感謝fonlan的原創(chuàng)投遞
在互聯(lián)網(wǎng)越來越普及的今天，互聯(lián)網(wǎng)安全問題日益嚴(yán)重，木馬病毒橫行網(wǎng)絡(luò)。大多數(shù)人會選擇安裝殺毒軟件和防火墻，不過殺毒軟件對病毒反應(yīng)的滯后性使得他心有 余而力不足，只有在病毒已經(jīng)造成破壞后才能被發(fā)現(xiàn)并查殺。在這種情況下，HIPS（主動防御系統(tǒng)）軟件越來越流行，依靠設(shè)定各種各樣的規(guī)則來限制病毒木馬 的運行和傳播，由于HIPS是基于行為分析的，這使得它對未知病毒依然有效，不過軟件兼容性問題也比普通的殺毒軟件要嚴(yán)峻的多。網(wǎng)絡(luò)上有一種人，他們不裝任何殺毒軟件和防火墻，自由奔走在互聯(lián)網(wǎng)上，稱之為“裸奔”族。不過他們也分許多不同的種類，有的是電腦不設(shè)任何防護，也不放任 何重要資料，一旦中毒就重裝系統(tǒng)；而另一種則是依托Windows系統(tǒng)本身的安全機制來抵御病毒的入侵，顯然這種方法要可靠的多。
其實大多數(shù)人都忽略了Windows系統(tǒng)本身的功能，認(rèn)為Windows弱不禁風(fēng)。其實只要設(shè)置好，Windows就是非常強大的安全防護軟件。這篇文章 的主角就是WindowsXP Pro里自帶的安全策略功能。打開安全策略很簡單，直接雙擊控制面板管理工具里的本地安全策略即可，這里我們重點講其中的軟件限制策略。
正如其名，這里可以限制軟件的運行，至于如何限制，那就要看你的策略怎么定了。如果以前未設(shè)置過安全策略，那么在軟件限制策略上右鍵新建策略后會出現(xiàn)下級菜單：
其他地方我們都不用管，其它規(guī)則才是由我們發(fā)揮的地方，這里規(guī)則制定的好壞直接關(guān)系到你的電腦的安全程度。點擊其他策略，我們可以看到微軟已經(jīng)幫我們預(yù)設(shè)了4條規(guī)則（如下圖）
這4條規(guī)則是用來保證Windows運行所必須的程序不會被禁用而設(shè)的，如果你確定你的規(guī)則沒有問題，這四條規(guī)則刪掉也沒有問題。接下去在其他規(guī)則上右鍵，
在彈出的右鍵菜單里，我們主要用到的是“新路徑規(guī)則”，偶爾也可以用“新散列規(guī)則”，具體有何區(qū)別將在下面分別講述。現(xiàn)在我們點擊“新路徑規(guī)則”，出現(xiàn)如下窗口：
我們主要在路徑那一欄里做文章。 這里允許使用通配符，常見的有“*”和“？”，*表示任意個字符，？表示一個字符。也允許使用環(huán)境變量，常見的文件夾環(huán)境變量有：
（以下以XP默認(rèn)裝在C盤例舉）
%ALLUSERSPROFILE% 表示 C:\Documents and Settings\All Users
%APPDATA% 表示 C:\Documents and Settings\當(dāng)前用戶名\Application Data
%SYSTEMDRIVE% 表示 C:
%SYSTEMROOT% 和 %WINDIR% 表示 C:\WINDOWS
%TEMP% 和 %TMP% 表示 C:\Documents and Settings\當(dāng)前用戶名\Local Settings\Temp
%USERPROFILE% 表示 C:\Documents and Settings\當(dāng)前用戶名
%ProgramFiles% 表示 C:\Program Files
在定義規(guī)則的時候我們可以使用絕對路徑，也可以用通配符或者環(huán)境變量，甚至可以直接使用要禁止運行的程序的程序名。而這里就涉及到一個優(yōu)先級的問題了。按微軟的規(guī)定：絕對路徑>使用通配符的路徑>文件名。
