Office 中 COM 物件的安全性設定

Office COM 刪除位元

Office COM 刪除位元是在安全性更新 MS10-036 中引進，可防止內嵌於 Office 文件或從文件中連結的特定 COM 物件執行。

已在 KB3178703 中更新 COM 刪除位元功能，以完全封鎖由 Office 在程序內啟用的 COM 物件。此更新是原始行為的超集，其中除了會封鎖 Office 文件中內嵌或連結的 COM 物件之外，還會透過增益集等其他方式，封鎖 Office 程序內載入的任何 COM 物件執行個體。

這些特定的 COM 物件包括 ActiveX 控制項和 OLE 物件。透過登錄，便可以在使用 Office 時獨立控制要封鎖哪些 COM 物件。

注意：不建議您移除為 COM 物件所設定刪除位元。如果這樣做，可能產生安全性弱點。刪除位元通常是為了重要的原因而設定。因此，取消刪除 ActiveX 控制項時，請務必非常小心。

當您必須將新 ActiveX 控制項的 CLSID (然後此 ActiveX 控制項會經過修改已降低安全性威脅) 關聯至套用 Office COM 刪除位元的 ActiveX 控制項 CLSID 時，可以新增 AlternateCLSID (稱為「Phoenix 位元」)。使用 ActiveX 控制項 COM 物件時，Office 僅支援 AlternateCLSID。
 
注意：Office 的刪除位元清單優先於 Internet Explorer 的刪除位元清單。例如，可能會為相同的 ActiveX 控制項設定 Office COM 刪除位元與 Internet Explorer ActiveX 刪除位元。但只會對 Internet Explorer 的清單設定 AlternateCLSID。此案例中的兩個設定之間會發生衝突。在此情況下，Office COM 刪除位元設定的優先權較高，而不會載入控制項。

設定 Office COM 刪除位元

在登錄中設定 Office COM 刪除位元的位置如下所示：

對於 Office 2013 和 Office 2010：

• 對於 64 位元 Windows 的 64 位元 Office (或 32 位元 Windows 的 32 位元 Office)：

  HKEY_LOCAL_MACHINE\Software\Microsoft\Office\Common\COM Compatibility\{CLSID}

對於 64 位元 Windows 的 32 位元 Office：

HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Office\Common\COM Compatibility\{CLSID}

對於 Office 2016：

• 對於 64 位元 Windows 的 64 位元 Office (或 32 位元 Windows 的 32 位元 Office)：

  HKEY_LOCAL_MACHINE\Software\Microsoft\Office\16.0\Common\COM Compatibility\{CLSID}

• 對於 64 位元 Windows 的 32 位元 Office：

  HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Office\16.0\Common\COM Compatibility\{CLSID}

在此情況下，CLSID 是 COM 物件的類別識別項。

若要啟用 Office COM 刪除位元，請依照下列步驟進行：

1. 新增登錄子機碼，以及您要封鎖載入的 ActiveX 控制項或 OLE 物件的 CLSID。

2. 將 REG_DWORD 新增到這個名為 Compatibility Flags 的子機碼，並將其值設定為 0x00000400。

例如，若要對 Office 2016 上其 CLSID 為 {77061A9C-2F18-4f38-B294-F6BCC8443D24} 的物件設定 Office COM 刪除位元，請依照下列步驟進行：

1. 找出下列登錄子機碼：
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility

2. 新增值為 {77061A9C-2F18-4f38-B294-F6BCC8443D24} 的子機碼。在此情況下，產生的路徑如下所示：
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{77061A9C-2F18-4f38-B294-F6BCC8443D24}

3. 將 REG_DWORD 新增到這個名為 Compatibility Flags 的子機碼，並將其值設定為 0x00000400。

Office COM 刪除位元現在已設定為封鎖在 Office 內啟動這個物件。

如何只封鎖連結和內嵌案例中的 COM

如前面所述，COM 刪除位元功能已經過更新，可封鎖從 Office 內啟動的所有指定 COM 物件。

為了只封鎖 Office 文件中內嵌或連結的 COM 物件，請執行下列步驟：

1. 依照「設定 Office COM 刪除位元」下的指示，將 CLSID 新增到 COM 刪除位元 (若尚未列於清單中的話)

2. 在遭封鎖 CLSID 的子機碼下，新增名為 ActivationFilterOverride 的 REG_DWORD 值，然後將其值設為 0x00000001。

例如，若要將 COM 刪除位元設定為僅在 Office 2016 上為具有 CLSID {77061A9C-2F18-4f38-B294-F6BCC8443D24} 的物件封鎖連結和內嵌案例，請執行以下步驟：

1. 找出下列登錄子機碼：
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility 

2. 新增其值為 {77061A9C-2F18-4f38-B294-F6BCC8443D24} 的子機碼。在此情況中，產生的路徑如下所示：
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{77061A9C-2F18-4f38-B294-F6BCC8443D24} 

3. 將 REG_DWORD 值新增到這個名為 Compatibility Flags 的子機碼，並將其值設定為 0x00000400。

4. 將 REG_DWORD 新增到這個名為 ActivationFilterOverride 的子機碼，並將其值設定為 0x00000001。

Office COM 刪除位元現在已設定為只在這個 COM 物件連結或內嵌於 Office 文件時，才加以封鎖。