Защита компьютера от уязвимости «Click and Scroll» в обозревателе Internet Explorer

Установите обновление MS04-038 и отключите функцию «Перетаскивание или копирование и вставка файлов»

После выполнения этих действий при попытке переместить или скопировать файлы с помощью Internet Explorer или проводника Windows может появиться сообщение об ошибке. Например, в случае перетаскивания или копирования и вставки файла может появляться следующее сообщение.

Чтобы иметь возможность перетаскивать или копировать и вставлять файлы, выполните действия, описанные в разделе «Восстановление прежнего значения параметра перетаскивания или копирования и вставки файлов» этой статьи.

Чтобы установить обновление MS04-038 и отключить параметр
Перетаскивание или копирование и вставка файлов, выполните следующие действия.

1. Установите накопительное обновление безопасности MS04-038 для Internet Explorer. Дополнительные сведения см. в следующей статье базы знаний Майкрософт:

   834707 MS04-038: Накопительное обновление безопасности для обозревателя Internet Explorer
   
   Дополнительные сведения об обновлении безопасности MS04-038 для Internet Explorer см. на веб-узле Майкрософт по адресу:

   http://www.microsoft.com/security/bulletins/200410_windows.mspxВнимание! Если не установить накопительное обновление безопасности MS04-038, то описанные в данной статье изменения конфигурации не позволят защититься от атак с использованием уязвимости «Click and Scroll».

2. Отключите функцию Перетаскивание или копирование и вставка файлов в зонах «Интернет» и «Местная интрасеть». Для этого выполните следующие действия.
   

   1. В меню Сервис обозревателя Internet Explorer выберите пункт Свойства обозревателя и перейдите на вкладку Безопасность.

   2. В разделе Выберите зону Интернета, чтобы присвоить ей уровень безопасности щелкните значок
      Интернет и нажмите кнопку Другой.

   3. В списке Параметры в разделе
      Разное найдите параметр Перетаскивание или копирование и вставка файлов. Запомните текущее значение параметра.

   4. Выберите для параметра Перетаскивание или копирование и вставка файлов значение Отключить и нажмите кнопку ОК.

   5. Нажмите кнопку Да, а затем — два раза кнопку ОК.

   6. Повторите эти действия для зоны «Местная интрасеть» (на шаге 2b вместо значка Интернет щелкните значок
      Местная интрасеть).

Восстановление прежнего значения параметра перетаскивания или копирования и вставки файлов

Чтобы восстановить прежнее значение параметра «Перетаскивание или копирование и вставка файлов», выполните следующие действия.

1. В меню Сервис обозревателя Internet Explorer выберите пункт Свойства обозревателя и перейдите на вкладку Безопасность.

2. В разделе Выберите зону Интернета, чтобы присвоить ей уровень безопасности щелкните значок Интернет и нажмите кнопку Другой.

3. В списке Параметры в разделе
   Разное найдите параметр Перетаскивание или копирование и вставка файлов.

4. Установите запомненное на шаге 2c значение и нажмите кнопку ОК.

5. Нажмите кнопку Да, а затем — два раза кнопку ОК.

6. Повторите эти действия для зоны «Местная интрасеть» (на шаге 2 вместо значка Интернет щелкните значок Местная интрасеть).

Установите обновление MS04-038 и отключите функцию «Перетаскивание или копирование и вставка файлов» на всех компьютерах в составе домена

Выполнение этих действий может вызвать изменение поведения некоторых приложений и компонентов Windows и привести к частичной потере функциональности ряда программ. Перед внедрением изменений в рабочем окружении убедитесь, что они не вызывают сбоев в работе важных приложений.

Внимание! В некоторых случаях на компьютерах в среде предприятия нельзя отключать параметр Перетаскивание или копирование и вставка файлов, поскольку он необходим для выполнения определенных задач. В этом случае, чтобы защитить компьютеры под управлением Windows XP с пакетом обновления 2 (SP2), отключите элемент управления ActiveX Hhctrl.ocx. Дополнительные сведения см. в разделе «Отключение элемента управления HTML-справкой (Hhctrl.ocx) вручную» далее в этой статье.

Чтобы иметь возможность перетаскивать или копировать и вставлять файлы после внесения изменений, рассмотренных в данной статье, выполните действия, описанные в разделе «Восстановление прежнего значения параметра перетаскивания или копирования и вставки файлов на компьютерах домена» этой статьи.

Чтобы установить обновление MS04-038 и отключить параметр Перетаскивание или копирование и вставка файлов на компьютерах домена, выполните следующие действия.

