Thiết đặt bảo mật cho các đối tượng COM trong Office

Bit của Office COM Kill 

Tài khoản Office COM Kill bit được giới thiệu trong bản Cập Nhật bảo mật MS10-036 để ngăn các đối tượng COM cụ thể chạy khi nhúng hoặc nối kết từ các tài liệu Office.  

Chức năng bit Kill COM đã được Cập Nhật trong KB3178703 để hoàn toàn chặn các đối tượng com không được kích hoạt trong quá trình xử lý bằng Office. Bản cập nhật này là một siêu tập hợp các hành vi ban đầu trong đó, ngoài việc chặn COM đối tượng được nhúng hoặc nối kết trong tài liệu Office, thao này sẽ chặn bất kỳ phiên bản nào của các đối tượng COM được tải trong quy trình Office thông qua các phần bổ trợ khác. 

Những đối tượng COM cụ thể này bao gồm các điều khiển ActiveX và các đối tượng OLE. Thông qua sổ đăng ký, bạn có thể kiểm soát độc lập đối tượng COM nào khi bạn sử dụng Office. 

YùChúng tôi không khuyên bạn nên loại bỏ bit giết được đặt cho đối tượng COM. Nếu bạn thực hiện điều này, bạn có thể tạo các lỗ hổng bảo mật. Bit Kill thường được đặt cho một lý do có thể quan trọng. Vì vậy, bạn phải rất cẩn thận khi bạn bỏ giết một điều khiển ActiveX.  
 
Bạn có thể thêm giá trị AlternateCLSID (còn được gọi là "Phoenix bit") khi bạn phải liên quan đến CLSID của điều khiển ActiveX mới (và điều khiển ActiveX này đã được sửa đổi để giảm thiểu mối đe dọa bảo mật), đến CLSID của điều khiển ActiveX mà Office COM Kill bit đã được áp dụng. Office chỉ hỗ trợ các đối tượng AlternateCLSID khi sử dụng các đối tượng COM.  
 
Lưu ý: Danh sách Kill bit cho Office sẽ ưu tiên trong danh sách Kill bit cho Internet Explorer. Ví dụ: người dùng Office COM Kill bit và Internet Explorer ActiveX Kill bit có thể được đặt cho cùng một điều khiển ActiveX. Tuy nhiên, nút AlternateCLSID được đặt chỉ trên danh sách dành cho Internet Explorer. Trong trường hợp này, có một xung đột giữa hai thiết đặt. Trong các trường hợp như vậy, các thiết đặt bit của Office COM sẽ giết được ưu tiên và điều khiển không được tải. 

Thiết đặt bit của Office COM Kill

Vị trí để đặt bit của Office COM Kill trong sổ đăng ký là như sau:  

Đối với Office 2013 và Office 2010:

• Đối với Office 64-bit 64 trên Windows bit Windows (hoặc Office 32-bit 32 trên Windows bit).

  HKEY_LOCAL_MACHINE\Software\Microsoft\Office\Common\COM Compatibility\ {CLSID}

Đối với Office 32 bit 64 trên Windows bit Windows:

HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Office\Common\COM Compatibility\ {CLSID}

Đối với Office 2016:

• Đối với Office 64 bit 64 trên Windows bit Windows (hoặc Office 32-bit 32 trên Windows bit):

  HKEY_LOCAL_MACHINE\Software\Microsoft\Office\16.0\Common\COM Compatibility\ {CLSID}

• Đối với Office 32 bit 64 trên Windows bit Windows:

  HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Office\16.0\Common\COM Compatibility\ {CLSID}

Trong trường hợp này, CLSID là mã định danh Class của đối tượng COM.  

Để bật bit của Office COM Kill, hãy làm theo các bước sau đây:

1. Thêm khóa phụ của sổ đăng ký cùng với CLSID của điều khiển ActiveX hoặc đối tượng OLE mà bạn muốn chặn khi đang tải.

2. Thêm REG_DWORD vào subkey này có tên là cờ tương thích và đặt giá trị của nó thành 0x00000400.

Ví dụ: để đặt bit của Office COM Kill cho một đối tượng có CLSID {77061A9C-2F18-4f38-B294-F6BCC8443D24} trên Office 2016, hãy làm theo các bước sau đây: 

1. Xác định vị trí khóa đăng ký sau đây:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility

2. Thêm khóa phụ với giá trị {77061A9C-2F18-4f38-B294-F6BCC8443D24}. Trong trường hợp này, đường dẫn kết quả là như sau:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{77061A9C-2F18-4f38-B294-F6BCC8443D24}

3. Thêm REG_DWORD vào khóa phụ được đặt tên là cờ tương thíchvà đặt giá trị của nó thành 0x00000400.

Giờ đây, Office COM Kill sẽ được đặt để chặn đối tượng này không được kích hoạt trong Office. 

Làm thế nào để chỉ chặn COM trong các kịch bản liên kết và nhúng 

Như đã đề cập, chức năng bit Kill COM đã được Cập Nhật để chặn tất cả các đối tượng COM được chỉ định từ bên trong Office.  

Để chỉ chặn các đối tượng COM được nhúng hoặc nối kết từ bên trong tài liệu Office, hãy làm theo các bước sau đây:  

1. Thêm CLSID vào bit COM Kill cho mỗi hướng dẫn bên dưới "đặt bit của Office Kill" (nếu nó không có trong danh sách đã có)

2. Bên dưới subkey cho CLSID đã chặn, hãy thêm giá trị REG_DWORD được đặt tên là ActivationFilterOverridevà đặt giá trị của nó thành 0x00000001.

Ví dụ: để cấu hình bit giết COM để chặn chỉ trong các kịch bản liên kết và nhúng cho một đối tượng có CLSID {77061A9c-2618-4f38-B294-f6bcc8443d24} trên Office 2016, hãy làm theo các bước sau đây:

1. Xác định vị trí khóa đăng ký sau đây:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility

2. Thêm khóa phụ có giá trị {77061A9C-2F18-4f38-B294-F6BCC8443D24}. Trong trường hợp này, đường dẫn kết quả là như sau:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{77061A9C-2F18-4f38-B294-F6BCC8443D24}

3. Thêm giá trị REG_DWORD vào khóa phụ này có gắn cờ tương thích, và đặt giá trị của nó thành 0x00000400. 

4. Thêm REG_DWORD vào khóa con này có tên là ActivationFilterOverridevà đặt giá trị của nó thành 0x00000001. 

Giờ đây, Office COM Kill sẽ được đặt là chặn đối tượng COM này chỉ khi nó được liên kết hoặc nhúng trong tài liệu Office.