Slik øker du beskyttelsen mot sikkerhetsproblemet Click and Scroll i Internet Explorer

Installer oppdateringen fra MS04-038 og deaktiver alternativet Dra og slipp eller kopier og lim inn filer

Resultatet av denne konfigurasjonen: Hvis du prøver å flytte eller kopiere filer ved hjelp av Internet Explorer eller Windows Explorer etter at du har gjennomført følgende prosedyre, kan det hende du får en feilmelding. Du kan for eksempel få følgende feilmelding når du prøver å kopiere og lime inne, eller prøver å gjennomføre en dra-og-slipp-operasjon:

Hvis du vil kopiere og lime inn eller gjennomføre dra-og-slipp-operasjoner etter du har aktivert denne konfigurasjonen, følger du trinnene i delen "Slik gjenoppretter du tidligere innstilling for dra-og-slipp eller kopier og lim inn" senere i denne artikkelen.

Følg disse trinnene for å installere oppdateringen fra MS04-038 og deaktivere alternativet Dra og slipp eller kopier og lim inn filer:

1. Få tak i og installer den kumulative sikkerhetsoppdateringen for Internet Explorer som er nevnt i MS04-038. Hvis du vil ha mer informasjon om hvordan du gjør dette, klikker du artikkelnummeret nedenfor for å vise artikkelen i Microsoft Knowledge Base:

   834707 MS04-038: Kumulativ sikkerhetsoppdatering for Internet Explorer
   
   Hvis du vil ha mer informasjon om den kumulative sikkerhetsoppdateringen for Internet Explorer som er nevnt i MS04-038, kan du gå til følgende Microsoft-webområde:

   http://www.microsoft.com/norge/athome/security/update/bulletins/default.mspxViktig!  Du må installere den kumulative sikkerhetsoppdateringen for Internet Explorer som er nevnt i MS04-038, for at konfigurasjonstrinnene som er listet opp i denne artikkelen, skal virke.

2. Deaktiver alternativet Dra og slipp eller kopier og lim inn filer i sonene Internett og Lokalt intranett. Gjør dette ved å bruke følgende fremgangsmåte:
   

   1. Klikk Alternativer for Internett på
      Verktøy-menyen i Internet Explorer, og klikk deretter kategorien Sikkerhet.

   2. I boksen Velg en sone for Web-innhold for å angi sikkerhetsinnstillingene klikker du Internett og deretter Egendefinert nivå.

   3. Finn alternativet Dra og slipp eller kopier og lim inn filer under Diverse i
      Innstillinger-boksen. Merk deg gjeldende innstilling.

   4. Klikk deretter Deaktiver under
      Dra og slipp eller kopier og lim inn filer og klikk
      OK.

   5. Klikk Ja og deretter
      OK to ganger.

   6. Gjenta disse trinnene for den lokale intranettsonen ved å klikke Lokalt intranett i stedet for
      Internett i trinn 2b.

Slik gjenoppretter du tidligere innstilling for dra-og-slipp eller kopier og lim inn

Hvis du vil gjenopprette tidligere innstilling for dra-og-slipp eller kopier og lim inn, følger du disse trinnene:

1. Klikk Alternativer for Internett på
   Verktøy-menyen i Internet Explorer, og klikk deretter kategorien Sikkerhet.

2. I boksen Velg en sone for Web-innhold for å angi sikkerhetsinnstillingene klikker du Internett og deretter Egendefinert nivå.

3. Finn alternativet Dra og slipp eller kopier og lim inn filer under Diverse i
   Innstillinger-boksen.

4. Klikk alternativet du merket deg i trinn 2c tidligere i denne artikkelen og klikk OK.

5. Klikk Ja og deretter OKto ganger.

6. Gjenta disse trinnene for den lokale intranettsonen ved å klikke Lokalt intranett i stedet for
   Internett i trinn 2.