1. Загрузите накопительное обновление MS04-038 для Internet Explorer и установите его на всех компьютерах в составе домена. Дополнительные сведения о загрузке этого обновления безопасности см. в следующей статье базы знаний Майкрософт:

   834707 MS04-038: Накопительное обновление безопасности для обозревателя Internet Explorer
   
   Дополнительные сведения о развертывании данного обновления см. в разделе «Security Update Information» на веб-узле Майкрософт по адресу:

   http://www.microsoft.com/technet/security/bulletin/MS04-038.mspxВнимание! Если не установить накопительное обновление безопасности MS04-038, то описанные в данной статье изменения конфигурации не позволят защититься от атак с использованием уязвимости «Click and Scroll».

2. С помощью групповой политики отключите параметр
   Перетаскивание или копирование и вставка файлов на всех компьютерах в домене Windows 2000 или Windows Server 2003. Для этого воспользуйтесь одним из предложенных ниже методов в соответствии с имеющейся конфигурацией.

   Параметр «Зоны безопасности: использовать только параметры компьютера» в групповой политике не включен

   1. Запустите оснастку «Active Directory - пользователи и компьютеры». Для этого на контроллере домена выберите в меню
      Пуск пункт Выполнить, введите команду
      dsa.msc и нажмите кнопку ОК.
      

   2. Щелкните нужный домен правой кнопкой мыши, выберите пункт Свойства и откройте вкладку Групповая политика.

   3. Нажмите кнопку Создать, введите описательное имя нового объекта групповой политики и нажмите клавишу ВВОД. Например, нажмите кнопку Создать, введите
      Исправление уязвимости Click and Scroll и нажмите клавишу ВВОД.

   4. Нажмите кнопку Изменить, чтобы изменить параметры объекта групповой политики, созданного на шаге 3.

   5. Последовательно разверните узлы Конфигурация пользователя, Конфигурация Windows и
      Настройка Internet Explorer, выберите пункт
      Безопасность и два раза щелкните элемент Зоны безопасности и оценка содержимого.

   6. Под заголовком Параметры безопасности и конфиденциальности выберите вариант Импортировать текущие параметры безопасности и конфиденциальности. Нажмите кнопку
      Продолжить в ответ на соответствующее предложение.

   7. Нажмите кнопку Изменить параметры.

   8. Выделите зону Местная интрасеть и нажмите кнопку Другой.

   9. Найдите параметр Перетаскивание или копирование и вставка файлов, запомните текущее значение, а затем установите значение Отключить.

   10. Нажмите кнопку ОК, а затем —
       Да и еще два раза ОК.

   11. Повторите действия 8–10, выбрав на шаге 8 зону
       Интернет вместо Местная интрасеть.

   Внимание! Изменения применяются к учетным записям пользователей домена только после того, как пользователи входят в домен.

   Параметр «Зоны безопасности: использовать только параметры компьютера» включен в групповой политике

   1. На контроллере домена, с которого будет запущена оснастка «Active Directory - пользователи и компьютеры», присвойте параметру реестра «1802» значение 3.
      

      • Для 32-разрядных версий Internet Explorer на компьютерах под управлением 32-разрядных версий Windows и для 64-разрядных версий Internet Explorer на компьютерах под управлением 64-разрядных версий Windows XP или Windows Server 2003 необходимо изменить значение параметра в следующих разделах реестра на компьютерах в составе домена.
        

        • HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1

        • HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3

        Создайте файл реестра и командный файл (ВАТ). Для этого выполните следующие действия.
        

        1. Скопируйте представленный ниже текст в окно текстового редактора (например «Блокнота»).

           REGEDIT4
           
           [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1]
           "1802"=dword:00000003
           
           [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3]
           "1802"=dword:00000003

        2. Сохраните файл под именем Disable1802.reg.

        3. Скопируйте представленный ниже текст в окно текстового редактора (например «Блокнота»).

           REGEDIT.EXE  /S   Disable1802.reg

        4. Сохраните файл под именем Disable1802.bat.
           
           Примечание. Перед развертыванием данного командного файла проверьте его работоспособность на одном из компьютеров.

      • Для 32-разрядных версий Internet Explorer на компьютерах под управлением 64-разрядных версий Windows XP или 64-разрядных версий Windows Server 2003 необходимо изменить значение параметра в следующих разделах реестра на компьютерах в составе домена.
        

        • HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1

        • HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3

        Создайте файл реестра и командный файл. Для этого выполните следующие действия.
        

        1. Скопируйте представленный ниже текст в окно текстового редактора (например «Блокнота»).

           REGEDIT4  [HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] "1802"=dword:00000003  [HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] "1802"=dword:00000003

        2. Сохраните файл под именем Disable1802_64.reg.

