萬盛學電腦網

瀏覽器 Windows 10 WPS Office 防毒軟體 資料庫 Excel 教學 檔案管理 Word 教學 網頁製作 裝機必備軟體 Linux 教學

您现在的位置： 萬盛學電腦網 >> 作業系統 >  >> Windows XP 教學

Windows 軟體限制原則深度解析：規則層級、優先權、環境變數與實戰陷阱

面對層出不窮的惡意軟體、駭客工具、未授權程式，單靠防毒軟體遠不夠。Windows 軟體限制原則 (Software Restriction Policies, SRP) 以群組原則形式，提供基於路徑、雜湊、憑證、網路區域的程式執行控制，是企業端點防禦的關鍵基礎設施。本文系統解析 SRP 核心機制、五大安全等級、規則優先權邏輯、環境變數應用與經典配置陷阱。

一、核心架構：規則識別 + 安全等級執行

SRP 流程：識別程式 → 匹配規則 → 套用安全等級 → 允許/阻擋執行

  • 識別依據四類規則（優先權遞減）：雜湊規則 > 憑證規則 > 路徑規則 > 網路區域規則
  • 預設安全等級：不受限制（允許執行）與 不允許（阻擋執行）
  • 指定檔案類型：預設涵蓋 .exe .dll .bat .cmd .vbs .js .msi .scr .ps1 等 40+ 可執行擴展名，可自訂增減

二、五大安全等級完整權限階層（需註冊表啟用隱藏等級）

預設僅顯示「不受限制」與「不允許」。啟用完整五級：

註冊表路徑：HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers
新建 DWORD：Levels = 0x4131000 (十六進位)
重開 gpedit.msc 即見五級
等級權限描述實際效果
不受限制繼承父進程存取權杖受用戶權限約束，非完全不受限
基本使用者僅擁有「略過遍歷檢查」特權，拒絕管理員權限標準用戶權限，無法寫入系統目錄/註冊表
受限制比基本使用者更嚴格，保留「略過遍歷檢查」受限 SID，無法存取大多數系統資源
不信任禁止存取系統/用戶資源程式無法啟動（進程建立失敗）
不允許無條件阻擋程式執行或檔案開啟最嚴格，任何嘗試直接失敗

權重排序：不受限制 > 基本使用者 > 受限制 > 不信任 > 不允許

三、四類規則深度解析與適用場景

1. 路徑規則 —— 最靈活、最常用、也最易誤用

  • 依檔案/資料夾路徑匹配，支援環境變數（%ProgramFiles%、%SystemRoot%、%UserProfile%）與萬用字元（*、?）
  • 優先權邏輯：絕對路徑 > 萬用字元路徑；檔案名規則 > 目錄規則；目錄層級越深（匹配路徑段越多）優先權越高
  • 衝突處理：同路徑雙規則 → 採用限制性較高者（如 C:\Windows\ 設不允許，%Windir% 設不受限 → 生效不允許）

2. 雜湊規則 —— 最精準、免受路徑/檔名變動影響

  • 依檔案內容計算 SHA-1/MD5 雜湊值，重新命名/移動檔案雜湊不變
  • 適用：鎖定特定已知惡意檔案、核心系統檔案完整性保護
  • 限制：檔案內容任意修改（哪怕 1 bit）雜湊即改變，繞過限制

3. 憑證規則 —— 信任發佈者而非檔案

  • 依代碼簽署憑證匹配，適用腳本、MSI 安裝包（不支援 .exe/.dll）
  • 企業內部簽署所有授權腳本/安裝包，僅允許受信任憑證簽署的程式碼執行

4. 網路區域規則 —— 僅限 Windows Installer 套件

  • 依 IE 區域（網際網路/區域網路/信任網站/受限網站/本機電腦）判斷 MSI 來源信任度
  • 實用性最低，現代瀏覽器下載多不經 IE 區域機制

四、環境變數與萬用字元：兩大實戰陷阱

陷阱一：** 不等於遞迴子目錄

錯誤寫法：%USERPROFILE%\Local Settings\**\*.exe 意圖阻擋 Local Settings 及所有子目錄下的可執行檔。
實測：SRP 中 * 不包含路徑分隔符 \，** 與 * 完全等效。上述規則僅阻擋 Local Settings 第一層子目錄（Temp、Temporary Internet Files、Application Data、History）下的檔案，不含二層及以上子目錄，也不含 Local Settings 本身。
後果：導致安裝程式解壓至 Temp 子目錄的執行檔被阻擋，大量軟體無法安裝。

陷阱二：?:\\autorun.inf 無法阻擋 USB 病毒自動執行

廣為流傳的規則：?:\\autorun.inf 設「不允許」。
實測：雙擊 autorun.inf 確實被阻擋，但病毒仍正常執行。
原因：AutoRun 機制由 Shell 探索處理，非直接執行 autorun.inf。病毒利用 open=malware.exe 或 shell\open\command 指向可執行檔，繞過 .inf 檔案限制。
正確防禦：關閉 AutoRun（註冊表 NoDriveTypeAutoRun = 0xFF）、啟用 AppLocker/WDAC、端點防護軟體行為分析。

五、SRP vs AppLocker vs WDAC：演進與選型

SRP 是「上一代」應用控制技術，但因相容性廣、門檻低，仍廣泛用於 XP/7 環境與簡單封鎖需求。新部署首選 AppLocker（含稽核模式驗證規則），高安全需求直上 WDAC。 理解 SRP 優先權邏輯與陷阱，是避免誤傷業務、繞過防禦的關鍵。

Windows XP 教學排行

推薦文章

萬盛學電腦網| 日本語版 | 設為首頁 | 加入收藏

copyright © 萬盛學電腦網 all rights reserved
技術推出版本核心差異建議場景
SRPXP/Server 2003路徑/雜湊/憑證/區域，使用者模式執行，可繞過舊版相容、簡單路徑封鎖
AppLocker7/Server 2008 R2核心模式執行、支援發佈者/檔案屬性/例外、規則集合、稽核模式企業標準化應用控制（Pro/Enterprise 版）
WDAC (Device Guard)10/Server 2016硬體虛擬化隔離、核心模式強制、簽署原則、不可繞過高安全環境、關鍵基礎設施、不可變工作負載