核心武器：軟體限制政策——路徑規則

Windows XP Professional / 2000 / 2003 內建 軟體限制政策（secpol.msc → 軟體限制政策 → 其他規則 → 新增路徑規則），可依**檔案路徑/檔名/通配符**設定三種安全等級：**不受限制 / 基本用戶 / 不允許**。**無需安裝第三方軟體、無常駐進程、核心層生效**，是單機/工作組環境的「輕量級應用程式白名單/黑名單」。

實戰五大經典規則集

1. 封殺「陰暗角落」的可執行檔

病毒愛藏在：回收站、系統還原區、驅動程式目錄、System32 非標準位置。正常情況下這些資料夾**不應有任何可執行檔運行**。

路徑規則	安全等級	說明
?:\RECYCLER\*	不允許	NTFS 系統回收站（每用戶一個 SID 子目錄）
?:\RECYCLED\*	不允許	FAT32 系統回收站
?:\System Volume Information\*	不允許	系統還原儲存區
%windir%\system32\drivers\*	不允許	驅動目錄不應有 EXE 運行
%windir%\system\*	不允許	Win9x/Me 系統目錄

通配符說明：? = 單一磁碟機代號；* = 任意字元；%windir% = 系統目錄環境變數（跨分區自適應）。

2. 免疫「進程偽裝」：同名不同路徑

病毒常偽裝 svchost.exe、explorer.exe 放入非系統目錄。利用**優先級規則**：**具體路徑規則 > 檔名規則**。

路徑規則	安全等級	優先級
svchost.exe	不允許	低（僅匹配檔名）
%windir%\system32\svchost.exe	不受限制	高（完整路徑）

結果：系統目錄下真 svchost.exe 正常運行，其他任何目錄的 svchost.exe **直接被攔截無法啟動**。同理可套用至 lsass.exe、csrss.exe、winlogon.exe 等關鍵系統進程名。

3. 封殺「雙擴展名」欺騙

路徑規則	安全等級
*.jpg.exe	不允許
*.txt.exe	不允許
*.mp3.exe	不允許
*.pdf.exe	不允許
*.doc.exe	不允許

用戶以為是圖片/文檔，實為可執行檔。**一條規則徹底杜絕此類社工偽裝**。

4. 不禁用 USB/光碟，只禁用其上可執行檔

假設 USB/光碟機代號為 G:, I:（建議多加幾個：F, G, H, I, J, K）。

路徑規則	安全等級	備註
G:\*.exe	不允許	需安裝軟體時暫改「不受限制」
G:\*.com	不允許	舊式可執行檔
I:\*.exe	不允許	光碟同理
I:\*.com	不允許

**進階**：USB 病毒常在根目錄建立 RECYCLER/System Volume Information 偽裝資料夾，規則 1 已自動覆蓋。

5. 徹底切斷 FSO (FileSystemObject) 自動複製能力

病毒/蠕蟲大量使用 Scripting.FileSystemObject (FSO) 進行自我複製/傳播。

1. Win+R → regedit。
2. 定位 HKEY_CLASSES_ROOT\Scripting.FileSystemObject。
3. 重命名為 Scripting.FileSystemObject_old（或刪除）。
4. 重啟電腦。**所有依賴 FSO 的惡意腳本/程式瞬間失效**。
5. 副作用：合法腳本 (VBS/JS/ASP) 也無法使用 FSO → 需時可暫時改回。

進階：啟用隱藏的「基本用戶」安全等級

預設只有「不受限制/不允許」。啟用「基本用戶」（介於管理員與受限用戶間，類似 Vista UAC 中等權限）可實現**最小權限運行 IE/瀏覽器**，防止網頁掛馬修改系統設定、寫入啟動項、植入臨時檔案。

1. regedit → HKLM\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers。
2. 新建 DWORD Levels = 131072 (十進位)。
3. 註銷/重啟 → secpol.msc → 安全等級下拉選單多出「基本用戶」。

實戰：給 IE 加盾

配合：IE 歷史記錄保存天數設為 0、禁用 ActiveX 自動下載、啟用「保護模式」(IE7+ Vista+)。

應用規則生效命令

每次新增/修改規則後，執行：

gpupdate /force

或重新登入，使組策略立即生效。

避坑與維護提醒

• 不可修改/刪除 系統預設的四條「登錄表規則」，否則系統崩潰。
• 誤封合法程式：遇到「應用程式無法啟動」，檢查路徑規則是否過寬，調整為更精確路徑或暫設「不受限制」。
• 定期審核：每月檢視路徑規則清單，移除過時項目，新增新發現的惡意路徑模式。
• 配合 Applocker (Win7 Enterprise/Ultimate+) 或 WDAC (Win10/11)：新版 Windows 提供更強大的應用程式控制機制，建議升級並遷移策略。

結語

**軟體限制政策 = 零成本、零開銷、核心級的應用程式防火牆**。五大規則集覆蓋了 90% 以上常見木馬/病毒/流氓軟體的落地執行路徑。對於無法部署 EDR/AppLocker 的中小企業、網吧、教學機房、個人舊機器，**配置好這套規則 + 關閉 AutoRun + 修補漏洞 + 強密碼 + 定期備份**，即可構建極高性價比的防禦體系。安全不在貴，在於「懂原理、會配置、勤維護」。

路徑規則	安全等級	效果
%ProgramFiles%\Internet Explorer\iexplore.exe	基本用戶	IE 以受限權限運行，無法寫入 HKLM、System32、Program Files、啟動項；網頁掛馬/ActiveX 惡意代碼落地無權執行