★ FEATURED ARTICLE 1. Wscript.Shell与Shell.Application的安全风险解析在Windows系统中Wscript.Shell和Shell.Application这两个COM对象长期以来都是系统管理员又爱又恨的存在。它们提供了强大的系统交互能力允许脚本执行诸如文件操作、注册表修改、进程启动等关键功能。但正是这种强大的能力使其成为恶意脚本最常滥用的对象之一。Wscript.Shell对象的主要危险方法包括Run和Exec方法可执行任意系统命令RegRead/RegWrite/RegDelete直接操作注册表SpecialFolders属性获取系统敏感路径Environment属性读取或修改系统环境变量Shell.Application的典型危险操作有NameSpace方法访问文件系统命名空间ShellExecute方法启动应用程序Windows和Document对象操作打开的窗口2. 禁用Wscript.Shell的三种实现方案2.1 通过注册表永久禁用最彻底的禁用方式是通过修改Windows注册表。以下是具体步骤打开注册表编辑器regedit导航至以下路径HKEY_CLASSES_ROOT\WScript.Shell\ HKEY_CLASSES_ROOT\WScript.Shell.1\分别在这两个项上右键选择权限为所有用户设置拒绝完全控制对Shell.Application和Shell.Application.1重复相同操作重要提示修改前请先备份注册表错误的权限设置可能导致系统功能异常。2.2 使用组策略限制脚本执行对于企业环境组策略是更安全的集中管理方案打开组策略编辑器gpedit.msc导航至计算机配置 → 管理模板 → Windows组件 → Windows脚本宿主启用禁用Windows脚本宿主策略在软件限制策略中创建新规则禁止wscript.exe和cscript.exe执行2.3 应用控制策略AppLockerWindows企业版和专业版可配置AppLockerRuleCollection TypeScript EnforcementModeEnabled FilePublisherRule ActionDeny DescriptionBlock WSH UserOrGroupSidS-1-1-0 FilePublisherCondition*/ /RuleCollection3. 企业环境下的深度防御措施3.1 文件系统权限加固除了禁用COM对象外还应限制相关可执行文件的权限# 禁用默认脚本宿主程序 icacls %SystemRoot%\System32\wscript.exe /deny Everyone:(F) icacls %SystemRoot%\System32\cscript.exe /deny Everyone:(F) # 限制脚本文件执行权限 icacls *.vbs /deny Everyone:(RX) icacls *.js /deny Everyone:(RX) icacls *.wsf /deny Everyone:(RX)3.2 杀毒软件例外规则配置大多数杀毒软件可以检测恶意脚本行为建议配置以下检测规则检测脚本中使用Wscript.Shell的代码模式监控注册表中相关CLSID的访问拦截可疑的脚本执行链3.3 日志监控策略启用并监控以下事件日志Windows事件ID 4688进程创建PowerShell事件ID 4104脚本块执行Sysmon事件ID 1进程创建注册表访问事件需启用详细审核4. 禁用后的兼容性处理方案4.1 合法脚本的替代方案对于确实需要使用脚本功能的场景可考虑以下替代方案PowerShell受限模式# 启动约束语言模式 $ExecutionContext.SessionState.LanguageMode ConstrainedLanguageWindows Sandbox在隔离环境中运行可疑脚本专用服务账户为需要执行脚本的应用创建低权限账户4.2 应用程序兼容性修复某些合法应用可能需要Wscript.Shell功能可通过以下方式解决使用manifest文件重定向compatibility xmlnsurn:schemas-microsoft-com:compatibility.v1 application compatibilitySetting nameDisableIsolatedWScript valuetrue/ /application /compatibility虚拟化技术使用App-V或MSIX打包应用API Hook替换开发替代组件实现安全的功能子集5. 验证禁用效果的测试方法实施禁用后应通过以下方式验证效果基本功能测试脚本On Error Resume Next Set obj CreateObject(WScript.Shell) If Err.Number 0 Then WScript.Echo WScript.Shell is disabled Else WScript.Echo WScript.Shell is still available End If进程监控procmon /AcceptEula /Filter ProcessName is wscript.exe or ProcessName is cscript.exe注册表访问监控reg add HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /t REG_DWORD /d 1 /f6. 高级防护基于EMET的缓解措施对于需要更高级防护的环境可配置增强缓解体验工具包(EMET)启用以下防护措施ASLR强制DEP永久SEHOPHeapSpray为wscript.exe和cscript.exe配置特殊规则[wscript.exe] DEPAlwaysOn SEHOPAlwaysOn ASLRAlwaysOn启用攻击面减少规则Add-MpPreference -AttackSurfaceReductionRules_Ids D4F940AB-401B-4EFC-AADC-AD5F3C50688A -AttackSurfaceReductionRules_Actions Enabled
阅读完成 · 觉得有帮助？