Installer oppdateringen fra MS04-038 og deaktiver alternativet Dra og slipp eller kopier og lim inn filer for hele domenet

Mulig resultatet av denne konfigurasjonen: Ved å fullføre følgende fremgangsmåte, kan det hende du endrer virkemåten for noen Windows-programmer og -komponenter, slik at noen programmer kan miste funksjonalitet. Det anbefales at du først tester fremgangsmåten grundig før du implementerer den i et produksjonsmiljø for å sikre at bedriftskritiske programmer fortsetter å virke på riktig måte for alle brukere.

Viktig!  Avhengig av bedriftens behov vil kanskje ikke bedriftskunder kunne deaktivere alternativet Dra og slipp eller kopier og lim inn filer. Du kan fremdeles beskytte datamaskiner som kjører Microsoft Windows XP Service Pack 2 (SP2) ved å deaktivere ActiveX-kontrollen Hhctrl.ocx. Du finner mer informasjon om hvordan du gjør dette i delen "Slik deaktiverer du HTML-hjelp-kontrollen manuelt (ActiveX-kontrollen Hhctrl.ocx)" senere i denne artikkelen.

Du kan fremdeles kopiere og lime inn, eller utføre dra-og-slipp-operasjoner etter at du har aktivert denne konfigurasjonen. Hvis du vil gjøre dette, følger du trinnene i delen "Slik gjenoppretter du alternativet dra-og-slipp eller kopier og lim inn for hele domenet" senere i denne artikkelen.

Følg disse trinnene for å installere oppdateringen fra MS04-038 og deaktivere alternativet Dra og slipp eller kopier og lim inn filer for hele domenet:

1. Få tak i den kumulative sikkerhetsoppdateringen for Internet Explorer som er nevnt i MS04-038, og distribuer sikkerhetsoppdateringen til alle datamaskinene i domenet. Hvis du vil ha mer informasjon om hvordan du får tak i denne sikkerhetsoppdateringen, klikker du følgende artikkelnummer for å vise artikkelen i Microsoft Knowledge Base:

   834707 MS04-038: Kumulativ sikkerhetsoppdatering for Internet Explorer
   
   Hvis du vil ha mer informasjon om hvordan du distribuerer denne oppdateringen, ser du delen "Informasjon om sikkerhetsoppdateringen" på følgende Microsoft-webområde:

   http://www.microsoft.com/norge/technet/MS04-038.mspxViktig!  Du må installere den kumulative sikkerhetsoppdateringen for Internet Explorer som er nevnt i MS04-038, for at konfigurasjonstrinnene som er listet opp i denne artikkelen, skal virke.

2. Bruk Gruppepolicy til å deaktivere alternativet Dra og slipp eller kopier og lim inn filer på alle datamaskiner i et Microsoft Windows 2000- eller Microsoft Windows Server 2003-basert domene. Dette gjør du ved å bruke riktig metode for ditt miljø.

   Sikkerhetssonene: Innstillingen Bruk bare maskininnstillinger er ikke aktivert i Gruppepolicy

   1. Start snapin-modulen Active Directory Users and Computers. Du gjør dette ved å klikke Start på en domenekontroller, klikke Run, skrive inn
      dsa.msc og deretter klikke OK.
      

   2. Høyreklikk domenet, klikk Properties og deretter kategorien Group Policy.

   3. Klikk New, skriv et beskrivende navn for det nye gruppepolicyobjektet (GPO) og trykk ENTER. Klikk for eksempel
      New, skriv inn Feilretting for Internet Explorer Click and Scroll og trykk deretter ENTER.

   4. Klikk Edit for å endre den nye GPOet du opprettet i trinn 3.

   5. Utvid User Configuration, utvid
      Windows Settings, utvid Internet Explorer Maintenance, klikk Security og dobbeltklikk deretter
      Security Zones and Content Ratings.

   6. Under Security and Privacy Settings klikker du Import the current security zones and privacy settings. Klikk Continue hvis du blir spurt om du vil fortsette.

