了解并运行 Internet Explorer 保护模式

了解保护模式

“保护模式”是 Internet Explorer (IE) 安全性方面的一项重大的进步；在 Windows Vista 上，通过以严格限制的权限运行 IE 进程来保护用户免受攻击。 尽管“保护模式”不能防止所有形式的攻击，但它明显降低了对用户机器上的数据进行写入、改写或破坏或安装恶意代码等攻击的可能性。

保护模式简介

虽然大多数 Internet Explorer 7 安全功能都将在 Windows XP Service Pack 2 的 Internet Explorer 7 中提供，但“保护模式”仅适用于 Windows Vista，因为它是建立于 Windows Vista 的新增安全功能。

Windows Vista 安全基础结构使“保护模式”可以为 Internet Explorer 提供浏览 Web 所需的权限，同时还可限制无提示安装程序或修改敏感系统数据所需的权限。

本节将帮助您了解“保护模式”，介绍 Windows Vista 完整性访问级别，并概括说明 Internet Explorer 扩展程序的兼容性影响。

了解 Windows Vista 的完整性机制

Windows Vista 增加了 Windows 访问控制安全机制，可使用完整性级别对进程和其他安全对象进行标记。 面向 Internet 的程序相对于其他程序来说受到攻击的风险性更高，因为它们可能会从未知来源下载不可靠的内容。 与其他程序相比，用更少的权限或以更低的完整性级别运行这些程序，会降低修改系统或损害用户数据文件的可能性。

“保护模式”利用 Windows Vista 完整性机制以低完整性运行 Internet Explorer 进程。 Windows Vista 完整性级别机制的主要功能如下：

Windows Vista 中所有文件和注册表项的默认完整性级别均为“中”。 低完整性进程，如保护模式下的 Internet Explorer，将在试图修改现有文件时收到拒绝访问错误。

有些文件夹具有低完整性强制标签。 低完整性进程，如保护模式下的 Internet Explorer，可以在低完整性文件夹中创建和修改文件。 例如，“Internet 临时文件”文件夹包含名为“Low”的文件夹，即为低完整性文件夹。 Windows Vista 完整性机制会自动为低完整性进程创建的安全对象分配低完整性强制标签。 其结果就是，保护模式下 Internet Explorer 创建的所有文件和其他对象，或者其他任何低完整性进程都会自动分配低完整性强制标签。 默认情况下，由低完整性进程启动的子进程也将以低完整性级别运行。 保护模式允许用更高的完整性创建进程。 有关详细信息，请参阅从保护模式启动进程章节内容。

下表列出了所支持的完整性访问级别及其所授予的权限。

了解保护模式

保护模式建立于新的完整性机制之上，以限制对安全对象（如，具有更高完整性级别的进程、文件和注册表项）的写入权限。 当以保护模式运行时，Internet Explorer 是一个低完整性进程；因此它无法获得对用户配置文件或系统位置中文件和注册表项的写入权限。

低完整性进程只能写入已经分配低完整性强制标签的文件夹、文件和注册表项。 因此，以“保护模式”运行的 Internet Explorer 和扩展程序只能写入低完整性位置，例如，新的低完整性“Internet 临时文件”文件夹、历史记录文件夹、Cookie 文件夹、收藏夹文件夹和 Windows 临时文件文件夹。 有关完整列表，请参阅常见问题(FAQ)章节内容。

此外，Windows Vista 投入市场时“保护模式”进程以低完整性级别运行，这样可防止其将特定的窗口消息发送到完整性更高的进程。 有关详细信息，请参阅 Developer Best Practices and Guidelines for Applications in a Least Privileged Environment 中的“User Interface Privilege Isolation Overview”部分。

通过阻止对用户系统敏感区域进行未经授权的访问，“保护模式”可限制由受损 IE 进程造成的损失程度。 例如，攻击者无法悄无声息地将击键记录程序安装到用户的“启动”文件夹。 同样，受损的进程也无法通过窗口消息操作桌面上的应用程序。

