MS05-026: Lỗ hổng trong trợ giúp HTML có thể cho phép thực thi mã từ xa

Một số ví dụ làm việc với bảo mật Cập Nhật 896358

Cảnh báo Trình an toàn nhất là sử dụng giải pháp đăng ký nào cả. Nếu bạn phải sử dụng giải pháp đăng ký, đặt chúng conservatively càng tốt. Ví dụ: sử dụng các phương pháp sau:

• Thay vì sử dụng mục đăng ký MaxAllowedZone, sử dụng mục đăng ký UrlAllowList. Thiết lập UrlAllowList để cho phép chỉ trang web có thể.

• Nếu bạn phải sử dụng mục đăng ký MaxAllowedZone, đặt MaxAllowedZone không cao hơn bạn. Thiết lập MaxAllowedZone 3 hoặc cao hơn khiến hệ thống của bạn để tấn công từ Internet.

Sau khi bạn đã thu thập thông tin về tổ chức của bạn sử dụng trợ giúp HTML, xem xét ví dụ sau đây để xem họ có hữu ích giúp bạn tạo ra một chiến lược để sử dụng khi bạn áp dụng bản Cập Nhật bảo mật 896358 trong tổ chức của bạn.

Ví dụ về một phương pháp bảo thủ

Phương pháp bảo thủ có thể hoạt động nếu các điều khoản sau đây áp dụng cho tổ chức của bạn:

• Hiện có các ứng dụng Web sử dụng công nghệ trợ giúp HTML.

• Cách bảo mật mạnh càng outweighs yêu cầu ứng dụng và các trường hợp sử dụng trợ giúp HTML hoạt động bình thường.

• Bạn có ứng dụng Web sử dụng công nghệ trợ giúp HTML, nhưng chủ sở hữu của các ứng dụng có thể nhanh chóng sửa đổi các ứng dụng khác sử dụng.

• Bất kỳ ứng dụng và các trường hợp yêu cầu trợ giúp HTML công nghệ, bạn biết hoặc có thể nhanh chóng xác định các máy chủ ứng dụng và chia sẻ tệp mà chúng được triển khai. Ngoài ra, bạn có thể cung cấp đủ bảo vệ các máy chủ ứng dụng và chia sẻ tệp.

• Không ai có mở .chm tệp từ vị trí từ xa, chẳng hạn như chia sẻ tệp.

Phương pháp sau đây là một ví dụ về một phương pháp bảo thủ:

1. Áp dụng bản Cập Nhật bảo mật 896358. Sau đó, sử dụng một đối tượng chính sách nhóm để thực hiện hạn chế.
   
   Theo mặc định, nếu bạn không thay đổi một hoặc nhiều mục đăng ký sau khi bạn cài đặt bảo mật Cập Nhật 896358, mitigations bảo mật trong bản Cập Nhật bảo mật 896358 sẽ hạn chế càng tốt. Tuy nhiên, bạn có thể sử dụng một đối tượng chính sách nhóm để ngăn người dùng cá nhân nới lỏng các hạn chế của mình.
   
   Tệp đăng ký sau làm mitigations an ninh bảo mật Cập Nhật 896358 hạn chế có thể:

   REGEDIT4
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp]
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions]
   "MaxAllowedZone"=dword:00000000 
   "UrlAllowList"=""
   
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions]
   "MaxAllowedZone"=dword:00000000
   "UrlAllowList"=""

   Nếu bạn biết rằng tổ chức của bạn sử dụng các ứng dụng Web không yêu cầu trợ giúp HTML và người dùng trong tổ chức của bạn không yêu cầu quyền truy cập từ xa .chm tệp, bạn có thể dừng ở đây.

2. Nghiên cứu cách sử dụng ứng dụng Web Trợ giúp HTML. Bạn có thể đã nghe từ người sử dụng một số ứng dụng Web nội bộ bị ảnh hưởng bởi bản Cập Nhật. Liên hệ với chủ sở hữu của các ứng dụng Web và xem nếu họ có thể reengineer tính năng yêu cầu công nghệ trợ giúp HTML. Nếu các ứng dụng Web có thể không có công nghệ trợ giúp HTML, bạn có thể dừng ở đây.

3. Lựa chọn cho phép ứng dụng Web. Nếu bạn thấy rằng một số ứng dụng Web phải có thể sử dụng chức năng trợ giúp HTML, bạn có thể lựa chọn kích hoạt lại quyền truy cập vào máy chủ lưu trữ các ứng dụng. Ví dụ sau tệp đăng ký lại cho phép điều khiển ActiveX trợ giúp HTML và giao thức CNTT cho một trang web cụ thể. Ví dụ tập tin đăng ký này cũng lại cho phép nhiều khung hướng của điều khiển ActiveX trợ giúp HTML.