   7. Klikk Modify settings.

   8. Klikk Local Intranet og deretter
      Custom Level.

   9. Vis alternativet Drag and drop or copy and paste files. Merk deg gjeldende innstilling og klikk
      Disable.

   10. Klikk OK, klikk Yes, og klikk deretter OK to ganger.

   11. Gjenta trinn 8 til 10, men klikk Internet Zone i stedet for Local Intranet i trinn 8.

   Viktig!  Endringer aktiveres ikke for brukerkontoer på domenet, før brukerne logger på domenet.

   Sikkerhetssonene: Innstillingen Bruk bare maskininnstillinger er aktivert i Gruppepolicy

   1. På domenekontrolleren som du skal kjøre snapin-modulen Active Directory Users and Computers på, endrer du 1802-registerverdiene til 3, basert på riktig plattform:
      

      • For 32-biters versjoner av Internet Explorer på 32-biters versjoner av Windows, eller for 64-biters versjoner av Internet Explorer på 64-biters versjoner av Windows XP, eller på Windows Server 2003, endrer du følgende undernøkler i registret på datamaskinene i domenet:
        

        • HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1

        • HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3

        Opprett en registerfil og en satsvis fil (BAT). Gjør dette ved å bruke følgende fremgangsmåte:
        

        1. Kopier følgende tekst, og lim den inn i et tekstredigeringsprogram, for eksempel Notisblokk:

           REGEDIT4
           
           [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1]
           "1802"=dword:00000003
           
           [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3]
           "1802"=dword:00000003

        2. Lagre filen som Deaktiver1802.reg.

        3. Kopier følgende tekst, og lim den inn i et tekstredigeringsprogram, for eksempel Notisblokk:

           REGEDIT.EXE  /S   Disable1802.reg

        4. Lagre filen som Deaktiver1802.bat.
           
           Obs!  Før du distribuerer den satsvise filen, bør du kontrollere at den virker som den skal ved å teste den på en datamaskin.

      • For 32-biters versjoner av Internet Explorer på 64-biters versjoner av Windows XP eller på 64-biters versjoner av Windows Server 2003 endrer du følgende undernøkler i registret på datamaskiner som finnes i domenet:
        

        • HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1

        • HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3

        Opprett en registerfil og en satsvis fil. Gjør dette ved å bruke følgende fremgangsmåte:
        

        1. Kopier følgende tekst, og lim den inn i et tekstredigeringsprogram, for eksempel Notisblokk:

           REGEDIT4
           
           [HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1]
           "1802"=dword:00000003
           
           [HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3]
           "1802"=dword:00000003

        2. Lagre filen som Deaktiver1802_64.reg.

        3. Kopier følgende tekst, og lim den inn i et tekstredigeringsprogram, for eksempel Notisblokk:

           REGEDIT.EXE  /S   Disable1802_64.reg

        4. Lagre filen som Deaktiver1802_64.bat.
           
           Obs!  Før du distribuerer den satsvise filen, bør du kontrollere at den virker som den skal ved å teste den på en datamaskin.

   2. Opprett et nytt GPO og importer innstillingene til det nye GPOet. Gjør dette ved å bruke følgende fremgangsmåte:
      

      1. Kopier den satsvise filen og REG-filen du opprettet i trinn 1, til \\domenenavn\SysVol\domenenavn\Policies\GUID for valgt GPO\Machine\Scripts\Startup-mappen.

      2. Start snapin-modulen Active Directory Users and Computers på den samme datamaskinen som du brukte i trinn 1. Du gjør dette ved å klikke Start og Run, skrive inn
         dsa.msc og deretter klikke OK.
         

      3. Høyreklikk domenet, klikk
         Properties og deretter kategorien Group Policy.

      4. Klikk New, skriv et beskrivende navn for det nye GPOet og trykk ENTER. Klikk for eksempel New, skriv inn Feilretting for Internet Explorer Click and Scroll og trykk deretter ENTER.

      5. Klikk Edit for å endre det nye GPOet du opprettet i trinn 2d.

      6. Utvid Computer Configuration, utvid Windows Settings, klikk
         Scripts(Startup/Shutdown), klikk Startup og klikk deretter Add.