当然，这些防御措施也限制了对更高完整性位置的合法更改。 因此，“保护模式”提供了可降低对现有扩展程序影响的兼容性体系结构，如下图所示。

图 1.保护模式兼容性体系结构

有关详细信息，请参阅使用保护模式。

配置保护模式

保护模式可在 Internet Explorer 的 Internet 选项对话框中配置。 要配置“保护模式”，请单击“Security”（安全性）选项卡，选择 Web 内容区域，然后更改“Enable Protected Mode”（启用保护模式）复选框。 默认情况下，Internet、Intranet 和“受限站点”区域启用“保护模式”。 要验证 Internet Explorer 是否以保护模式运行，请在 Internet Explorer 状态栏中显示的 Web 内容区域旁 查找文字“保护模式：开”。

如果 Windows Vista 通过 URLACTION_LOWRIGHTS (0x00002500)URL 操作交付，可通过组策略配置“保护模式”。 有关详细信息，请参阅 URL 安全区域简介。

返回页首

使用保护模式

此部分说明扩展程序如何在“保护模式”下执行常见任务；介绍如何查找低完整性对象位置、将文件保存在低完整性文件位置之外、取消进程的保护模式以及调试保护模式访问故障。

查找低完整性写入位置

在 Windows Vista 中，安全对象会自动继承那些创建此对象及其容器的完整性级别中较低的那一个进程的完整性。 因此，在保护模式下创建的文件或注册表项具有低完整性。 这意味着低完整性进程可以获得对其所创建对象的写入权限。 但是，低完整性进程无法获得对用户配置文件中的中等或高完整性文件夹或文件的写入权限。

在写入低完整性位置前，扩展程序可通过调用IEIsProtectedModeProcess 函数确定 Internet Explorer 是否在“保护模式”下运行。 处于“保护模式”下时，扩展程序可将文件写入用户 UserProfile 文件夹下的文件夹中，通常是 %userprofile%\AppData\LocalLow。 使用 SHGetKnownFolderPath 函数和 FOLDERID_LocalAppDataLow 标志以获得扩展的文件夹名称。

SHGetKnownFolderPath(FOLDERID_LocalAppDataLow, 0,   
   NULL, szPath, ARRAYSIZE(szPath));

注意 保护模式会修改 IE 的环境变量。 因此，GetTempPath() 函数在保护模式活动状态下被调用时返回 %Temp%\Low。

低完整性进程可以创建并写入注册表的低完整性子项，例如 HKEY_CURRENT_USER\Software\LowRegistry。 使用IEGetWriteableHKCU 函数可获得低完整性注册表位置。

安全警报 小心避免混淆完整性级别。 应将低完整性对象与中等或高完整性对象分别进行存储。 另外，中等和高完整性应用程序不应打开未经适当验证的低完整性对象。

将文件保存到用户配置文件

有些扩展程序需要将文件保存到特定位置，以便用户或应用程序以后可以找到该文件。 下列步骤展示如何将文件保存到低完整性位置之外。

执行此操作时，“保护模式”的用户代理程序会将文件从临时位置复制到用户选择的位置。

要获得对其他中等完整性对象的写入权限，请使用自定义代理程序进程，然后将您的代理程序提升至中级进程。 作为中级进程运行时，代理程序对象可以访问中等完整性对象。 有关详细信息，请参阅从保护模式启动进程。

从保护模式启动进程

通常，扩展程序应尽可能作为低完整性进程运行。 这可提供防御恶意攻击的最佳保护。 不过，有时扩展程序可能需要访问中等甚至高完整性对象。

因此，先创建一个代理程序进程来访问完整性更高的对象，然后以更高的完整性级别启动代理程序进程。 默认情况下，Internet Explorer 将提示用户确认中等完整性提升进程，如下列屏幕快照所示。

