Sådan øges beskyttelsen mod Internet Explorer-sikkerhedsproblemet Klik og rul

Sammenfatning

Microsoft er ved at undersøge rapporter om et sikkerhedsproblem med Internet Explorer, der kaldes for Klik og rul. Denne artikel indeholder oplysninger om dette sikkerhedsproblem. Artiklen indeholder også de trin, du kan følge for at beskytte din computer mod dette sikkerhedsproblem.

INTRODUKTION

Vi er ved at undersøge rapporter om et sikkerhedsproblem med Internet Explorer, der kaldes for Klik og rul. Dette sikkerhedsproblem berører alle understøttede versioner af Windows. Sikkerhedsproblemet kan gøre det muligt for en hacker at placere en skadelig fil på din computer, hvis du besøger et skadeligt websted. Siden 26. oktober 2004 har Microsoft ikke hørt om nogen kunder, der er berørt af dette sikkerhedsproblem. Microsoft vil fortsat undersøge dette sikkerhedsproblem for at finde frem til trin, der kan beskytte kunderne. Desuden anfører Microsoft de trin, du kan følge for at beskytte din computer mod dette sikkerhedsproblem. Du kan øge beskyttelsen af din computer mod dette sikkerhedsproblem ved at følge nedenstående trin.

Bemærk! Disse trin beskrives nærmere senere i denne artikel.

Anskaf og installer den kumulative sikkerhedsopdatering MS04-038 til Internet Explorer. Yderligere oplysninger om, hvordan du kan gøre det, finder du ved at klikke på nedenstående artikelnummer for at få vist artiklen i Microsoft Knowledge Base:

834707 MS04-038: Kumulativ sikkerhedsopdatering til Internet Explorer
Deaktiver indstillingen Træk og slip eller kopiering og indsættelse af filer i internet- og intranetwebindholdszonerne.

Du skal have udført følgende trin, før dette sikkerhedsproblem kan påvirke din computer:

Besøgt et skadeligt websted.
Brugt det skadelige websted interaktivt ved at klikke i browservinduet eller trykke på visse taster på tastaturet.
Udført et af følgende trin, så den skadelige fil er blevet kørt:
- Logget af din computer og derefter logget på computeren igen.
- Genstartet computeren.

Bemærk! Hvis du har indstillet internetsikkerhedszonen til Høj, er du ikke berørt af dette sikkerhedsproblem. Yderligere oplysninger om, hvordan du øger sikkerheden i browseren og e-mail-programmet, finder du på følgende Microsoft-websted:

http://www.microsoft.com/athome/security/online/browsing_safety.mspx

Yderligere Information

Advarsel! Hvis du bruger registreringseditoren forkert, kan der opstå alvorlige problemer, som bevirker, at du skal geninstallere operativsystemet. Microsoft kan ikke garantere, at problemer, der skyldes forkert brug af registreringseditoren, kan løses. Brug af registreringseditoren sker på eget ansvar.

Microsoft anbefaler, at du bruger en af følgende metoder til at øge beskyttelsen af dine computere.

Forbrugere og ikke-erhvervskunder

Installer MS04-038-opdateringen, og deaktiver indstillingen Træk og slip eller kopiering og indsættelse af filer

Virkningen af denne konfiguration: Hvis du forsøger at flytte eller kopiere filer ved hjælp af Internet Explorer eller Windows Stifinder, når du har gennemført nedenstående fremgangsmåde, kan du få vist en fejlmeddelelse. Du kan f.eks. få vist følgende fejlmeddelelse, når du forsøger at kopiere og indsætte data eller udfører en træk og slip-handling:

Sikkerhedsadvarsel
De aktuelle sikkerhedsindstillinger giver dig ikke mulighed for at kopiere eller flytte filer fra denne zone.

Hvis du vil kopiere og indsætte data eller udføre en træk og slip-handling, når du har taget denne konfiguration i brug, skal du følge trinene i afsnittet "Sådan gendannes den tidligere indstilling af Træk og slip eller kopiering og indsættelse af filer" senere i denne artikel.

