除 （与上面的区别是，这里除了子目录及其文件，还包括了目录本身）允许或拒绝用户删除子文件夹和文件的请求，即使子文件夹或文件上没有分配“删除”权限（适用于文件夹）。读取权限 （NTFS权限的查看）允许或拒绝用户读取文件或文件夹权限（例如“完全控制”、“读取”和“写入”）的请求。更改权限 （NTFS权限的修改）允许或拒绝用户更改文件或文件夹权限（例如“完全控制”、“读取”和“写入”）的请求。取得所有权 允许或拒绝取得文件或文件夹的所有权。文件或文件夹的所有者始终可以更改其权限，而不论用于保护该文件或文件夹的现有权限如何。以基本用

26、户为例，基本用户能做什么？在系统默认的NTFS权限下，基本用户对系统变量和用户变量有完全访问权，对系统文件夹只读，对Program Files的公共文件夹只读，Document and Setting下，仅对当前用户目录有完全访问权，其余不能访问关于基本用户的相关详细介绍，请看这里：如果觉得以上的限制严格了或者宽松了，可以自行调整各个目录和文件的NTFS权限。如果发现浏览器在基本用户下无法使用某些功能的，很多都是由NTFS权限造成的，可以尝试调整对应文件或文件夹的NTFS权限NTFS权限的调整基本用户、受限用户属于以下组UsersAuthenticated UsersEveryoneINTER

27、ACTIVE调整权限时，主要利用到的组为 Users为什么是Users组？因为调整Users的权限可以限制基本用户、受限用户，但却不会影响到管理员，这样就既保证了使用基本用户的安全性和管理员帐户下的操作的方便性例：对用户变量Temp目录进行设置，禁止基本用户从该目录运行程序，可以这样做：首先进入“高级”选项，取消勾选“从父项继承那些可以应用到子对象的权限项目，包括那些在此明确定义的项目(I)”然后设置Users的权限如图然后把除Administrators、Users、SYSTEM之外的所有组都删除之这样基本用户下的程序就无法从Temp启动文件了注意：1. 不要使用“拒绝”，不然管理员权限下的

28、程序也会受影响2. everyone组的权限适用于任何人、任何程序，故everyone组的权限不能太高，至少要低于Users组其实利用NTFS权限还可以实现很多功能又例如，如果想保护某些文件不被修改或删除，可以取消Users的删除和写入权限，从而限制基本用户，达到保护重要文件的效果当然，也可以防止基本用户运行指定的程序以下为微软建议进行限制的程序：regedit.exearp.exeat.exeattrib.execacls.exedebug.exeedlin.exeeventcreate.exeeventtriggers.exeftp.exenbtstat.exenet.exenet1.ex

29、enetsh.exenetstat.exenslookup.exentbackup.exercp.exereg.exeregedt32.exeregini.exeregsvr32.exerexec.exeroute.exersh.exesc.exesecedit.exesubst.exesysteminfo.exetelnet.exetftp.exetlntsvr.exeRD部分：注册表权限。由于微软默认的注册表权限分配已经做得很好了，不需要作什么改动，所以这里就直接略过了三.关于组策略规则的设置：规则要顾及方便性，因此不能对自己有过多的限制，或者最低限度地，即使出现限制的情况，也能方便地进行排除规则要顾及安全性，首先要考虑的对象就是浏览器等上网类软件和可移动设备所带来的威胁。没有这种防外能力的规则都是不完整或者不合格的基于文件名防病毒、防流氓的规则不宜多设，甚至可以舍弃。一是容易误阻，二是病毒名字可以随便改，特征库式的黑