Windows XP 專業版軟體限制原則深度解析（二）：環境變數、萬用字元與路徑規則優先權

Windows XP 專業版預設環境變數完整對照表

在設定軟體限制原則的路徑規則時，善用環境變數能讓規則更具彈性與通用性。下表彙整 Windows XP Professional 的預設環境變數，說明各變數的類型與用途：

路徑規則中的萬用字元應用

路徑規則支援「?」與「*」兩種萬用字元，靈活套用可大幅簡化規則管理：

• ?：代表單一字元。例如 \\DC???\login$ 可對應 \\DC001\login$、\\DC002\login$ 等。
• *：代表零個或多個字元。常見範例：
  • *\Windows：比對所有磁碟機下的 Windows 目錄及其子目錄
  • C:\win*：比對 C:\winnt、C:\Windows、C:\windir 等
  • *.vbs：比對所有 .vbs 檔案
  • C:\Application Files\*.*：比對特定子目錄下的所有檔案

登錄路徑規則：解決應用程式安裝路徑不固定的問題

許多應用程式將安裝路徑寫入登錄，而非固定安裝在特定資料夾。此時可使用「登錄路徑規則」，格式為：

%<登錄樹>\<登錄機碼名稱>\<值名稱>%

範例：%HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\PlatformSDK\Directories\Install Dir%

注意事項：

1. 規則結尾的 % 符號後不得緊接 \ 字元
2. 登錄樹名稱必須完整拼寫，不支援縮寫（如 HKLM 無效）

預設安全等級設為「不允許」時自動建立的四項登錄路徑規則

為防止系統檔案被封鎖導致無法運作，系統會自動建立下列「不受限制」的登錄路徑規則（僅限進階使用者修改或刪除）：

• %HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRoot%
• %HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRoot%\*.exe
• %HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRoot%\System32\*.exe
• %HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ProgramFilesDir%

路徑規則優先權判斷邏輯

當多個路徑規則同時符合同一程式時，最具體（最明確）的規則優先權最高。優先順序由高至低如下：

1. 磁碟機:\資料夾1\資料夾2\檔案名.副檔名（完整路徑+檔名）
2. 磁碟機:\資料夾1\資料夾2\*.副檔名（資料夾+副檔名萬用字元）
3. *.副檔名（僅副檔名）
4. 磁碟機:\資料夾1\資料夾2\（完整資料夾路徑）
5. 磁碟機:\資料夾1\（較上層資料夾）

網域區域規則

區域規則依據 Internet Explorer 的安全性區域識別軟體來源，適用區域包含：

• Internet
• 近域網路
• 受限制的網站
• 信任的網站
• 我的電腦

重要限制：目前版本的 Internet 區域規則僅適用於 Windows Installer (*.msi) 套件，不適用於透過 IE 下載的一般軟體。所有受區域規則影響的檔案類型均定義於指派檔案類型清單中。

路徑規則選擇建議決策表

軟體限制原則整體優先權階層

不同類型規則間的優先權順序（由高至低）：

1. 雜湊規則 — 最精確，針對特定檔案內容
2. 憑證規則 — 基於數位簽章驗證
3. 路徑規則 — 基於檔案位置
4. 區域規則 — 基於下載來源區域
5. 預設規則 — 最後防線，適用於所有未符合上述規則的軟體

同類規則衝突時：安全性等級較高者優先。例如同一程式同時套用「不允許」與「不受限制」兩個雜湊規則，「不允許」生效，程式將無法執行。

強制執行選項：DLL 檢查與跳過系統管理員

DLL 搪查

預設不檢查 DLL，僅驗證主要可執行檔（.exe）。這是大多數環境的建議設定，原因有三：

1. 封鎖主執行檔即可阻止程式執行，無須額外封鎖其 DLL
2. 啟用 DLL 檢查會顯著降低效能：若使用者執行 10 個程式、每個載入 20 個 DLL，系統需執行 210 次評估（10 個 .exe + 200 個 DLL）
3. 預設安全等級若為「不允許」，系統需同時識別主程式與所有 DLL，負擔過重

何時啟用？ 追求最高安全性時（某些病毒專門感染 DLL）。建議搭配雜湊規則同時識別主程式與所有 DLL。

關閉方式： 在「強制執行屬性」對話框選擇「除程式庫檔案（如 DLL）以外的所有軟體檔案」。

圖 6.9：「強制執行屬性」對話框，顯示檔案與使用者強制選項