Du kan installere MS04-038-opdateringen og deaktivere indstillingen Træk og slip eller kopiering og indsættelse af filer ved at følge disse trin:

Anskaf og installer den kumulative sikkerhedsopdatering MS04-038 til Internet Explorer. Yderligere oplysninger om, hvordan du kan gøre det, finder du ved at klikke på nedenstående artikelnummer for at få vist artiklen i Microsoft Knowledge Base:

834707 MS04-038: Kumulativ sikkerhedsopdatering til Internet Explorer

Yderligere oplysninger om den kumulative MS04-038-sikkerhedsopdatering til Internet Explorer finder du på følgende Microsoft-websted:

http://www.microsoft.com/danmark/athome/security/update/bulletins/default.mspxVigtigt! Du skal installere den kumulative MS04-038-sikkerhedsopdatering til Internet Explorer for de konfigurationstrin, der er beskrevet i denne artikel, for at opnå den ønskede virkning.
Deaktiver indstillingen Træk og slip eller kopiering og indsættelse af filer i internetzonen og den lokale intranetzone. Det gør du ved at følge disse trin:
1. Klik på Internetindstillinger i menuen
  Funktioner i Internet Explorer, og klik derefter på fanen
  Sikkerhed.
2. Klik på Internet i feltet Vælg en zone til webindhold for at angive de tilhørende sikkerhedsindstillinger, og klik derefter på Brugerdefineret niveau.
3. Find indstillingen Træk og slip eller kopiering og indsættelse af filer under Diverse i feltet
  Indstillinger. Noter dig den aktuelle indstilling.
4. Klik på Deaktiver under Træk og slip eller kopiering og indsættelse af filer, og klik derefter på
  OK.
5. Klik på Ja, og klik derefter to gange på OK.
6. Gentag disse trin for den lokale intranetzone ved at klikke på Lokalt intranet i stedet for
  Internet i trin 2b.

Sådan gendannes den tidligere indstilling af Træk og slip eller kopiering og indsættelse af filer

Du kan gendanne den tidligere indstilling af Træk og slip eller kopiering og indsættelse af filer ved at følge disse trin:

Klik på Internetindstillinger i menuen
Funktioner i Internet Explorer, og klik derefter på fanen
Sikkerhed.
Klik på Internet i feltet Vælg en zone til webindhold for at angive de tilhørende sikkerhedsindstillinger, og klik derefter på Brugerdefineret niveau.
Find indstillingen Træk og slip eller kopiering og indsættelse af filer under Diverse i feltet
Indstillinger.
Klik på den indstilling, du har noteret dig i trin 2c tidligere i denne artikel, og klik derefter på OK.
Klik på Ja, og klik derefter to gange på
OK.
Gentag disse trin for den lokale intranetzone ved at klikke på Lokalt intranet i stedet for
Internet i trin 2.

Erhvervskunder

Installer MS04-038-opdateringen, og deaktiver indstillingen Træk og slip eller kopiering og indsættelse af filer i et helt domæne

Potentiel virkning af denne konfiguration: Ved at udføre følgende procedure kan du ændre funktionsmåden i nogle Windows-programmer, og du kan få nogle programmer til at miste funktioner. Vi anbefaler, at du først tester proceduren grundigt, inden den implementeres i et produktionsmiljø for at sikre, at de centrale programmer stadig fungerer korrekt for alle brugere.

Vigtigt! Pga. forretningsmæssige behov kan erhvervskunder måske ikke deaktivere indstillingen Træk og slip eller kopiering og indsættelse af filer. Du kan stadig beskytte computere, der kører Microsoft Windows XP Service Pack 2 (SP2), ved at deaktivere ActiveX-objektet Hhctrl.ocx. Yderligere oplysninger om denne handling finder du i afsnittet "Sådan deaktiveres kontrolelementet HTML Hjælp (ActiveX-objektet Hhctrl.ocx) manuelt" senere i denne artikel.

Du kan stadig få brug for at kopiere og indsætte data eller udføre en træk og slip-handling, når du har taget denne konfiguration i brug. Du kan gøre dette ved at følge vejledningen i afsnittet "Sådan gendannes indstillingen Træk og slip eller kopiering og indsættelse af filer i et helt domæne" senere i denne artikel.

Du kan installere MS04-038-opdateringen og deaktivere indstillingen Træk og slip eller kopiering og indsættelse af filer i et helt domæne ved at følge disse trin:

Hent den kumulative sikkerhedsopdatering MS04-038 til Internet Explorer, og installer derefter sikkerhedsopdateringen på alle computerne i domænet. Yderligere oplysninger om anskaffelse af denne sikkerhedsopdatering finder du ved at klikke på nedenstående artikelnummer for at få vist artiklen i Microsoft Knowledge Base:

834707 MS04-038: Kumulativ sikkerhedsopdatering til Internet Explorer

Yderligere oplysninger om installation af denne sikkerhedsopdatering finder du i afsnittet "Oplysninger om sikkerhedsopdateringen" på følgende Microsoft-websted:

http://www.microsoft.com/technet/security/bulletin/MS04-038.mspxVigtigt! Du skal installere den kumulative MS04-038-sikkerhedsopdatering til Internet Explorer for de konfigurationstrin, der er beskrevet i denne artikel, for at opnå den ønskede virkning.
Brug gruppepolitik til at deaktivere indstillingen
Træk og slip eller kopiering og indsættelse af filer på alle computerne i et Microsoft Windows 2000-baseret eller Microsoft Windows Server 2003-baseret domæne. Det kan du gøre ved at følge den fremgangsmåde, der gælder for dit miljø.