      7. Finn og klikk den satsvise filen du opprettet i trinn 1, og klikk deretter Add.

      8. Klikk OK, klikk
         Yes, og klikk deretter OK to ganger.

Viktig!  Endringer aktiveres ikke for brukerkontoer på domenet, før brukerne logger på domenet.

Slik gjenoppretter du alternativet dra-og-slipp eller kopier og lim inn for hele domenet

Du kan gjenopprette alternativet Dra og slipp eller kopier og lim inn filer for alle datamaskiner i et Windows 2000- eller Windows Server 2003-basert domene ved hjelp av Gruppepolicy. Gjør dette ved å bruke følgende fremgangsmåte:

1. På domenekontrolleren som du skal kjøre snapin-modulen Active Directory Users and Computers på, endrer du 1802-registerverdiene til 0, basert på riktig plattform:
   

   • For 32-biters versjoner av Internet Explorer på 32-biters versjoner av Windows, eller for 64-biters versjoner av Internet Explorer på 64-biters versjoner av Windows XP, eller på Windows Server 2003, endrer du begge de følgende undernøklene i registret:
     

     • HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1

     • HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3

     Opprett en registerfil og en satsvis fil. Gjør dette ved å bruke følgende fremgangsmåte:
     

     1. Kopier følgende tekst, og lim den inn i et tekstredigeringsprogram, for eksempel Notisblokk:

        REGEDIT4
        
        [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1]
        "1802"=dword:00000000
        
        [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3]
        "1802"=dword:00000000

     2. Lagre filen som Aktiver1802.reg.

     3. Kopier følgende tekst, og lim den inn i et tekstredigeringsprogram, for eksempel Notisblokk:

        REGEDIT.EXE  /S   Enable1802.reg

     4. Lagre filen som Aktiver1802.bat.
        
        Obs!  Før du distribuerer den satsvise filen, bør du kontrollere at den virker som den skal ved å teste den på en datamaskin.

   • For 32-biters versjoner av Internet Explorer på 64-biters versjoner av Windows XP eller på 64-biters versjoner av Windows Server 2003, endrer du begge de følgende undernøklene i registret:
     

     • HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1

     • HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3

     1. Kopier følgende tekst, og lim den inn i et tekstredigeringsprogram, for eksempel Notisblokk:

        REGEDIT4
        
        [HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1]
        "1802"=dword:00000000
        
        [HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3]
        "1802"=dword:00000000

     2. Lagre filen som Aktiver1802_64.reg.

     3. Kopier følgende tekst, og lim den inn i et tekstredigeringsprogram, for eksempel Notisblokk:

        REGEDIT.EXE  /S   Enable1802_64.reg

     4. Lagre filen som Aktiver1802_64.bat.
        
        Obs!  Før du distribuerer den satsvise filen, bør du kontrollere at den virker som den skal ved å teste den på en datamaskin.

2. Opprett et nytt GPO og importer innstillingene til det nye GPOet. Gjør dette ved å bruke følgende fremgangsmåte:
   

   1. Kopier den satsvise filen og REG-filen du opprettet i trinn 1, til \\domenenavn\SysVol\domenenavn\Policies\GUID for valgt GPO\Machine\Scripts\Startup-mappen.

   2. Start snapin-modulen Active Directory Users and Computers på den samme datamaskinen som du brukte i trinn 1. Du gjør dette ved å klikke Start og Run, skrive inn
      dsa.msc og deretter klikke OK.
      

   3. Høyreklikk domenet, klikk Properties og deretter kategorien Group Policy.

   4. Klikk det nye GPOet du opprettet i trinn 2d i delen "Installer oppdateringen fra MS04-038 og deaktiver alternativet Dra og slipp eller kopier og lim inn filer", og trykk ENTER.

   5. Klikk Edit.

   6. Utvid Computer Configuration, utvid
      Windows Settings, klikk
      Scripts(Startup/Shutdown), klikk Startup og klikk deretter Add.

