利用gpedit.msc(組策略)禁止目錄執(zhí)行某些文件。

　　首先:

　　運(yùn)行-----輸入 gpedit.msc ----計(jì)算機(jī)配置---windows 設(shè)置----安全設(shè)置↓軟件限制策略(如果旁邊沒有什么東西。點(diǎn)右鍵創(chuàng)建一個(gè)策略)---其他規(guī)則----(點(diǎn)右鍵)新建立一個(gè)路徑規(guī)則(p)。

　　如圖:

　　這樣d:wwwroot目錄就無法執(zhí)行任何exe.bat.com文件了。 不管你是什么權(quán)限。即使是system都無法執(zhí)行。

　　這樣大大的提高了被使用exp提升權(quán)限的安全性。

　　當(dāng)然這里提一個(gè)思路。 。大家都知道c:windowstemp是臨時(shí)文件夾。 基本都是所有用戶都可以寫的。它是不需要執(zhí)行權(quán)限的。

　　當(dāng)然我們這里可以給他加一個(gè)規(guī)則。讓c:windowstemp無執(zhí)行權(quán)限。 方法如上。

　　原理：基于軟件策略從這些目錄都無法運(yùn)行程序，增加安全。