下面我通過實例來講規(guī)則的建立：
實例1：進程仿冒是木馬病毒用的最多的一個手段，比如病毒文件名為svchost.exe，而這個病毒文件在windows文件夾下或其他任意文件夾下 （真正的svchost.exe文件在system32文件夾下），病毒運行時XP默認(rèn)的任務(wù)管理器里只會顯示進程名為svchost.exe，而XP本 來就有很多個svchost.exe進程，這就很好地達到了欺騙用戶的目的。普通殺毒軟件還是得依托單一的病毒庫，一旦換了個新病毒用同樣的手法他就不認(rèn) 了，安全性很差。而用本地安全策略可以很簡單的永久免疫這種方式的病毒，我們建立兩條規(guī)則：
svchost.exe 不允許的
%windir%\system32\svchost.exe 不受限的
由 于優(yōu)先級的關(guān)系，第二條使用絕對路徑的規(guī)則優(yōu)先級高于第一條基于文件名的路徑，也就是說system32文件夾下的svchost.exe是允許運行的， 而其他任意文件夾的名字為svchost.exe的程序都無法運行。由于svchost.exe是系統(tǒng)文件，病毒不可能替換它?？梢钥吹?，這兩條規(guī)則完美 地解決了這個問題，以后只要是使用相同手法的病毒或木馬都無法運行，達到了防毒的效果。
實例2：很多病毒木馬為逃過用戶的追殺都會藏在很隱蔽的地方，比如回收站、System Volume Information（系統(tǒng)還原文件夾）、C:\WINDOWS\system32\Drivers文件夾、C:\WINDOWS\system文件夾 等等，并且加上隱藏屬性使用戶不易發(fā)覺。而事實上，這些文件夾正常情況下是沒有任何可執(zhí)行程序的，所以我們可以建立以下規(guī)則：
:\Recycled\*.* 不允許的
:\System Volume Information\*.* 不允許的
%windir%\system32\Drivers\*.* 不允許的
%windir%\system\*.* 不允許的
通過以上4條規(guī)則就能屏蔽掉這4個文件夾下任意可執(zhí)行文件的運行，再一次完美地解決了這一類型的病毒和木馬的防御。放心，用*.*這種格式并不會屏蔽掉txt或者jpg之類的其他非可執(zhí)行程序。
實例3：用雙擴展名迷惑用戶的病毒也不在少數(shù)。比如MM.jpg.exe，免費得QQ會員的方法.txt.exe等等，然后圖標(biāo)改成前一個擴展名的圖標(biāo)，由于大多數(shù)用戶都是XP的默認(rèn)設(shè)置，隱藏已知擴展名的，所以這些病毒文件是很有誘惑力的，防御他們也不難：
*.jpg.exe 不允許的
*.txt.exe 不允許的
這是兩條很容易理解的規(guī)則，我就不多做解釋了。
實例四：優(yōu)盤病毒是現(xiàn)在木馬病毒使用的最廣的傳播方式，一般的方法是安裝殺毒軟件或?qū)ｉT的防USB病毒工具，那么用系統(tǒng)安全策略是否也能做到免疫呢？答案是不能做到100%防御，但能達到90%以上，規(guī)則看下面：
（假設(shè)你電腦上第一個優(yōu)盤的盤符是G）
G:\*.exe 不允許的
G:\*.com 不允許的
利用的就是幾乎所有的USB病毒都存在在優(yōu)盤的根目錄下，而且是exe后綴的或者com后綴的應(yīng)用程序，用上面兩條規(guī)則就能阻止他們的運行。還有一些 USB病毒會隱藏在優(yōu)盤根目錄下的一些隱藏文件夾里，如建立一個叫System Volume Information的文件夾或者Recycled文件夾，而正常情況下優(yōu)盤是沒有系統(tǒng)還原文件夾和回收站的（移動硬盤有時候有），而這個時候，就要靠 實例2的規(guī)則來組織了。
