MS05-026：HTML 說明的弱點可能會導致遠端程式碼執行

使用安全性更新 896358 的部份範例

警告最安全的做法，就是不要使用登錄因應措施。如果您必須使用登錄因應措施，請以最保守的方法來進行設定。例如，請使用下列的方法：

• 請不要使用 MaxAllowedZone 登錄項目，而改用 UrlAllowList 登錄項目。將 UrlAllowList 設定為儘可能啟用少數的網站。

• 如果您必須使用 MaxAllowedZone 登錄項目，請最好不要將 MaxAllowedZone 設定高過必須值。如果將 MaxAllowedZone 設為 3 或更高，您的系統將暴露於網際網路的攻擊中。

在您蒐集了組織使用 HTML 說明的資訊之後，檢閱下列的範例，看看是否能幫助您在組織裡應用安全性更新 896358 的同時，建立一套可用的策略。

保守方法的範例

如果下列陳述適用於您的組織，則可使用保守方法：

• 沒有使用 HTML 說明技術的已知網頁應用程式。

• 讓安全性夠強，比讓 HTML 說明在應用程式和案例裡正常運作都來得重要。

• 您擁有使用 HTML 說明技術的網頁應用程式，但是這些應用程式的擁有者，能夠快速修改這些應用程式以使用其他技術。

• 您知道或很快就能辨別出，任何需要 HTML 說明技術的應用程式和案例，所裝載的部署應用程式伺服器或檔案共用。而且，您也可以為這些應用程式伺服器和檔案共用提供足夠的保護。

• 沒有人需要從遠端 (如檔案共用) 開啟 .chm 檔案。

下列方法是保守方法的其中一個範例：

1. 套用安全性更新 896358。然後，使用「群組原則」物件來強制執行限制。
   
   根據預設，如果您在安裝安全性更新 896358 之後，沒有修改一或多個登錄項目，則安全性更新 896358 中的安全性防護功能限制會儘可能的設至最大。可是，您可以使用「群組原則」物件來防止個別使用者自行放寬限制。
   
   下列登錄檔案使安全性更新 896358 中的安全性緩和效果受限：

   REGEDIT4
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp]
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions]
   "MaxAllowedZone"=dword:00000000 
   "UrlAllowList"=""
   
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions]
   "MaxAllowedZone"=dword:00000000
   "UrlAllowList"=""

   如果您知道組織中並未使用需要 HTML 說明的網頁應用程式，並且組織中的使用者不需要存取遠端 .chm 檔案，您可以在此停止。

2. 研究網頁應用程式使用 HTML 說明的方式。您可能已經從使用者那邊得知，某些內部網頁應用程式已經受到更新的影響。聯絡這些網頁應用程式的擁有者，並看看他們能否重新調整需要 HTML 說明技術的功能。如果網頁應用程式不需要 HTML 說明檔技術，則您現在可以停止操作。

3. 選擇性啟用網頁應用程式。如果您發現某些網頁應用程式必須要能夠使用 HTML 說明功能，則您可以選擇性地重新啟用對裝載這些應用程式的伺服器的存取。下列的登錄檔案範例重新啟用特定網站的 HTML 說明 ActiveX 控制項和 InfoTech 通訊協定。此登錄檔案範例也會重新啟用 HTML 說明 ActiveX 控制項的跨框架瀏覽。

   REGEDIT4
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp]
   
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions]
   "MaxAllowedZone"=dword:00000000 
   "UrlAllowList"="http://contoso/salesapp/"
   "EnableFrameNavigationInSafeMode"=dword:00000001
   
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions]
   "MaxAllowedZone"=dword:00000000
   "UrlAllowList"="http://contoso/salesapp/"

   注意 使用者可能還是無法直接從網頁中的連結開啟 .chm 檔案。
   如需有關這個問題和因應措施的詳細資訊，請按一下下面的文件編號，檢視「Microsoft 知識庫」中的文件：

   902225在安裝安全性更新 896358 或 Windows Server 2003 Service Pack 1 之後，您無法從 Internet Explorer 開啟 HTML 說明檔
   
   

較不保守方法的範例

如果下列陳述適用於您的組織，則此方法可運作良好：

• 您願意接受額外的風險，以避免讓安全性更新 896358 對您的應用程式造成不良的影響。

• 您無法很快地辨別所有需要 HTML 說明檔技術的特定應用程式和案例。

• 使用 HTML 說明檔技術的網頁應用程式，對您的業務而言非常重要。而且，您無法很快速地修改這些應用程式，以使用其他技術。

下列方法是較不保守方法的其中一個範例：

1. 套用安全性更新 896358。然後，使用「群組原則」物件來強制執行限制。
   
   下列的登錄檔案範例，讓您內部網路裡的所有系統均可以使用 InfoTech 通訊協定，提供 HTML 說明 ActiveX 控制項和內容。此登錄檔案範例也會重新啟用 HTML 說明 ActiveX 控制項的跨框架瀏覽。

   REGEDIT4
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp]
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions]
   "MaxAllowedZone"=dword:00000001
   "EnableFrameNavigationInSafeMode"=dword:00000001
   
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions] 
   "MaxAllowedZone"=dword:00000001

   注意 使用者可能還是無法直接從網頁中的連結開啟 .chm 檔案。
   如需有關這個問題和因應措施的詳細資訊，請按一下下面的文件編號，檢視「Microsoft 知識庫」中的文件：
   
   

   902225在安裝安全性更新 896358 或 Windows Server 2003 Service Pack 1 之後，您無法從 Internet Explorer 開啟 HTML 說明檔
   
   

2. 研究網頁應用程式使用 HTML 說明的方式。判斷哪個網頁應用程式需要 HTML 說明技術。聯絡這些網頁應用程式的擁有者，並看看他們能否重新調整需要 HTML 說明技術的功能。

3. 根據研究調整 HTML 說明設定。如果根據您的研究判斷，網頁應用程式不再需要 HTML 說明技術，那麼您可以部署下列登錄檔案，以建立安全性更新 896358 所支援的最大限制：

   REGEDIT4
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp]
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions]
   "MaxAllowedZone"=dword:00000000
   "UrlAllowList"=""
   
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions]
   "MaxAllowedZone"=dword:00000000
   "UrlAllowList"=""

   如果您發現某些網頁應用程式必須使用 HTML 說明功能，您可以限制使用此技術的系統。下列的登錄檔案範例，限制特定內部網路網站使用的 HTML 說明 ActiveX 控制項和 InfoTech 通訊協定。這個登錄檔案範例也會讓 HTML 說明 ActiveX 控制項繼續瀏覽整個框架。

   REGEDIT4
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp]
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions]
   "MaxAllowedZone"=dword:00000000 
   "UrlAllowList"="http://wingtiptoys/catalog/;\\wingtiptoys\help\helpfiles;"
   "EnableFrameNavigationInSafeMode"=dword:00000001
   
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions]
   "MaxAllowedZone"=dword:00000000 
   "UrlAllowList"="http://wingtiptoys/catalog/;\\wingtiptoys\help\helpfiles;file://\\wingtiptoys\help\helpfiles"

登錄項目

下表列出本文討論的 HTML 說明登錄項目。此表也列出您可以參閱以取得詳細資訊的「Microsoft 知識庫」文件。