图 1.保护模式提升确认提示

可通过创建提升策略将您的代理程序进程自动提升至中等完整性级别，该策略包含一组告诉“保护模式”如何处理特定代理程序提升的注册表项和值。 提升策略必须拥有一个与其关联的全局唯一标识符 (GUID)。 使用CreateGuid 为策略创建新的 GUID。 然后，将注册表项添加至以下位置。

HKEY_LOCAL_MACHINE SOFTWARE Microsoft Internet Explorer Low Rights ElevationPolicy

将新注册表项的名称设置为针对策略所创建的 GUID，然后将以下设置添加到注册表项中。

为便于说明，以下策略会将名为 contoso.exe 的虚拟代理程序自动提升至中等完整性级别。

HKEY_LOCAL_MACHINE
  SOFTWARE
    Microsoft
      Internet
        Explorer
          LowRights
            ElevationPolicy
              {0002df01-0000-0000-c000-000000000046}
                AppName="Contoso.exe"
                AppPath="C:\%USERPROFILE%\Application Data\Contoso"
                Policy=(DWORD) 00000003

如果 Microsoft 确定某个应用程序存在漏洞并对最终用户构成威胁，Microsoft 会保留随时将该应用程序从提升策略中删除的权利。

您也可以创建代理程序进程来访问高完整性对象。 有关介绍如何以高完整性级别启动代理程序进程的信息，请参阅 Developer Best Practices and Guidelines for Applications in a Least Privileged Environment中的 Guidelines for Administrative User Applications部分。 请注意，由于 UAC 将完成提升，所以您不必创建提升策略。

如果现有的扩展程序使用 rundll32.exe 来托管 .DLL 库，您可以默认以低完整性启动 rundll32.exe 进程，方法是将库的文件名添加到以下注册表项中。

HKEY_LOCAL_MACHINE
  SOFTWARE
    Microsoft
      Internet
        Explorer
          LowRights
            RunDll32Policy

下例展示了使用 rundll32.exe 默认以低完整性加载虚拟 contoso.dll 库的设置。

HKEY_LOCAL_MACHINE
  SOFTWARE
    Microsoft
      Internet
        Explorer
          LowRights
            RunDll32Policy
              contoso.dll

注意 最好的方法是创建一个自定义 exe 来托管 DLL，而不使用 rundll32.exe。

允许在应用程序中进行拖放操作

默认情况下，“保护模式”在允许将 Web 内容复制到完整性更高的进程前会提示用户。

要避免出现该提示，可以对应用程序进行注册，然后通过创建 DragDrop 策略以拖放操作默认接受 Web 内容。 DragDrop 策略必须拥有一个与其关联的全局唯一标识符 (GUID)。 使用 CreateGuid 为策略创建新的 GUID。 然后，将注册表项添加至以下位置。

HKEY_LOCAL_MACHINE
  SOFTWARE
    Microsoft
      Internet
        Explorer
          LowRights
            DragDrop

将新注册表项的名称设置为针对策略所创建的 GUID，然后将以下设置添加到注册表项中。

以下示例展示了将所有 Web 内容默认复制到虚拟 contoso.exe 应用程序的设置

HKEY_LOCAL_MACHINE
  SOFTWARE
    Microsoft
      Internet
        Explorer
          LowRights
            DragDrop
              AppName="contose.exe"
              AppPath="C:\%USERPROFILE%\Application Data\Contoso"
              Policy=(DWORD) 00000003

允许应用程序接收 Window 消息

如上文所述，UIPI 会阻止窗口消息从低完整性进程发送至具有更高完整性的进程。 如果运行于“保护模式”下的扩展程序需要通过窗口消息与提升的应用程序通信，则可以从提升的应用程序调用 ChangeWindowMessageFilter() 以传送特定的消息。

注意 如果要与“保护模式”通信，最佳的做法是以低完整性运行应用程序。 否则，请只使用进程间通信 (IPC) 的安全形式，例如远程过程调用 (RPC)，在“保护模式”和完整性较高的进程之间进行通信。

