☰

允許軟體限制策略中位於 Thunderbird 設定檔中的 DLL

tag-icon • tag-icon windows security group-policy
允許軟體限制策略中位於 Thunderbird 設定檔中的 DLL

我正在我們的工作站上實施軟體限制策略。此策略是阻止除白名單路徑清單之外的所有內容。

我正在嘗試將 Thunderbird 使用者設定檔中的目錄列入白名單，以允許 Lightning 擴充功能工作。路徑是%APPDATA%\Roaming\Thunderbird\Profiles\*\extensions\{e2fda1a4-762b-4020-b5ad-a41df1933103}\components\calbasecomps.dll.

使用者的個人資料名稱是隨機產生的，因此我需要一個通配符。

不幸的是，由於通配符的原因，這似乎不起作用。該 DLL 繼續被 SRP 阻止。

我還嘗試將憑證列入白名單（DLL 由 Mozilla 憑證簽署），但這不起作用。也許這僅適用於簽署的 .exe？

我暫時將雜湊值列入白名單，但這需要在每次發布 Thunderbird 後進行維護，因此我更願意將路徑列入白名單。

Applocker 不是選項，我們使用的是 Windows 10 Pro。

任何想法？

答案1

幾分鐘前我遇到了同樣的問題，現在我認為解決方案比你想像的更簡單。

%APPDATA%\Roaming\Thunderbird\Profiles\*\extensions\{e2fda1a4-762b-4020-b5ad-a41df1933103}\components\calbasecomps.dll

變得：

%APPDATA%\Thunderbird\Profiles\*\extensions\{e2fda1a4-762b-4020-b5ad-a41df1933103}\components\calbasecomps.dll

（無需明確“Roaming”子資料夾，因為 APPDATA 已經解析了它。）

無論如何，恕我直言，這會遭受有針對性的攻擊，因為該 DLL 將保持用戶可寫入狀態。

歡迎提出建議。 ;-)

答案2

  1. 向 Mozilla 提交錯誤報告！

  2. 切勿使用「％APPDATA％」之類的元件定義路徑規則，這些元件處於使用者的完全控制之下（這裡是變數和目錄）。

  3. 切勿也使用此類元件定義登錄路徑規則。

  4. 為 DLL 定義哈希或證書規則！

相關內容