        3. Скопируйте представленный ниже текст в окно текстового редактора (например «Блокнота»).

           REGEDIT.EXE  /S   Disable1802_64.reg

        4. Сохраните файл под именем Disable1802_64.bat.
           
           Примечание. Перед развертыванием данного командного файла проверьте его работоспособность на одном из компьютеров.

   2. Создайте новый объект групповой политики и импортируйте в него указанные выше параметры. Для этого выполните следующие действия.
      

      1. Скопируйте созданные на шаге 1 командный файл и файл реестра в папку \\имя_домена\SysVol\имя_домена\Policies\идентификатор_GUID_выбранного_объекта_групповой_политики\Machine\Scripts\Startup.
         

      2. Запустите оснастку «Active Directory - пользователи и компьютеры» на компьютере, который использовался на шаге 1. Для этого выберите в меню Пуск пункт Выполнить, введите команду dsa.msc и нажмите кнопку ОК.
         

      3. Щелкните нужный домен правой кнопкой мыши, выберите пункт Свойства и откройте вкладку Групповая политика.

      4. Нажмите кнопку Создать, введите описательное имя нового объекта групповой политики и нажмите клавишу ВВОД. Например, нажмите кнопку Создать, введите
         Исправление уязвимости Click and Scroll и нажмите клавишу ВВОД.

      5. Нажмите кнопку Изменить, чтобы изменить параметры объекта групповой политики, созданного на шаге 2d.

      6. Разверните узлы Конфигурация компьютера и Конфигурация Windows, щелкните элемент
         Сценарии (запуск/завершение), выберите команду
         Автозагрузка и нажмите кнопку
         Добавить.

      7. Найдите и выделите созданный на шаге 1 командный файл и нажмите кнопку Добавить.

      8. Нажмите кнопку ОК, а затем —
         Да и еще два раза ОК.

Внимание! Изменения применяются к учетным записям пользователей домена только после того, как пользователи входят в домен.

Восстановление прежнего значения параметра перетаскивания или копирования и вставки файлов на компьютерах домена

Восстановить прежнее значение параметра Перетаскивание или копирование и вставка файлов на всех компьютерах в домене Windows 2000 или Windows Server 2003 можно с помощью групповой политики. Для этого выполните следующие действия.

1. На контроллере домена, с которого будет запущена оснастка «Active Directory - пользователи и компьютеры», присвойте параметру реестра «1802» значение 0.
   

   • Для 32-разрядных версий Internet Explorer на компьютерах под управлением 32-разрядных версий Windows и для 64-разрядных версий Internet Explorer на компьютерах под управлением 64-разрядных версий Windows XP или Windows Server 2003 необходимо изменить значение параметра в следующих разделах реестра.
     

     • HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1

     • HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3

     Создайте файл реестра и командный файл. Для этого выполните следующие действия.
     

     1. Скопируйте представленный ниже текст в окно текстового редактора (например «Блокнота»).

        REGEDIT4  [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] "1802"=dword:00000000  [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] "1802"=dword:00000000

     2. Сохраните файл под именем Enable1802.reg.

     3. Скопируйте представленный ниже текст в окно текстового редактора (например «Блокнота»).

        REGEDIT.EXE  /S   Enable1802.reg

     4. Сохраните файл под именем Enable1802.bat.
        
        Примечание. Перед развертыванием данного командного файла проверьте его работоспособность на одном из компьютеров.

   • Для 32-разрядных версий Internet Explorer на компьютерах под управлением 64-разрядных версий Windows XP или 64-разрядных версий Windows Server 2003 необходимо изменить значение параметра в следующих разделах реестра.
     

     • HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1

     • HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3

     1. Скопируйте представленный ниже текст в окно текстового редактора (например «Блокнота»).

        REGEDIT4  [HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] "1802"=dword:00000000  [HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] "1802"=dword:00000000

     2. Сохраните файл под именем Enable1802_64.reg.

     3. Скопируйте представленный ниже текст в окно текстового редактора (например «Блокнота»).

        REGEDIT.EXE  /S   Enable1802_64.reg

     4. Сохраните файл под именем Enable1802_64.bat.
        
        Примечание. Перед развертыванием данного командного файла проверьте его работоспособность на одном из компьютеров.

2. Создайте новый объект групповой политики и импортируйте в него указанные выше параметры. Для этого выполните следующие действия.
   

   1. Скопируйте созданные на шаге 1 командный файл и файл реестра в папку \\имя_домена\SysVol\имя_домена\Policies\идентификатор_GUID_выбранного_объекта_групповой_политики\Machine\Scripts\Startup.
      