   REGEDIT4
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp]
   
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions]
   "MaxAllowedZone"=dword:00000000 
   "UrlAllowList"="http://contoso/salesapp/"
   "EnableFrameNavigationInSafeMode"=dword:00000001
   
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions]
   "MaxAllowedZone"=dword:00000000
   "UrlAllowList"="http://contoso/salesapp/"

   Lưu ý Người dùng có thể vẫn không thể mở tệp .chm trực tiếp từ liên kết trên trang Web.
   Để biết thêm thông tin về sự cố và giải pháp này, hãy bấm vào số bài viết sau để xem bài viết trong cơ sở kiến thức Microsoft:

   902225 bạn không thể mở tệp trợ giúp HTML từ Internet Explorer sau khi bạn cài đặt bản Cập Nhật bảo mật 896358 hoặc Windows Server 2003 Gói Dịch vụ 1
   
   

Ví dụ về một phương pháp ít bảo thủ

Phương pháp này có thể hoạt động nếu một số câu lệnh sau áp dụng cho tổ chức của bạn:

• Bạn đã sẵn sàng để chấp nhận các rủi ro để tránh có bảo mật Cập Nhật 896358 tác động xấu ảnh hưởng đến các ứng dụng của bạn.

• Bạn không thể nhanh chóng xác định tất cả các ứng dụng cụ thể và kịch bản yêu cầu công nghệ trợ giúp HTML.

• Ứng dụng web sử dụng công nghệ trợ giúp HTML đều rất quan trọng cho dòng công việc của bạn. Ngoài ra, bạn không thể sửa đổi nhanh chóng các ứng dụng khác sử dụng.

Phương pháp sau đây là một ví dụ về một phương pháp ít bảo thủ:

1. Áp dụng bản Cập Nhật bảo mật 896358. Sau đó, sử dụng một đối tượng chính sách nhóm để thực hiện hạn chế.
   
   Ví dụ sau tệp đăng ký cho phép tất cả các hệ thống máy phục vụ nội bộ điều khiển trợ giúp HTML ActiveX và các nội dung bằng cách sử dụng giao thức CNTT. Ví dụ tập tin đăng ký này cũng lại cho phép nhiều khung hướng của điều khiển ActiveX trợ giúp HTML.

   REGEDIT4
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp]
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions]
   "MaxAllowedZone"=dword:00000001
   "EnableFrameNavigationInSafeMode"=dword:00000001
   
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions] 
   "MaxAllowedZone"=dword:00000001

   Lưu ý Người dùng có thể vẫn không thể mở tệp .chm trực tiếp từ liên kết trên trang Web.
   Để biết thêm thông tin về sự cố và giải pháp này, hãy bấm vào số bài viết sau để xem bài viết trong cơ sở kiến thức Microsoft:
   
   

   902225 bạn không thể mở tệp trợ giúp HTML từ Internet Explorer sau khi bạn cài đặt bản Cập Nhật bảo mật 896358 hoặc Windows Server 2003 Gói Dịch vụ 1
   
   

2. Nghiên cứu cách sử dụng ứng dụng Web Trợ giúp HTML. Xác định các ứng dụng Web yêu cầu công nghệ trợ giúp HTML. Liên hệ với chủ sở hữu của các ứng dụng Web và xem nếu họ có thể reengineer tính năng yêu cầu công nghệ trợ giúp HTML.

3. Điều chỉnh thiết đặt trợ giúp HTML dựa trên nghiên cứu. Nếu bạn nghiên cứu xác định các ứng dụng Web không cần trợ giúp HTML công nghệ, bạn có thể triển khai tệp đăng ký sau để thiết lập hạn chế tối đa được hỗ trợ bảo mật Cập Nhật 896358:

   REGEDIT4
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp]
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions]
   "MaxAllowedZone"=dword:00000000
   "UrlAllowList"=""
   
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions]
   "MaxAllowedZone"=dword:00000000
   "UrlAllowList"=""

   Nếu bạn thấy rằng một số ứng dụng Web có thể sử dụng chức năng trợ giúp HTML, bạn có thể hạn chế các hệ thống được kích hoạt để sử dụng công nghệ. Ví dụ sau tệp đăng ký hạn chế sử dụng điều khiển ActiveX trợ giúp HTML và giao thức CNTT cho các trang web cụ thể nội bộ. Ví dụ tập tin đăng ký này cũng tiếp tục để trợ giúp HTML ActiveX điều khiển điều hướng trên khung.

   REGEDIT4
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp]
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions]
   "MaxAllowedZone"=dword:00000000 
   "UrlAllowList"="http://wingtiptoys/catalog/;\\wingtiptoys\help\helpfiles;"
   "EnableFrameNavigationInSafeMode"=dword:00000001
   
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions]
   "MaxAllowedZone"=dword:00000000 
   "UrlAllowList"="http://wingtiptoys/catalog/;\\wingtiptoys\help\helpfiles;file://\\wingtiptoys\help\helpfiles"

Mục đăng ký

Bảng sau liệt kê các mục đăng ký trợ giúp HTML bài viết này thảo luận. Bảng cũng liệt kê các bài viết cơ sở kiến thức Microsoft, bạn có thể xem thêm thông tin.