Indstillingen Sikkerhedszone: Brug kun computerindstillinger er ikke aktiveret i Gruppepolitik
1. Start snap-in-programmet Active Directory-brugere og -computere ved at klikke på Start på en domænecontroller, klikke på Kør, skrive dsa.msc og derefter klikke på OK.
2. Højreklik på domænet, klik på
  Egenskaber, og klik derefter på fanen
  Gruppepolitik.
3. Klik på Ny, skriv et sigende navn for det nye gruppepolitikobjekt (GPO), og tryk derefter på ENTER. Du kan f.eks. klikke på Ny, skrive Internet Explorer Klik og rul-rettelse og derefter trykke på ENTER.
4. Klik på Rediger for at ændre det nye GPO, du har oprettet i trin 3.
5. Udvid Brugerkonfiguration, udvid
  Windows-indstillinger, udvid Internet Explorer-vedligeholdelse, klik på Sikkerhed, og dobbeltklik derefter på Sikkerhedszoner og indholdsklassifikationer.
6. Klik på Importer de aktuelle indstillinger for sikkerhedszoner og beskyttelse af personlige oplysninger under
  Indstillinger for sikkerhed og beskyttelse af personlige oplysninger. Hvis du bliver spurgt, om du vil fortsætte, skal du klikke på Fortsæt.
7. Klik på Rediger indstillinger.
8. Klik på Lokalt intranet, og klik derefter på Brugerdefineret niveau.
9. Se indstillingen af Træk og slip eller kopiering og indsættelse af filer. Noter dig den aktuelle indstilling, og klik derefter på Deaktiver.
10. Klik på OK, klik på
  Ja, og klik derefter to gange på
  OK.
11. Gentag trin 8 til 10, men klik på
  Internetzone i stedet for Lokalt intranet i trin 8.
Vigtigt! Ændringerne anvendes ikke på domænebrugerkonti, før brugerne logger på domænet.

Indstillingen Sikkerhedszone: Brug kun computerindstillinger er aktiveret i Gruppepolitik
1. På den domænecontroller, hvor du skal køre snap-in-programmet Active Directory-brugere og -computere, skal du ændre 1802-registreringsdatabaseværdierne til 3 på basis af den gældende platform:
  - Til 32-bit versioner af Internet Explorer på 32-bit versioner af Windows eller til 64-bit versioner af Internet Explorer på 64-bit versioner af Windows XP eller på Windows Server 2003 skal du redigere følgende undernøgler i registreringsdatabasen på computerne i domænet:
    - HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1
    - HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3
    Opret en registreringsdatabasefil og en batchfil (.bat). Det gør du ved at følge disse trin:
    1. Kopier følgende tekst, og sæt den ind i en teksteditor, f.eks. Notesblok:
      REGEDIT4 [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] "1802"=dword:00000003 [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] "1802"=dword:00000003
    2. Gem filen som "Disable1802.reg".
    3. Kopier følgende tekst, og sæt den ind i en teksteditor, f.eks. Notesblok:
      REGEDIT.EXE /S Disable1802.reg
    4. Gem filen som "Disable1802.bat".
      
      Bemærk! Før du implementerer batchfilen, skal du sikre dig, at den fungerer korrekt, ved at teste den på én computer.
  - Til 32-bit versioner af Internet Explorer på 32-bit versioner af Windows XP eller på 64-bit versioner af Windows Server 2003 skal du redigere følgende undernøgler i registreringsdatabasen på computerne i domænet:
    - HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1
    - HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3
    Opret en registreringsdatabasefil og en batchfil (.bat). Det gør du ved at følge disse trin:
    1. Kopier følgende tekst, og sæt den ind i en teksteditor, f.eks. Notesblok:
      REGEDIT4 [HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] "1802"=dword:00000003 [HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] "1802"=dword:00000003
    2. Gem filen som "Disable1802_64.reg".
    3. Kopier følgende tekst, og sæt den ind i en teksteditor, f.eks. Notesblok:
      REGEDIT.EXE /S Disable1802_64.reg
    4. Gem filen som "Disable1802_64.bat".
      
