Question

一个关于Windows组策略的问题

利用Windows组策略可以阻止某个程序的运行,
方法如下:
运行 - 输入"gpedit.msc"回车 - 计算机配置 - Windows设置 - 安全设置 - 软件限制策略 - 右击 - 创建软件限制策略 - 其他规则 - 右击 - 新建哈希规则 - 浏览 - 找到要阻止的程序 - 打开 - 安全级别 - 不允许的.
这样就建立了一条阻止程序运行的策略,通过哈希规则建立的策略我们发现不光是不能运行指定的程序,连指定程序的副本(即拷贝出来的)都无法运行了...

而上面的情况是基于 软件限制策略 - 安全级别 - 默认设置为"不受限的" 情况下,
那么 软件限制策略 - 其他规则 可看做是默认设置下的特例,
也就是说它的设置不受默认设置的影响,

现在问题出来了,
将 软件限制策略 - 安全级别 - 默认设置为"不允许的",
然后在 软件限制策略 - 其他规则 - 添加一条哈希规则并设置安全级别为"不受限的",
但设置为不受限的程序仍然无法运行.

我想问的是,
如果我想只允许个别程序运行,而禁止大多数,该如何设置?
或者可以利用别的软件实现么?
使用Windows组策略的有效答案将优先采纳,
如果是使用其他软件,请给出详细的解决方案...

-----2009-8-1 9:34:24-----
我想搞懂为什么设置不了仅允许运行的特例...

-----2009-8-1 11:02:57-----
回答者： 120680451 所说的是在用户配置下进行的吗,
我说的是在计算机配置里面,
用户配置只针对当前用户起作用,
而我想让策略针对当前计算机的每个用户起作用...

Answer 1

呵呵，你也研究过这个呀！我也玩过这个，为了防U盘毒，我就用这个东东禁止了从U盘运行程序。当然瑞星也有这个功能的。

闲话少说，你的问题我已经明白，我说说我对“软件限制策略”的看法吧。

1.那个默认安全级别是在用户不设置其他规则的情况下，软件的一个运行级别。如果“不允许”是默认的，那么你没有设置其他规则，则所有的软件都不能运行的，除非你自己设定一个规则。如果“不受限”是默认的，那么你没有设置其他规则，则所有的软件都是可以运行的，想要它不能运行，你必须自己添加规则。

2.其它规则的路径是可以带通配符的，比如"*"、"*.*"、"*.txt"等。比如："d:\*"指D盘下所有的文件，这些个你应该能明白吧！

3.一般我们能禁止的是exe、cmd、bat等常见的软件，而txt、swf这些文件是禁止不了的。但是我们可以添加文件类型的。选中“软件限制策略”，在右边就可看到有个“指派文件类型”，点开后，你就可以自己添加一些文件类型了，如果你把txt加进去了，那么txt会和exe等软件一样具有运行级别了。

好了，现在开始解决你的问题了：
方法一：把“不允许”作为默认级别，你自己再添加规则，设置你想运行的程序。按你说的，好像不行。我不知道为什么在你机子上不行，我机子上是可以的，你可以再试试，改了后，等一会儿，不要改了后，马上去试。还有，我机上没有“新建哈希规则”，取代的是“新建散列规则”。此方法不怎么好，因为默认的为“不允许”，那么所有的都运行不了了。忘了说了，我的系统是XP professional SP3。
方法二：把“不受限”作为默认级别，先添加规则不让所有程序运行，再添加规则设置你想运行的程序。

至于，“不要运行指定的Windows应用程序”和“只运行许可的Windows应用程序”，你也可以试试，这个就不累赘了。我想说的就是它们添加的是应用程序的名字，不管应用程序在哪儿都有效，而一但你把应用程序改名了，规则就效了。
补：是在机算机配置里呀，“软件限制策略”只有在”计算机配置里“才有的。
有什么问题可以QQ我。

Answer 2

因为你的规则有两个一个是不允许，一个是不受限制，这两个是并行的，默认情况是不受限制，如果一个exe 你既做了不允许，又做了不受限，因为默认就是不受限，你在加个不受限，已经没有意义，假设你是操作系统系统，你最后也是选择不允许，假设用户设置了一条规则，不受限是方便用户随时解锁的，不是你理解的建立个大规则，然后，再建立排除规则，这么理解不对

如果你只想实现你说的功能，楼上的方法还是不错的，类似映像劫持 ，当然改下文件名字就可以突破了

好了，忙别个了，希望能够帮助到你

Answer 3

你的方法听麻烦的呢？ 还建规则

你看我的方法怎么样？ 也是禁止运行一个软件

运行 - 输入"gpedit.msc"回车 - 用户配置 - 管理模块--系统--不要运行指定的windows应用程序

这个应用 只需把不想运行的软件exe 名字输入进去 qq.exe 就那么简单

就不能运行了

Answer 4

开始，运行，输入REGEDIT打开注册表管理器，在HKEY_LOCAL_MACHINE/SOFTWARE/MICROSOFT/WINDOWS NT/CurrentVersion/Image File Execution Options下新建项，名为你不想运行的可执行程序名程（EXE格式），比如，你希望QQ.EXE无法运行，就新建一个名为QQ.EXE的项，然后在右面窗口中新建一个名为debugger的字附串值，将其数值改为你想运行QQ时所打开的程序，可以是其他程序，也可指定到一个双击后无反应的程序。如C:\WINDOWS\twunk_32.exe,也可以是C:\WINDOWS\SYSTEM32\CMD.EXE（双击QQ时就会打开CMD命令提示行）。许多病毒用此功能将一些杀软劫持，指定到病毒程序，当你中毒时每打开一次杀软，就等于释放一次病毒。

Answer 5

你看看“我的电脑 ，属性 ， 高级， 第一个设置（性能） ，数据执行保护 你看着办吧

Answer 6

试试绿坝？