一般電腦上都不止一個USB接口，所以我們至少要免疫2到3個優(yōu)盤盤符，將上面的G改成H和I并加入其他規(guī)則中即可。
實例5：文件名偽裝雖然是比較老的技術(shù)了，不過由于他簡單有效的特點現(xiàn)在依然被廣泛使用。如有些病毒將自己的文件名改成expl0rer.exe，你敢隨 隨便便的刪除它嗎？？不過你可要看仔細哦，不是explorer.exe，注意“0”和“o”的差別。相似的還有“l”和“1”等。或者文件名為 explorer.com，由于默認(rèn)不顯示后綴，看上去一模一樣，你能分辨嗎？而且XP默認(rèn)com的優(yōu)先級高于exe，所以如果你在運行里輸入 explorer回車后先執(zhí)行的會是explorer.com，即那個病毒程序，恐怖吧。甚至有病毒會用pif后綴，即explorer.pif。pif 和exe、com一樣，也是可執(zhí)行文件，但他的擴展名即使你在文件夾選項里選擇了顯示文件后綴他都不會顯示出來，具有極強的隱蔽性。（但在WinRAR等 第三方瀏覽器中可被查看到）所以如果你開啟了顯示后綴而發(fā)現(xiàn)某個正常的應(yīng)用程序依然沒有顯示后綴的話你就要小心了。廢話不多說了，講規(guī)則：
expl0rer.exe 不允許的
exp1orer.exe 不允許的
explorer.exe 不允許的
expl0rer.exe 不允許的
explorer.com 不允許的
*.pif 不允許的
以上六條規(guī)則就可解決偽裝explorer.exe的問題，pif文件普通計算機里一般都用不到，所以也禁用。其他諸如svchost.exe、rundll32.exe、spoolsv.exe等規(guī)則也相似，請自行編寫。
路徑規(guī)則主要就是以上5個大類，下面再大略地介紹一下新散列規(guī)則。所謂的散列規(guī)則，簡單的說就是提取一個文件的特征信息，如版本、Hash等，然后根據(jù)這些信息判斷是否是同一個文件。如圖：
由 于識別原理的關(guān)系，文件散列識別的優(yōu)點是不論文件名改為什么，只要是同一個文件都能正確識別。但他的優(yōu)點也是他的缺點，如果用散列規(guī)則來實現(xiàn)以上的功能， 則如果WindowsUpdate更新了被保護的系統(tǒng)文件，文件版本發(fā)生了變更，安全策略就會阻止他的運行，造成系統(tǒng)出錯。簡而言之就是容易帶來兼容性問 題。所以一般不使用“新散列規(guī)則”。
雖然用系統(tǒng)安全策略帶來兼容性問題的可能性很小，不過還是有的，那碰到這些問題時我們該怎么辦呢?其實系統(tǒng)已經(jīng)幫我們準(zhǔn)備了日志功能。如圖，如果由于系統(tǒng)安全策略的原因?qū)е履硞€程序無法運行，系統(tǒng)會彈出如下對話框：
這個對話框中其實已經(jīng)告訴我們解決方法了，我們立即去控制面板的管理工具里打開事件查看器，其中的應(yīng)用程序日志的第一篇一般就是了，雙擊那個日志，會彈出如下對話框：
這 里面的C:\Program Files\*.exe就是出現(xiàn)兼容性問題的那條規(guī)則了，不過要注意的是如果你在建立規(guī)則時用的是環(huán)境變量，如%ProgramFiles%\*.exe 的格式，日志這里會把變量%ProgramFiles%替換為系統(tǒng)的實際路徑，一般都是C:\Program Files，所以顯示的依然是如上圖的對話框。
知道問題出在哪里了自然就好辦了，相應(yīng)的規(guī)則刪的刪，改的改，這就隨你們了。另外再提供我做的規(guī)則下載，下載后直接雙擊即可安裝：
點此下載 