启动和导航保护模式进程

如若应用程序使用 IWebBrowser2 启动 Internet Explorer 并以编程方式导航，应使 IE Frame 在导航后可见。

以下示例介绍了如何使用 C++ 来执行此操作。

hr = CoCreateInstance(CLSID_InternetExplorer, NULL, CLSCTX_LOCAL_SERVER,   
                        IID_IWebBrowser2,(LPVOID*)&pIWebBrowser2);  
  hr = pIWebBrowser2->Navigate(bstrUrl, &vEmpty, &vEmpty, &vEmpty, &vEmpty);  
  hr = pIWebBrowser2->put_Visible(VARIANT_TRUE);

以下示例显示了 JScript 版本。

var ie = new ActiveXObject("InternetExplorer.Application");  
  ie.Navigate("http://www.msn.com");  
  ie.visible = true;

使用应用程序兼容性工具包进行调试

“保护模式”适用于随 Windows XP Service Pack 2 引入的 Microsoft 应用程序兼容性工具包。

Internet Explorer 或其扩展程序尝试在“保护模式”下写入安全对象时，应用程序兼容性日志所包含的条目可描述该操作及其结果。 以下列表介绍了日志条目中的值。

当尝试确定操作未按预期运转的原因时，此信息非常有用。

返回页首

设计安全扩展程序

为“保护模式”开发安全的 Internet Explorer 扩展程序与为 Windows Vista 开发安全的应用程序没有什么不同。 除 Developer Best Practices and Guidelines for Applications in a Least Privileged Environment 和 ActiveX Security: Improvements and Best Practices 中提供的指南之外，扩展程序的开发人员应了解如何从扩展程序安装软件、启动低完整性进程、降低资源完整性级别以及确定进程完整性级别。 本节将介绍如何执行这些任务。

从扩展程序安装软件

在“保护模式”下运行时，ActiveX 控件和其他扩展程序无法安装软件。 如果您的扩展程序需要修改高完整性对象，例如 Program files 或 HKEY_LOCAL_MACHINE 下的注册表项，则应创建一个可使用管理员权限运行的独立安装应用程序。

要使用管理员权限启动应用程序，可按 Developer Best Practices and Guidelines for Applications in a Least Privileged Environment 中提供的详细信息构成一个应用程序清单。 安装后，运行于“保护模式”下的扩展程序能够以中等完整性启动应用程序，而不是以高完整性将其从安装应用程序启动。 这样有助于保护用户，因为此时应用程序以用户权限运行，而不是管理员权限。

启动低完整性进程

默认情况下，子进程会继承父进程的完整性级别。 要从“保护模式”启动低完整性进程，请调用 CreateProcessAsUser。 要从中等完整性进程启动低完整性进程，则必须以低完整性显式启动新进程。 此进程包含三个步骤。

以下代码示例显示了这一过程。

#include "winnt.h"  
  
BOOL b;  
HANDLE hToken;  
HANDLE hNewToken;  
PWSTR szProcessName = "LowClient";     // 例如  
PWSTR szIntegritySid = "S-1-16-4096";  // 低完整性 SID  
PSID pIntegritySid = NULL;  
TOKEN_MANDATORY_LABEL TIL = {0};  
PROCESS_INFORMATION ProcInfo = {0};  
STARTUPINFO StartupInfo = {0};  
ULONG ExitCode = 0;  
  
b = OpenProcessToken(GetCurrentProcess(), MAXIMUM_ALLOWED,   
  &hToken);  
b = DuplicateTokenEx(hToken, MAXIMUM_ALLOWED, NULL,   
   SecurityImpersonation, TokenPrimary, &hNewToken);  
b = ConvertStringSidToSid(szIntegritySid, &pIntegritySid);  
TIL.Label.Attributes = SE_GROUP_INTEGRITY;  
TIL.Label.Sid = pIntegritySid;  
  
