軟體限制策略禁止目錄執行 exe/bat/com：GPO 防 WebShell 落地執行

透過群組原則 (GPO) 軟體限制策略，針對 Web 目錄、暫存目錄實施路徑規則，阻斷惡意腳本落地執行。

操作步驟

1. Win+R → gpedit.msc
2. 電腦配置 → Windows 設定 → 安全性設定 → 軟體限制策略
3. 右鍵「軟體限制策略」→ 「新建軟體限制策略」(若無)
4. 「其他規則」→ 右鍵 → 「新建路徑規則」
5. 設定：
   • 路徑：D:\wwwroot\* (或具體站點目錄)
   • 安全性等級：不允許 (Disallowed)
   • 描述：禁止 Web 目錄執行可執行檔
6. 同理新增規則：
   • C:\Windows\Temp\* → 不允許
   • C:\Windows\Tasks\* → 不允許

效果驗證

• 在受限目錄下雙擊 test.exe / 執行 test.bat → 彈出「被軟體限制策略阻止」
• 即使 SYSTEM 權限進程嘗試啟動亦被攔截

局限性與補充

進階：AppLocker (Win7/2008R2+) 替代方案

• 支援發布者簽名、檔案雜湊、路徑三種規則
• 具備「僅稽核」模式驗證影響範圍
• 可針對特定群組/使用者生效

軟體限制策略屬「執行防護」層，無法替代「寫入防護」 (目錄 ACL 拒絕寫入) 與「代碼審計」。纵深防御需三層並舉。