1. Wscript.Shell与Shell.Application的安全风险解析

在Windows系统中，Wscript.Shell和Shell.Application这两个COM对象长期以来都是系统管理员又爱又恨的存在。它们提供了强大的系统交互能力，允许脚本执行诸如文件操作、注册表修改、进程启动等关键功能。但正是这种强大的能力，使其成为恶意脚本最常滥用的对象之一。

Wscript.Shell对象的主要危险方法包括：

• Run和Exec方法：可执行任意系统命令
• RegRead/RegWrite/RegDelete：直接操作注册表
• SpecialFolders属性：获取系统敏感路径
• Environment属性：读取或修改系统环境变量

Shell.Application的典型危险操作有：

• NameSpace方法：访问文件系统命名空间
• ShellExecute方法：启动应用程序
• Windows和Document对象：操作打开的窗口

2. 禁用Wscript.Shell的三种实现方案

2.1 通过注册表永久禁用

最彻底的禁用方式是通过修改Windows注册表。以下是具体步骤：

1. 打开注册表编辑器（regedit）
2. 导航至以下路径：

   HKEY_CLASSES_ROOT\WScript.Shell\ HKEY_CLASSES_ROOT\WScript.Shell.1\

3. 分别在这两个项上右键选择"权限"
4. 为所有用户设置"拒绝完全控制"
5. 对"Shell.Application"和"Shell.Application.1"重复相同操作

重要提示：修改前请先备份注册表，错误的权限设置可能导致系统功能异常。

2.2 使用组策略限制脚本执行

对于企业环境，组策略是更安全的集中管理方案：

1. 打开组策略编辑器（gpedit.msc）
2. 导航至：

   计算机配置 → 管理模板 → Windows组件 → Windows脚本宿主

3. 启用"禁用Windows脚本宿主"策略
4. 在"软件限制策略"中创建新规则，禁止wscript.exe和cscript.exe执行

2.3 应用控制策略（AppLocker）

Windows企业版和专业版可配置AppLocker：

<RuleCollection Type="Script" EnforcementMode="Enabled"> <FilePublisherRule Action="Deny" Description="Block WSH" UserOrGroupSid="S-1-1-0" FilePublisherCondition="*"/> </RuleCollection>

3. 企业环境下的深度防御措施

3.1 文件系统权限加固

除了禁用COM对象外，还应限制相关可执行文件的权限：

# 禁用默认脚本宿主程序 icacls "%SystemRoot%\System32\wscript.exe" /deny Everyone:(F) icacls "%SystemRoot%\System32\cscript.exe" /deny Everyone:(F) # 限制脚本文件执行权限 icacls "*.vbs" /deny Everyone:(RX) icacls "*.js" /deny Everyone:(RX) icacls "*.wsf" /deny Everyone:(RX)

3.2 杀毒软件例外规则配置

大多数杀毒软件可以检测恶意脚本行为，建议配置以下检测规则：

• 检测脚本中使用Wscript.Shell的代码模式
• 监控注册表中相关CLSID的访问
• 拦截可疑的脚本执行链

3.3 日志监控策略

启用并监控以下事件日志：

• Windows事件ID 4688：进程创建
• PowerShell事件ID 4104：脚本块执行
• Sysmon事件ID 1：进程创建
• 注册表访问事件（需启用详细审核）

4. 禁用后的兼容性处理方案

4.1 合法脚本的替代方案

对于确实需要使用脚本功能的场景，可考虑以下替代方案：

1. PowerShell受限模式：

   # 启动约束语言模式 $ExecutionContext.SessionState.LanguageMode = "ConstrainedLanguage"

2. Windows Sandbox：在隔离环境中运行可疑脚本

3. 专用服务账户：为需要执行脚本的应用创建低权限账户

4.2 应用程序兼容性修复

某些合法应用可能需要Wscript.Shell功能，可通过以下方式解决：

1. 使用manifest文件重定向：

   <compatibility xmlns="urn:schemas-microsoft-com:compatibility.v1"> <application> <compatibilitySetting name="DisableIsolatedWScript" value="true"/> </application> </compatibility>

2. 虚拟化技术：使用App-V或MSIX打包应用

3. API Hook替换：开发替代组件实现安全的功能子集

5. 验证禁用效果的测试方法

实施禁用后，应通过以下方式验证效果：

1. 基本功能测试脚本：

   On Error Resume Next Set obj = CreateObject("WScript.Shell") If Err.Number <> 0 Then WScript.Echo "WScript.Shell is disabled" Else WScript.Echo "WScript.Shell is still available" End If

2. 进程监控：

   procmon /AcceptEula /Filter "ProcessName is wscript.exe or ProcessName is cscript.exe"

3. 注册表访问监控：

   reg add HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /t REG_DWORD /d 1 /f

6. 高级防护：基于EMET的缓解措施

对于需要更高级防护的环境，可配置增强缓解体验工具包(EMET)：

1. 启用以下防护措施：

   • ASLR强制
   • DEP永久
   • SEHOP
   • HeapSpray

2. 为wscript.exe和cscript.exe配置特殊规则：

   [wscript.exe] DEP=AlwaysOn SEHOP=AlwaysOn ASLR=AlwaysOn

3. 启用攻击面减少规则：

   Add-MpPreference -AttackSurfaceReductionRules_Ids D4F940AB-401B-4EFC-AADC-AD5F3C50688A -AttackSurfaceReductionRules_Actions Enabled