Настройки за защита за COM обекти в Office

Битове за Office COM Kill 

Част от Office COM Kill е въведена в актуализацията на защитата MS10-036, за да не позволите определени COM обекти да се изпълняват, когато са вградени или свързани от документи на Office.  

Битовата функционалност за COM Kill е актуализирана в KB3178703 , за да блокира напълно обектите com да бъдат активирани по време на процеса от Office. Тази актуализация е superset за първоначалното поведение, в което, освен да блокира COM обекти, вградени или свързани в документи на Office, това ще блокира всякакви случаи на COM обекти, които се зареждат в рамките на процеса на Office, чрез други средства като добавки. 

Тези конкретни COM обекти включват ActiveX контроли и OLE обекти. Чрез системния регистър можете да контролирате самостоятелно кои COM обекти да бъдат блокирани при използването на Office. 

ЗабележкаНе препоръчваме да премахвате бита за убиване, която е зададена за COM обект. Ако направите това, можете да създадете уязвимости в защитата. Бита за убиване обикновено е зададена поради причини, които може да са критични. Следователно трябва да сте изключително внимателни, когато унищожавате ActiveX контрола.  
 
Можете да добавите AlternateCLSID (известен също като "малък Феникс"), когато трябва да свържете CLSID на нова ActiveX контрола (и тази ActiveX контрола е променена, за да намалите заплахата от защитата), към CLSID на ActiveX контролата, към която е приложено Office COM за убийство. Office поддържа AlternateCLSID само когато се използват ActiveX контроли COM обекти.  
 
Забележка: Списъкът за изследваните битове за Office има предимство пред списъка за "Убий бита" за Internet Explorer. Например опцията за малко убийство на Office COM и Internet Explorer ActiveX Kill може да бъде зададена за същата ActiveX контрола. Но свойството AlternateCLSID е зададено само в списъка за Internet Explorer. В този случай има конфликт между двете настройки. В такива случаи настройките за битово убийство на Office COM имат предимство и контролата не е заредена. 

Настройка на Office COM Убий малко

Мястото за настройка на Office COM за убиване в системния регистър е по следния начин:  

За Office 2013 и Office 2010:

• За 64-битова версия на Office в 64-битова версия на Windows (или 32-битова версия на Office в 32-битова версия на Windows).

  HKEY_LOCAL_MACHINE\Software\Microsoft\Office\Common\COM Compatibility\ {CLSID}

За 32-битова версия на Office в 64-битова версия на Windows:

HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Office\Common\COM Compatibility\ {CLSID}

За Office 2016:

• За 64-битова версия на Office в 64-битова версия на Windows (или 32-битова версия на Office в 32-битова версия на Windows):

  HKEY_LOCAL_MACHINE\Software\Microsoft\Office\16.0\Common\COM Compatibility\ {CLSID}

• За 32-битова версия на Office в 64-битова версия на Windows:

  HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Office\16.0\Common\COM Compatibility\ {CLSID}

В този случай CLSID е Идентификаторът на класа на обекта COM.  

За да разрешите бита на Office COM за убиване, изпълнете следните стъпки:

1. Добавете подключ от системния регистър заедно с CLSID на ActiveX контролата или OLE обекта, който искате да блокирате от зареждането.

2. Добавете REG_DWORD към този подключ, наречен флагове за съвместимост и задайте стойността му на 0x00000400.

Например за да зададете бита за Office COM Kill за обект, който има CLSID {77061A9C-2F18-4f38-B294-F6BCC8443D24} в Office 2016, изпълнете следните стъпки: 

1. Намерете следния подключ от системния регистър:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility

2. Добавете подключ със стойността {77061A9C-2F18-4f38-B294-F6BCC8443D24}. В този случай полученият път е следният:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{77061A9C-2F18-4f38-B294-F6BCC8443D24}

3. Добавете REG_DWORD към този подключ, наречен флагове за съвместимост, и задайте стойността му на 0x00000400.

Битовето за Office COM за убиване е настроено да блокира този обект да бъде активиран в рамките на Office. 

Как се блокира само COM при свързване и вграждане на сценарии 

Както споменахте, функционалността COM за бита е актуализирана, за да блокира всички активирания на определени COM обекти от Office.  

За да блокирате само COM обекти, които са вградени или свързани от документи на Office, изпълнете следните стъпки:  

1. Добавете CLSID към бита за COM убийство по инструкции под "Настройване на Office Убий малко" (ако вече не е в списъка)

2. Под подключа за CLSID, който е блокиран, добавете REG_DWORD стойност, която се нарича ActivationFilterOverride, и задайте стойността му на 0x00000001.

Например, за да конфигурирате COM Убий малко, за да блокирате само при свързване и вграждане на сценарии за обекти, които имат CLSID {77061A9C-2F18-4f38-B294-F6BCC8443D24} в Office 2016, следвайте тези стъпки:

1. Намерете следния подключ от системния регистър:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility

2. Добавете подключ, който има стойността {77061A9C-2F18-4f38-B294-F6BCC8443D24}. В този случай полученият път е следният:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{77061A9C-2F18-4f38-B294-F6BCC8443D24}

3. Добавете REG_DWORD стойност към този подключ, наречен флагове за съвместимост, и задайте стойността му на 0x00000400. 

4. Добавете REG_DWORD към този подключ, наречен ActivationFilterOverride, и задайте стойността му на 0x00000001. 

Битове за Office COM Kill сега е настроен да блокира този COM обект само ако е свързан или вграден в документи на Office.