      Bemærk! Før du implementerer batchfilen, skal du sikre dig, at den fungerer korrekt, ved at teste den på én computer.
2. Opret et nyt GPO, og importer derefter indstillingerne til det nye GPO. Det gør du ved at følge disse trin:
  1. Kopier batchfilen og .reg-filen, som du oprettede i trin 1, til mappen \\DomainName\SysVol\DomainName\Policies\GUID for den valgte GPO\Machine\Scripts\Startup.
  2. Start snap-in-programmet Active Directory-brugere og -computere på den computer, du har brugt i trin 1, ved at klikke på
    Start, klikke på Kør, skrive
    dsa.msc og derefter klikke på OK.
  3. Højreklik på domænet, klik på
    Egenskaber, og klik derefter på fanen
    Gruppepolitik.
  4. Klik på Ny, skriv et sigende navn for det nye GPO, og tryk derefter på ENTER. Du kan f.eks. klikke på
    Ny, skrive Internet Explorer Klik og rul-rettelse og derefter trykke på ENTER.
  5. Klik på Rediger for at ændre det nye GPO, du har oprettet i trin 2d.
  6. Udvid Computerkonfiguration, udvid
    Windows-indstillinger, klik på Scripts (Start/Lukning), klik på Start, og klik derefter på
    Tilføj.
  7. Find og klik på den batchfil, du har oprettet i trin 1, og klik derefter på Tilføj.
  8. Klik på OK, klik på
    Ja, og klik derefter to gange på
    OK.

Vigtigt! Ændringerne anvendes ikke på domænebrugerkonti, før brugerne logger på domænet.

Sådan gendannes indstillingen Træk og slip eller kopiering og indsættelse af filer i et helt domæne

Du kan gendanne indstillingen Træk og slip eller kopiering og indsættelse af filer på alle computerne i et Windows 2000-baseret eller Windows Server 2003-baseret domæne ved hjælp af gruppepolitik. Det gør du ved at følge disse trin:

På den domænecontroller, hvor du skal køre snap-in-programmet Active Directory-brugere og -computere, skal du ændre 1802-registreringsdatabaseværdierne til 0 på basis af den gældende platform:
- Til 32-bit versioner af Internet Explorer på 32-bit versioner af Windows eller til 64-bit versioner af Internet Explorer på 64-bit versioner af Windows XP eller på Windows Server 2003 skal du redigere begge disse undernøgler i registreringsdatabasen:
  - HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1
  - HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3
  Opret en registreringsdatabasefil og en batchfil (.bat). Det gør du ved at følge disse trin:
  1. Kopier følgende tekst, og sæt den ind i en teksteditor, f.eks. Notesblok:
    REGEDIT4 [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] "1802"=dword:00000000 [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] "1802"=dword:00000000
  2. Gem filen som "Enable1802.reg".
  3. Kopier følgende tekst, og sæt den ind i en teksteditor, f.eks. Notesblok:
    REGEDIT.EXE /S Enable1802.reg
  4. Gem filen som "Enable1802.bat".
    
    Bemærk! Før du implementerer batchfilen, skal du sikre dig, at den fungerer korrekt, ved at teste den på én computer.
- Til 32-bit versioner af Internet Explorer på 32-bit versioner af Windows XP eller på 64-bit versioner af Windows Server 2003 skal du redigere begge disse undernøgler i registreringsdatabasen:
  - HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1
  - HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3
  1. Kopier følgende tekst, og sæt den ind i en teksteditor, f.eks. Notesblok:
    REGEDIT4 [HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] "1802"=dword:00000000 [HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] "1802"=dword:00000000
  2. Gem filen som "Enable1802_64.reg".
  3. Kopier følgende tekst, og sæt den ind i en teksteditor, f.eks. Notesblok:
    REGEDIT.EXE /S Enable1802_64.reg
  4. Gem filen som "Enable1802_64.bat".
    