// 设置进程完整性级别  
b = SetTokenInformation(hNewToken, TokenIntegrityLevel, &TIL,   
  sizeof(TOKEN_MANDATORY_LABEL) + RtlLengthSid(pIntegritySid));  
  
// 设置进程的 UI 权限级别  
b = SetTokenInformation(hNewToken, TokenIntegrityLevelDesktop,   
  &TIL, sizeof(TOKEN_MANDATORY_LABEL) + RtlLengthSid(pIntegritySid));  
  
// 以低完整性创建新进程  
b = CreateProcessAsUser(hNewToken, NULL, szProcessName, NULL, NULL,   
  FALSE, 0, NULL, NULL, &StartupInfo, &ProcInfo);

注意 也可通过设置注册表项从“保护模式”启动低完整性进程。 有关详细信息，请参阅启动进程。

降低资源完整性

通常，对于较高级别的进程而言，使用低完整性进程接受输入或共享资源并不是一个很好的安全做法。 这存在低完整性进程可能尝试恶意操作的风险。 不过，有时需要这样设计。

注意 从完整性较低的进程接受输入或共享资源的应用程序应假定完整性较低的进程所提供的数据不能信任，然后再执行适当的验证。 例如，“保护模式”从 Internet Explorer 用户代理程序进程显示“另存为”对话框；这样用户可以确认他们是否想要使用以高于“保护模式”的权限运行的进程来保存文件。

因为低完整性应用程序只能写入低完整性资源，所以需要降低共享资源的完整性级别。

以下代码示例显示了这一过程。

#include <sddl.h>  
  
   // 要对低完整性设置的 LABEL_SECURITY_INFORMATION SDDL SACL  
   #define LOW_INTEGRITY_SDDL_SACL_W L"S:(ML;;NW;;;LW)"  
  
   BOOL  b = TRUE;  
   DWORD dwErr = ERROR_SUCCESS;  
   PSECURITY_DESCRIPTOR pSD = NULL;      
   PACL pSacl = NULL;                  // 未分配  
   BOOL fSaclPresent = FALSE;  
   BOOL fSaclDefaulted = FALSE;  
   LPCWSTR pwszFileName = "Sample.txt";  
  
   b = ConvertStringSecurityDescriptorToSecurityDescriptorW(  
      LOW_INTEGRITY_SDDL_SACL_W, SDDL_REVISION_1, &pSD, NULL);  
   b = GetSecurityDescriptorSacl(pSD, &fSaclPresent,   
      &pSacl, &fSaclDefaulted);  
  
   // 请注意，psidOwner、psidGroup 和 pDacl 均为 NULL   
   // 并设置新的 LABEL_SECURITY_INFORMATION  
   dwErr = SetNamedSecurityInfoW((LPWSTR) pwszFileName, SE_FILE_OBJECT,   
      LABEL_SECURITY_INFORMATION, NULL, NULL, NULL, pSacl);

应用程序进程只能将安全对象的完整性级别设置为此应用程序进程的完整性级别或低于此级别。

Windows Vista 允许对象所有者更改安全对象的完整性访问级别。 此类更改不会更新审核日志。

安全对象中拥有 READ_CONTROL 权限的进程可以使用 GetNamedSecurityInfo 来确定对象的完整性级别。

注意 甚至低完整性文件也将被保护模式的兼容性修补程序重新定向到常见问题中所提及的已知位置之外。

确定进程完整性级别

能够在不同进程中运行的扩展程序，可能希望检查代码是否运行于低完整性或中等完整性级别的进程中，并对行为进行相应的修改。 下列步骤展示了如何确定进程的完整性级别。

以下代码示例显示了如何执行此操作。

BOOL b = TRUE;  
HANDLE hToken;  
HANDLE hProcess;  
DWORD dwLengthNeeded;  
DWORD dwError = ERROR_SUCCESS;  
PTOKEN_MANDATORY_LABEL pTIL = NULL;  
LPWSTR pStringSid;  
  
hProcess= GetCurrentProcess();  
b = OpenProcessToken(hProcess,   
  TOKEN_QUERY | TOKEN_QUERY_SOURCE, &hToken);  
  