   7. Finn og klikk den satsvise filen du opprettet i trinn 1, og klikk deretter Add.

   8. Klikk OK, klikk Yes, og klikk deretter OK to ganger.

Slik deaktiverer du HTML-hjelp-kontrollen manuelt (ActiveX-kontrollen Hhctrl.ocx)

Hvis du ikke kan deaktivere alternativet Dra og slipp eller kopier og lim inn filer, kan du bidra til å beskytte Windows XP SP2-baserte datamaskiner ved å deaktivere HTML-hjelp-kontrollen (ActiveX-kontrollen Hhctrl.ocx).

Resultatet av denne konfigurasjonen: Ved å deaktivere ActiveX-kontrollen Hhctrl.ocx, bidrar du til å beskytte mot dette sikkerhetsproblemet bare på Windows XP SP2-baserte datamaskiner. Når Hhctrl.ocx deaktiveres, forhindres Internet Explorer i å opprette forekomster av kontrollen. Denne konfigurasjonen forårsaker problemer med programkompatibilitet. Noen eksempler på slike problemer:

• Indeksfunksjonen i Hjelp og støtte virker ikke lenger.
  

• Funksjoner som Beslektede emner og Snarveier i HTML-hjelp virker ikke lenger.

• Funksjoner som kommer fra HTML-hjelp-kontrollen i organisasjonens intranettprogrammer virker ikke lenger.

Advarsel!  Følgende trinn distribuerer denne konfigurasjonen til alle datamaskinene i domenet. Du må gjennomføre enkelte trinn hvis du har et blandet miljø med datamaskiner som kjører Windows 2000, Windows XP Service Pack 1 (SP1) og Windows XP SP2. For eksempel må alle Windows XP SP2-baserte datamaskiner være sentralt plassert i en organisasjonsenhet (OU) i Active Directory. Du må aktivere gruppepolicyen du oppretter med denne metoden, for den OUen. Når distribusjonen av denne konfigurasjonen er fullført, kan du flytte de Windows XP SP2-baserte datamaskinene tilbake til sine opprinnelige OUer.

1. Kopier følgende tekst, og lim den inn i et tekstredigeringsprogram, for eksempel Notisblokk:

   REGEDIT4
   
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{41B23C28-488E-4E5C-ACE2-BB0BBABE99E8}\]
   
   "Compatibility Flags"=dword:00000400
   

2. Lagre filen som DeaktiverHhctrl.reg.

3. Kopier følgende tekst, og lim den inn i et tekstredigeringsprogram, for eksempel Notisblokk:

   REGEDIT.EXE  /S   DisableHhctrl.reg
   

4. Lagre filen som DeaktiverHhctrl.bat.
   
   Obs!  Før du distribuerer den satsvise filen, bør du kontrollere at den virker som den skal ved å teste den på en datamaskin.

5. Importer den satsvise filen til GPOet. Gjør dette ved å bruke følgende fremgangsmåte:
   

   1. Kopier den satsvise filen du opprettet i trinn 4 og filen DeaktiverHhctrl.reg, til \\domenenavn\SysVol\domenenavn\Policies\GUID for valgt GPO\Machine\Scripts\Startup-mappen.

   2. På datamaskinen du vil kjøre snapin-modulen Active Directory Users and Computers på, klikker du Start og
      Run, skriver dsa.msc og klikker
      OK.

   3. Klikk Edit.

   4. Utvid Computer Configuration, utvid
      Windows Settings, klikk
      Scripts(Startup/Shutdown), klikk Startup og klikk deretter Add.

   5. Finn og klikk den satsvise filen du opprettet i trinn 4, og klikk deretter Add.

   6. Klikk OK, klikk Yes, og klikk deretter OK to ganger.

Hvis du vil tilbakestille standardinnstillingene for HTML-hjelp-kontrollen etter at du har aktivert denne konfigurasjonen, følger du trinnene i delen "Slik tilbakestiller du standardinnstillingene for HTML-hjelp-kontrollen" senere i denne artikkelen.