MS05-026：HTML 帮助中的漏洞可能允许远程执行代码

使用安全更新 896358 的一些示例

警告 最安全的方法是根本不使用注册表替代方法。如果必须使用注册表替代方法，请尽可能保守地对其进行设置。例如，使用以下方法：

• 不使用 MaxAllowedZone 注册表项，而使用 UrlAllowList 注册表项。设置 UrlAllowList 启用尽可能少的网站。

• 如果必须使用 MaxAllowedZone 注册表项，请不要将 MaxAllowedZone 设置为高于所需值。将 MaxAllowedZone 设置为 3 或更高的值会使系统容易受到来自 Internet 的攻击。

收集了组织使用 HTML 帮助的信息后，请查看下面的示例，了解这些示例是否有助于创建在组织内应用安全更新 896358 时要使用的策略。

较为不保守的方法示例

如果您的组织符合下列条件，则可以使用保守方法：

• 没有已知的使用 HTML 帮助技术的 Web 应用程序。

• 使安全性尽可能可靠比要求使用 HTML 帮助的应用程序和方案正常工作更重要。

• 您有使用 HTML 帮助技术的 Web 应用程序，但这些应用程序的所有者可以快速修改这些应用程序来使用其他技术。

• 对于需要 HTML 帮助技术的任何应用程序和方案，您知道或者能够快速确定在其上部署了这些应用程序和方案的应用程序服务器和文件共享。同时，您还可以为这些应用程序服务器和文件共享提供足够的保护。

• 没有人必须从远程位置（如文件共享）打开 .chm 文件。

下面的方法是保守做法的一个示例：

1. 应用安全更新 896358，然后使用组策略对象强制实施限制。
   
   默认情况下，如果安装安全更新 896358 后不修改一个或多个注册表项，则安全更新 896358 中安全缓解的限制性将尽可能严格。但是，可以使用组策略对象来防止个别用户自己放松限制。
   
   下面的注册表文件可使安全更新 896358 中安全缓解的限制性尽可能严格：

   REGEDIT4
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp]
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions]
   "MaxAllowedZone"=dword:00000000 
   "UrlAllowList"=""
   
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions]
   "MaxAllowedZone"=dword:00000000
   "UrlAllowList"=""

   如果您知道您的组织没有需要 HTML 帮助的 Web 应用程序，并且组织中的用户不需要访问远程 .chm 文件，读到这里就可以了。

2. 研究 Web 应用程序如何使用 HTML 帮助。您可能会听到有用户说某些内部 Web 应用程序受到了该更新的影响。请与这些 Web 应用程序的所有者联系，看看他们是否可以重新设计那些需要 HTML 帮助技术的功能。如果在没有 HTML 帮助技术的情况下，这些 Web 应用程序仍可以工作，则读到这里就可以了。

3. 有选择地启用 Web 应用程序。如果发现某些 Web 应用程序必须要使用 HTML 帮助功能，可以有选择地重新允许访问安装那些应用程序的服务器。下面的注册表文件示例可以为特定网站重新启用 HTML 帮助 ActiveX 控件和 InfoTech 协议。该注册表文件示例还重新启用了通过 HTML 帮助 ActiveX 控件进行的跨框架导航。

   REGEDIT4
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp]
   
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions]
   "MaxAllowedZone"=dword:00000000 
   "UrlAllowList"="http://contoso/salesapp/"
   "EnableFrameNavigationInSafeMode"=dword:00000001
   
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions]
   "MaxAllowedZone"=dword:00000000
   "UrlAllowList"="http://contoso/salesapp/"

   注意：用户可能仍然无法直接从网页上的链接打开 .chm 文件。
   有关此问题和替代方法的更多信息，请单击下面的文章编号，以查看 Microsoft 知识库中相应的文章：

   902225安装安全更新 896358 或 Windows Server 2003 Service Pack 1 后无法从 Internet Explorer 打开 HTML 帮助文件
   
   

较为不保守的方法示例

如果下面的某些情况适用于您的组织，则这一做法将是可行的：

• 愿意冒更多风险以避免安全更新 896358 对应用程序造成不利的影响。

• 不能快速确定需要 HTML 帮助技术的所有具体的应用程序和方案。

• 使用 HTML 帮助技术的 Web 应用程序对您的业务流程非常重要。同时，不能快速修改这些应用程序来使用其他技术。

下面的方法是不太保守的做法的一个示例：

1. 应用安全更新 896358，然后使用组策略对象强制实施限制。
   
   下面的注册表文件示例允许 Intranet 中的所有系统都通过使用 InfoTech 协议来提供 HTML 帮助 ActiveX 控件和内容。该注册表文件示例还重新启用了通过 HTML 帮助 ActiveX 控件进行的跨框架导航。

   REGEDIT4
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp]
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions]
   "MaxAllowedZone"=dword:00000001
   "EnableFrameNavigationInSafeMode"=dword:00000001
   
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions] 
   "MaxAllowedZone"=dword:00000001

   注意 用户可能仍然无法直接从网页上的链接打开 .chm 文件。
   有关此问题和替代方法的更多信息，请单击下面的文章编号，以查看 Microsoft 知识库中相应的文章：
   
   

   902225安装安全更新 896358 或 Windows Server 2003 Service Pack 1 后无法从 Internet Explorer 打开 HTML 帮助文件
   
   

2. 研究 Web 应用程序如何使用 HTML 帮助。确定哪些 Web 应用程序需要 HTML 帮助技术。请与这些 Web 应用程序的所有者联系，看看他们是否可以重新设计那些需要 HTML 帮助技术的功能。

3. 基于研究情况调整 HTML 帮助设置。如果您的研究确定 Web 应用程序不再需要 HTML 帮助技术，则可以部署以下注册表文件，设置安全更新 896358 支持的最大程度的限制：

   REGEDIT4
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp]
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions]
   "MaxAllowedZone"=dword:00000000
   "UrlAllowList"=""
   
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions]
   "MaxAllowedZone"=dword:00000000
   "UrlAllowList"=""

   如果您发现某些 Web 应用程序必须使用 HTML 帮助功能，可以对允许使用该技术的系统进行限制。下面的注册表文件示例对特定 Intranet 网站使用 HTML 帮助 ActiveX 控件和 InfoTech 协议进行了限制。此注册表文件示例也继续允许 HTML 帮助 ActiveX 控件跨框架导航。

   REGEDIT4
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp]
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions]
   "MaxAllowedZone"=dword:00000000 
   "UrlAllowList"="http://wingtiptoys/catalog/;\\wingtiptoys\help\helpfiles;"
   "EnableFrameNavigationInSafeMode"=dword:00000001
   
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions]
   "MaxAllowedZone"=dword:00000000 
   "UrlAllowList"="http://wingtiptoys/catalog/;\\wingtiptoys\help\helpfiles;file://\\wingtiptoys\help\helpfiles"

注册表项

下表列出了本文中讨论的 HTML 帮助注册表项。此表同时还列出了可以参阅以获得更多信息的 Microsoft 知识库文章。