AppLocker 路径规则允许普通用户在本地临时文件夹中运行未经批准的二进制文件。

Question

大家好，

我们使用 AppLocker 路径规则来限制受保护目录路径之外的可执行文件运行。我们发现某个第三方应用程序安装程序会将其运行所需的二进制文件直接解压到 C:\Users\Username\AppData\Local\Temp\ 目录中，这使得普通用户能够完全绕过我们的软件执行限制策略。

感谢大家的支持。

Answer 1

广泛允许从用户可写的临时目录（）执行C:\Users\Username\AppData\Local\Temp会使你的AppLocker限制失效，因为标准用户可以在那里丢弃和运行任意文件。为了修复这个安全漏洞，你应该移除弱路径规则，并用第三方应用中的发布者规则替代 secpol.msc 它。这迫使Windows验证的是厂商的数字签名而非文件位置，允许合法安装组件运行，同时阻止同一文件夹中的未授权二进制文件。如果安装文件未签名，你可以实现文件哈希规则，或者采用集中部署策略，将软件安装到受保护的系统目录中，比如 C:\Program Files 在管理上下文中。

多米克