// 获取完整性级别。  
b = GetTokenInformation(hToken,   
  TokenIntegrityLevel, NULL, 0, &dwLengthNeeded);  
  
if (!b)  
{  
  dwError = GetLastError();  
  if (dwError == ERROR_INSUFFICIENT_BUFFER)  
  {  
    pTIL = LocalAlloc(0, dwLengthNeeded);  
    if (pTIL == NULL)  
    {  
      b = FALSE;  
      dwError = ERROR_NOT_ENOUGH_MEMORY;  
      goto Cleanup;  
    }  
  
    b = GetTokenInformation(hToken, TokenIntegrityLevel,   
      pTIL, dwLengthNeeded, &dwLengthNeeded);  
    if (!b)  
    {  
      dwError = GetLastError();  
      goto Cleanup;  
    }  
  }  
  
  if (pTIL)   
  {  
    wprintf(L"完整性级别：\n");  
    b = ConvertSidToStringSid(pTIL-&>Label.Sid, &pStringSid);   
}

返回页首

常见问题

问： UAC 文件和注册表虚拟化是否适用于“保护模式”？

答： 不，UAC 虚拟化不适用于“保护模式”，因此写入到敏感区域的“保护模式”扩展程序的写入权限不会重新定向。

“保护模式”也不具有对系统区域中重定向或虚拟存储的写入权限。 运行于“保护模式”下的扩展程序在其试图写入敏感系统区域时，会返回“拒绝访问”错误。

问： USER PROFILE 或 HKEY_CURRENT_USER 注册表位置中，是否存在 Internet Explorer 保护模式扩展程序无法写入的特定位置？

答： 有，在下列 USER PROFILE 文件夹中特定于 Internet Explorer 的位置。

Documents and Settings\%USER PROFILE%... ...\Local Settings\Temporary Internet Files ...\Local Settings\Temp ...\Local Settings\History ...\%USER PROFILE%\Favorites ...\%USER PROFILE%\Cookies

扩展程序可以写入以下位置。

Documents and Settings\%USER PROFILE%... ...\Local Settings\Temporary Internet Files\Low ...\Local Settings\Temp\Low ...\Local Settings\History\Low ...\%USER PROFILE%\Favorites\Low ...\%USER PROFILE%\Cookies\Low %USER PROFILE%\AppData\LocalLow

请注意，扩展程序无法写入诸如 Program Files 文件夹、HKEY_CLASSES_ROOT 或 HKEY_LOCAL_MACHINE 子树之类的系统位置。

此外，扩展程序如果试图使用以下二进制 API 函数获得对安全对象的写入权限，将会收到“拒绝访问”错误。

Internet Explorer 二进制

其他二进制

问： 如何防止工具栏启动提升的 Internet Explorer 进程？

答： 许多工具栏的安装都将关闭所有正在运行的 Internet Explorer 实例，并在安装完成后启动新的实例，因此可以看见新的工具栏。 问题在于新的 Internet Explorer 是从提升的进程启动，因此它也进行了提升。 通过关闭 Internet Explorer 并以较低的完整性级别重新启动工具栏，可以避免这一问题。 有关详细信息，请参阅启动低完整性进程。

返回页首

致谢

谨对以下在本文的准备和审查方面给予帮助的人士表示感谢： Robert Gu、Vidya Nallathimmayyagari、Jeremy Epling、Sharath Udupa、Hao-Wei Liu、Bogdan Tepordei、Lance Leonard 和 Will Mason。

----------------------------------------------------------------------------

Marc Silbey 和 Peter Brundrett 是 Internet Explorer 和 Windows Security 团队的项目经理。

© 2006 Microsoft Corporation 版权所有。 保留所有权利。

返回页首