Office 中 COM 对象的安全设置

Office COM 删除位

将 Office COM 删除位引入安全更新 MS10-036 中，用于阻止从 Office 文档嵌入或链接时运行特定的 COM 对象。

COM 删除位功能已在 KB3178703 中更新，以完全阻止 Office 在进程内激活 COM 对象。此更新是原始行为的超集，其中，除了阻止嵌入或链接在 Office 文档中的 COM 对象，这还将阻止通过诸如加载项之类的其他方式在 Office 进程中加载 COM 对象的任何实例。

这些特定的 COM 对象包括 ActiveX 控件和 OLE 对象。通过注册表，在使用 Office 时，你可以独立控制阻止哪些 COM 对象。

备注：我们不建议删除为 COM 对象设置的删除位。如果这样做，可能会产生安全漏洞。设置删除位的原因通常很充分。因此，在取消 ActiveX 控件时必须非常小心。

当你必须将新 ActiveX 控件的 CLSID（并且此 ActiveX 控件已修改以减少安全威胁）与应用了 Office COM 删除位的 ActiveX 控件的 CLSID 相关联时，可以添加一个 AlternateCLSID（也称为“Phoenix 位”）。Office 仅在使用 ActiveX 控件 COM 对象时才支持 AlternateCLSID 。

备注：Office 的删除位列表优先于 Internet Explorer 的删除位列表。例如，可以为同一 ActiveX 控件设置 Office COM 删除位和 Internet Explorer ActiveX 删除位。但是 AlternateCLSID 只设置在 Internet Explorer 的列表上。在这种场景下，两个设置之间存在冲突。在这种情况下，Office COM 删除位设置优先，并且不加载控件。

设置 Office COM 删除位

在注册表中设置 Office COM 删除位的位置如下所示：

对于 Office 2013 和 Office 2010：

• 对于 64 位 Windows 上的 64 位 Office（或 32 位 Windows 上的 32 位 Office）。

              HKEY_LOCAL_MACHINE\Software\Microsoft\Office\Common\COM Compatibility\{CLSID}

对于 64 位 Windows 上的 32 位 Office：

            HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Office\Common\COM Compatibility\{CLSID}

对于 Office 2016：

• 对于 64 位 Windows 上的 64 位 Office（或 32 位 Windows 上的 32 位 Office）：

              HKEY_LOCAL_MACHINE\Software\Microsoft\Office\16.0\Common\COM Compatibility\{CLSID}

• 对于 64 位 Windows 上的 32 位 Office：

              HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Office\16.0\Common\COM Compatibility\{CLSID}

在这种情况下，CLSID 是 COM 对象的类标识符。

若要启用 Office COM 删除位，请执行以下步骤：

1. 将注册表子项以及要阻止加载的 ActiveX 控件或 OLE 对象的 CLSID 一起添加。

2. 将 REG_DWORD 添加到此称为 Compatibility Flags 的子项，然后将其值设为 0x00000400。

例如，在 Office 2016 上为具有 CLSID {77061A9C-2F18-4f38-B294-F6BCC8443D24} 的对象设置 Office COM 删除位，遵循以下步骤：

1. 找到以下注册表子项：
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility

2. 添加值为 {77061A9C-2F18-4f38-B294-F6BCC8443D24} 的子项。在这种情况下，生成的路径如下所示：
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{77061A9C-2F18-4f38-B294-F6BCC8443D24}

3. 将 REG_DWORD 添加到此称为 Compatibility Flags 的子项，然后将其值设为 0x00000400。

现在将 Office COM 删除位设置为阻止在 Office 内激活此对象。

如何在链接和嵌入方案中仅阻止 COM

如前所述，已更新 COM 删除位功能，以此阻止在 Office 中激活所有指定的 COM 对象。

为了仅阻止从 Office 文档中嵌入或链接的 COM 对象，请执行以下步骤：

1. 根据“设置 Office 删除位”下的说明，将 CLSID 添加到 COM 删除位（如果它已经不在列表中）

2. 在被阻止的 CLSID 的子项下，添加名为 ActivationFilterOverride 的 REG_DWORD 值，将其值设置为 0x00000001。

例如，在 Office 2016 上为具有 CLSID {77061A9C-2F18-4f38-B294-F6BCC8443D24} 的对象配置 COM 删除位，以仅在链接和嵌入方案中阻止，请遵循以下步骤：

1. 找到以下注册表子项：
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility

2. 添加一个子项，其值为 {77061A9C-2F18-4f38-B294-F6BCC8443D24}。在这种情况下，生成的路径如下所示：
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{77061A9C-2F18-4f38-B294-F6BCC8443D24} 

3. 将 REG_DWORD 添加到此称为 Compatibility Flags 的子项，然后将其值设为 0x00000400。

4. 将 REG_DWORD 添加到此称为 ActivationFilterOverride 的子项，然后将其值设为 0x00000001。

现在，将 Office COM 删除位设置为仅在 Office 文档中链接或嵌入此 COM 对象时才阻止该对象。