主页 / server / 问题 / 827577
Accepted
Francis
Asked: 2017-01-21 07:27:14 +0800 CST

在软件限制政策中允许位于 Thunderbird 配置文件中的 DLL

  • 772

我正在我们的工作站上实施软件限制政策。该策略是阻止除白名单路径列表之外的所有内容。

我正在尝试将 Thunderbird 用户配置文件中的目录列入白名单，以允许 Lightning 扩展工作。路径是%APPDATA%\Roaming\Thunderbird\Profiles\*\extensions\{e2fda1a4-762b-4020-b5ad-a41df1933103}\components\calbasecomps.dll。

用户的个人资料名称是随机生成的，所以我需要一个通配符。

不幸的是，由于通配符，这似乎不起作用。DLL 继续被 SRP 阻止。

我还尝试将证书列入白名单（DLL 由 Mozilla 证书签名），但这不起作用。也许这仅适用于签名的.exe？

我暂时将哈希列入白名单，但这需要在每次发布 Thunderbird 后进行维护，所以我更愿意将路径列入白名单。

Applocker 不是一个选项，我们使用的是 Windows 10 Pro。

任何想法？

windows group-policy security

2 个回答

  1. Best Answer

    几分钟前我遇到了同样的问题，现在我认为解决方案比你想象的要简单。

    %APPDATA%\Roaming\Thunderbird\Profiles\*\extensions\{e2fda1a4-762b-4020-b5ad-a41df1933103}\components\calbasecomps.dll

    变得：

    %APPDATA%\Thunderbird\Profiles\*\extensions\{e2fda1a4-762b-4020-b5ad-a41df1933103}\components\calbasecomps.dll

    （没有明确“漫游”子文件夹，因为 APPDATA 已经解决了它。）

    无论如何，恕我直言，这暴露于有针对性的攻击，因为该 DLL 将保持用户可写。

    欢迎提出建议。;-)

    • 1

    1. 向 Mozilla 提交错误报告！

    2. 切勿使用“%APPDATA%”之类的组件定义路径规则，这些组件完全由用户控制（这里变量和目录都在）。

    3. 也永远不要使用此类组件定义注册表路径规则。

    4. 为 DLL 定义哈希或证书规则！

    • 1

相关问题