Как защитить Flash с помощью EMET?

Question

Я использую EMET для защиты ряда приложений на моем компьютере - веб-браузеров, приложений пакета Office, программ для чтения PDF, а также Adobe Flash. В целом, он работает отлично, за исключением того, что исполняемые файлы Flash содержат номер версии в имени файла, поэтому при каждом обновлении имена файлов меняются, и я должен помнить, что нужно вручную добавлять их в EMET.

Есть ли способ упростить этот процесс? EMET поддерживает подстановочные знаки, но только в самом пути, а не в имени файла, поэтому что-то вроде %windir%\system32\Macromed\Flash\*.exe не будет работать.

Есть ли другой способ добавить целую папку в EMET, чтобы автоматически защитить новые исполняемые файлы в этой папке?

Answer 1

EMET включает в себя инструмент командной строки EMET_Conf.exe . Это можно использовать для настройки практически любого параметра в EMET, включая добавление и удаление приложений.

Следующий код должен добавить все связанные с Flash исполняемые файлы в EMET:

cd %windir%\system32\Macromed\Flash
for %f in (*.exe) do EMET_Conf --set %f

cd %windir%\SysWOW64\Macromed\Flash
for %f in (*.exe) do EMET_Conf --set %f

(Последние две строки нужны только в 64-битной Windows. Для получения дополнительной информации см. Руководство пользователя EMET в каталоге установки.)

Это должно быть выполнено из командной строки с повышенными правами и предполагает, что ваша переменная среды PATH содержит место, где был установлен EMET. Если это не так, и вы не можете или не хотите добавлять его, замените EMET_Conf в приведенном выше коде на полный путь, например:

for %f in (*.exe) do "C:\Program Files (x86)\EMET\EMET_Conf.exe" --set %f

Приведенный выше код можно сохранить в файле .bat, а затем настроить для запуска в качестве запланированной задачи. Выберите желаемое расписание (один раз в день кажется хорошим выбором, поскольку именно так часто проверяются обновления Flash), и обязательно установите флажок "Запускать с наивысшими привилегиями", поскольку EMET требует прав администратора.

Единственным недостатком этого подхода является то, что старые записи не очищаются, поэтому через некоторое время в вашей конфигурации EMET появляется множество несуществующих исполняемых файлов, которые необходимо очистить вручную. Тем не менее, с небольшим изменением, код может быть изменен для регистрации каждого исполняемого файла, который он добавляет, в текстовый файл, а затем при следующем запуске вызовет EMET_Conf --delete для каждого из этих файлов перед добавлением новых:

for /F "tokens=1" %%f in (log.txt) do EMET_Conf --delete %%f
type nul > log.txt
for %%f in (%windir%\system32\Macromed\Flash\*.exe) do EMET_Conf --set %%f && echo %%f >> log.txt
for %%f in (%windir%\SysWOW64\Macromed\Flash\*.exe) do EMET_Conf --set %%f && echo %%f >> log.txt