    Bemærk! Før du implementerer batchfilen, skal du sikre dig, at den fungerer korrekt, ved at teste den på én computer.
Opret et nyt GPO, og importer derefter indstillingerne til det nye GPO. Det gør du ved at følge disse trin:
1. Kopier batchfilen og .reg-filen, som du oprettede i trin 1, til mappen \\DomainName\SysVol\DomainName\Policies\GUID for den valgte GPO\Machine\Scripts\Startup.
2. Start snap-in-programmet Active Directory-brugere og -computere på den computer, du har brugt i trin 1, ved at klikke på
  Start, klikke på Kør, skrive
  dsa.msc og derefter klikke på OK.
3. Højreklik på domænet, klik på
  Egenskaber, og klik derefter på fanen
  Gruppepolitik.
4. Klik på det nye GPO, du har oprettet i trin 2d i afsnittet "Installer MS04-038-opdateringen, og deaktiver indstillingen Træk og slip eller kopiering og indsættelse af filer i et helt domæne", og tryk derefter på ENTER.
5. Klik på Rediger.
6. Udvid Computerkonfiguration, udvid
  Windows-indstillinger, klik på Scripts (Start/Lukning), klik på Start, og klik derefter på
  Tilføj.
7. Find og klik på den batchfil, du har oprettet i trin 1, og klik derefter på Tilføj.
8. Klik på OK, klik på
  Ja, og klik derefter to gange på
  OK.

Sådan deaktiveres kontrolelementet HTML Hjælp (ActiveX-objektet Hhctrl.ocx) manuelt

Hvis du ikke kan deaktivere indstillingen Træk og slip eller kopiering og indsættelse af filer, kan du øge beskyttelsen af Windows XP SP2-baserede computere ved at deaktivere kontrolelementet HTML Hjælp (ActiveX-objektet Hhctrl.ocx).

Virkningen af denne konfiguration: Deaktivering af ActiveX-objektet Hhctrl.ocx beskytter kun mod dette sikkerhedsproblem på Windows XP SP2-baserede computere. Deaktivering af Hhctrl.ocx forhindrer Internet Explorer i at instantiere objektet. Denne konfiguration skaber problemer med programkompatibiliteten. Problemerne kan f.eks. være følgende:

I Hjælp og support fungerer indeksfunktionen ikke længere.
I HTML Hjælp fungerer funktioner som f.eks. Relaterede emner og Genveje ikke længere.
Funktioner, der leveres af kontrolelementet HTML Hjælp i firmaintranetprogrammer, fungerer ikke længere.

Advarsel! Følgende trin distribuerer denne konfiguration til alle computerne i domænet. Du skal udføre bestemte trin, hvis du har et blandet miljø med computere, der kører Windows 2000, Windows XP Service Pack 1 (SP1) og Windows XP SP2. Alle Windows XP SP2-baserede computere skal f.eks. være centralt placeret i en Active Directory-organisationsenhed. Du skal anvende den gruppepolitik, du har oprettet med denne metode, på denne organisationsenhed. Når du er færdig med at implementere denne konfiguration, kan du flytte de Windows XP SP2-baserede computere tilbage til deres oprindelige organisationsenheder.

Kopier følgende tekst, og sæt den ind i en teksteditor, f.eks. Notesblok:

REGEDIT4

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{41B23C28-488E-4E5C-ACE2-BB0BBABE99E8}\]

"Compatibility Flags"=dword:00000400

Gem filen som "DisableHhctrl.reg".
Kopier følgende tekst, og sæt den ind i en teksteditor, f.eks. Notesblok:
REGEDIT.EXE /S DisableHhctrl.reg
Gem filen som "DisableHhctrl.bat".

Bemærk! Før du implementerer batchfilen, skal du sikre dig, at den fungerer korrekt, ved at teste den på én computer.
Importer batchfilen til GPO'et. Det gør du ved at følge disse trin:
1. Kopier den batchfilen, du oprettede i trin 4, og filen DisableHhctrl.reg til mappen \\DomainName\SysVol\DomainName\Policies\GUID for den valgte GPO\Machine\Scripts\Startup.
2. På den computer, hvor du skal køre snap-in-programmet Active Directory-brugere og -computere, skal du klikke på
  Start, klikke på Kør, skrive
  dsa.msc og derefter klikke på OK.
3. Klik på Rediger.
4. Udvid Computerkonfiguration, udvid
  Windows-indstillinger, klik på Scripts (Start/Lukning), klik på Start, og klik derefter på
  Tilføj.
5. Find og klik på den batchfil, du har oprettet i trin 4, og klik derefter på Tilføj.
6. Klik på OK, klik på
  Ja, og klik derefter to gange på
  OK.

Hvis du vil nulstille standardindstillingerne for kontrolelementet HTML Hjælp, når du har taget denne konfiguration i brug, skal du følge trinene i afsnittet "Sådan nulstilles standardindstillingerne for kontrolelementet HTML Hjælp" senere i denne artikel.

Sådan nulstilles standardindstillingerne for kontrolelementet HTML Hjælp

Du kan nulstille standardindstillingerne for kontrolelementet HTML Hjælp ved at følge disse trin: