第1页共28页编号：时间：2021年x月x日书山有路勤为径，学海无涯苦作舟页码：第1页共28页组策略之软件限制策略——完全教程与规则示例导读实际上，本教程主要为以下内容：理论部分：1.软件限制策略的路径规则的优先级问题2.在路径规则中如何使用通配符3.规则的权限继承问题4.软件限制策略如何实现3D部署（难点是NTFS权限），软件限制策略的精髓在于权限，如何部署策略也就是如何设置权限规则部分：5.如何用软件限制策略防毒（也就是如何写规则）6.规则的示例与下载其中，1、2、3点是基础，很多人写出无效或者错误的规则出来都是因为对这些内容没有搞清楚；第4点可能有点难，但如果想让策略有更好的防护效果并且不影响平时正常使用的话，这点很重要。如果使用规则后发现有的软件工作不正常，请参考这部分内容，注意调整NTFS权限理论部分软件限制策略包括证书规则、散列规则、Internet区域规则和路径规则。我们主要用到的是散列规则和路径规则，其中灵活性最好的就是路径规则了，所以一般我们谈到的策略规则，若没有特别说明，则直接指路径规则。第2页共28页第1页共28页编号：时间：2021年x月x日书山有路勤为径，学海无涯苦作舟页码：第2页共28页一.环境变量、通配符和优先级关于环境变量（假定系统盘为C盘）%USERPROFILE%表示C:\DocumentsandSettings\当前用户名%HOMEPATH%表示C:\DocumentsandSettings\当前用户名%ALLUSERSPROFILE%表示C:\DocumentsandSettings\AllUsers%ComSpec%表示C:\WINDOWS\System32\cmd.exe%APPDATA%表示C:\DocumentsandSettings\当前用户名\ApplicationData%ALLAPPDATA%表示C:\DocumentsandSettings\AllUsers\ApplicationData%SYSTEMDRIVE%表示C:%HOMEDRIVE%表示C:%SYSTEMROOT%表示C:\WINDOWS%WINDIR%表示C:\WINDOWS%TEMP%和%TMP%表示C:\DocumentsandSettings\当前用户名\LocalSettings\Temp%ProgramFiles%表示C:\ProgramFiles%CommonProgramFiles%表示C:\ProgramFiles\CommonFiles第3页共28页第2页共28页编号：时间：2021年x月x日书山有路勤为径，学海无涯苦作舟页码：第3页共28页关于通配符：Windows里面默认*：任意个字符（包括0个），但不包括斜杠?：1个或0个字符几个例子*\Windows匹配C:\Windows、D:\Windows、E:\Windows以及每个目录下的所有子文件夹。C:\win*匹配C:\winnt、C:\windows、C:\windir以及每个目录下的所有子文件夹。*.vbs匹配WindowsXPProfessional中具有此扩展名的任何应用程序。C:\ApplicationFiles\*.*匹配特定目录（ApplicationFiles）中的应用程序文件，但不包括ApplicationFiles的子目录关于优先级:1.绝对路径>通配符相对路径如C:\Windows\explorer.exe>*\Windows\explorer.exe2.文件型规则>目录型规则如若a.exe在Windows目录中，那么a.exe>C:\Windows3.环境变量=相应的实际路径=注册表键值路径如%ProgramFiles%=C:\ProgramFiles=%HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ProgramFilesDir%4.散列规则比任何路径规则优先级都高总的来说，就是规则越匹配越优先注：1.通配符*并不包括斜杠\。例如*\WINDOWS匹配C:\Windows，但不匹配C:\Sandbox\WINDOWS2.*和**是完全等效的，例如**\**\abc=*\*\abc3.C:\abc\*可以直接写为C:\abc\或者C:\abc，最后的*是可以省去的，因为软件限制策略的规则可以直接匹配到目录。4.软件限制策略只对“指派的文件类型”列表中的格式起效。例如*.txt不允许的，这第4页共28页第3页共28页编号：时间：2021年x月x日书山有路勤为径，学海无涯苦作舟页码：第4页共28页样的规则实际上无效，除非你把TXT格式也加入“指派的文件类型”列表中。5.*和*.*是有区别的，后者要求文件名或路径必须含有“.”，而前者没有此限制，因此，*.*的优先级比*的高6.?:\*与?:\*.*是截然不同的，前者是指所有分区下的每个目录下的所有子文件夹，简单说，就是整个硬盘；而?:\*.*仅包括所有分区下的带“.”的文件或目录，一般情况下，指的就是各盘根目录下的文件。那非一般情况是什么呢？请参考第7点7.?:\*.*中的“.”可能使规则范围不限于根目录。这里需要注意的是：有“.”的不一定是文件，可以是文件夹。例如F:...