   2. Запустите оснастку «Active Directory - пользователи и компьютеры» на компьютере, который использовался на шаге 1. Для этого выберите в меню Пуск пункт Выполнить, введите команду
      dsa.msc и нажмите кнопку ОК.
      

   3. Щелкните нужный домен правой кнопкой мыши, выберите пункт Свойства и откройте вкладку Групповая политика.

   4. Щелкните объект групповой политики, созданный на шаге 2d в разделе «Установите обновление MS04-038 и отключите функцию "Перетаскивание или копирование и вставка файлов" на всех компьютерах в составе домена», и нажмите клавишу ВВОД.

   5. Нажмите кнопку Изменить.

   6. Разверните узлы Конфигурация компьютера и Конфигурация Windows, щелкните элемент
      Сценарии (запуск/завершение), выберите команду
      Автозагрузка и нажмите кнопку
      Добавить.

   7. Найдите и выделите созданный на шаге 1 командный файл и нажмите кнопку Добавить.

   8. Нажмите кнопку ОК, а затем —
      Да и еще два раза ОК.

Отключение элемента управления HTML-справкой (Hhctrl.ocx) вручную

Если отключить параметр Перетаскивание или копирование и вставка файлов по каким-либо причинам нельзя, защитить компьютеры под управлением Windows XP с пакетом обновления 2 (SP2) можно, отключив элемент управления HTML-справкой (элемент управления ActiveX под названием Hhctrl.ocx).

Отключение элемента управления Hhctrl.ocx позволяет защитить от атак с помощью данной уязвимости только компьютеры под управлением Windows XP с пакетом обновления 2 (SP2). Если элемент управления Hhctrl.ocx отключен, Internet Explorer не сможет его запустить. При этом возможно возникновение проблем с совместимостью программ. Ниже приведены примеры некоторых подобных проблем:

• в центре справки и поддержки перестает работать указатель;
  

• в HTML-справке перестают работать ярлыки и ссылка «См. также»;

• в приложениях внутренней сети предприятия перестают работать функции, которые выполняются элементом управления HTML-справки.

Внимание! Выполнение представленных ниже действий приводит к развертыванию данной конфигурации на всех компьютерах домена. В смешанной среде, содержащей компьютеры под управлением Windows 2000, Windows XP с пакетом обновления 1 (SP1) и Windows XP с пакетом обновления 2 (SP2), необходимо выполнить некоторые дополнительные действия. Например, переместить все компьютеры под управлением Windows XP с пакетом обновления 2 (SP2) в состав одного подразделения Active Directory, назначить этому подразделению создаваемую групповую политику, а после развертывания данной конфигурации возвратить компьютеры под управлением Windows XP с пакетом обновления 2 (SP2) в исходные подразделения.

1. Скопируйте представленный ниже текст в окно текстового редактора (например «Блокнота»).

   REGEDIT4  [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{41B23C28-488E-4E5C-ACE2-BB0BBABE99E8}\]  "Compatibility Flags"=dword:00000400 

2. Сохраните файл под именем DisableHhctrl.reg.

3. Скопируйте представленный ниже текст в окно текстового редактора (например «Блокнота»).

   REGEDIT.EXE  /S   DisableHhctrl.reg 

4. Сохраните файл под именем DisableHhctrl.bat.
   
   Примечание. Перед развертыванием данного командного файла проверьте его работоспособность на одном из компьютеров.

5. Импортируйте командный файл в объект групповой политики. Для этого выполните следующие действия.
   

   1. Скопируйте созданные на шаге 4 командный файл и файл DisableHhctrl.reg в папку \\имя_домена\SysVol\имя_домена\Policies\идентификатор_GUID_выбранного_объекта_групповой_политики\Machine\Scripts\Startup.
      

   2. Запустите оснастку «Active Directory - пользователи и компьютеры». Для этого выберите в меню Пуск пункт
      Выполнить, введите команду dsa.msc и нажмите кнопку ОК.

   3. Нажмите кнопку Изменить.

   4. Разверните узлы Конфигурация компьютера и Конфигурация Windows, щелкните элемент
      Сценарии (запуск/завершение), выберите команду
      Автозагрузка и нажмите кнопку
      Добавить.

   5. Найдите и выделите созданный на шаге 4 командный файл и нажмите кнопку Добавить.

   6. Нажмите кнопку ОК, а затем —
      Да и еще два раза ОК.

Чтобы восстановить элемент управления HTML-справкой, выполните действия, описанные в разделе «Восстановление стандартного состояния элемента управления HTML-справкой» этой статьи.