Windows多媒体站点权限配置自动化脚本

　　“Windows多媒体站点权限配置自动化脚本”——这串字符我去年十月份在某省广电中心的42号机房第三排工位上敲出来的，当时它还带着PowerShell 5.1的语法毛边和一段没处理好的UAC弹窗拦截逻辑。

　　实测数据里它跑通了78个IE模式站点，覆盖央视网、Bilibili旧版嵌入页、中国教育电视台点播系统、国家数字图书馆音视频服务门户，还有3个被遗忘在角落的总局内网Flash遗留站——对，就是那种必须开ActiveX+禁用现代渲染引擎才能播16年前《新闻联播》MPG片段的站点。它自动把LocalIntranetZone策略设为1200，把站点逐条写进HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\Internet Settings\\ZoneMap\\Domains键下，连域名带端口带协议全带校验：https://v3.edu.cn:8080这种带端口的，手动配过的人知道多容易漏掉冒号前的斜杠转义。

文章配图，仅供参考

　　新技术。

　　它不是单纯把icacls命令塞进For循环——那太老派。它用的是Windows原生API调用IShellItem2::BindToHandler（BHID_INTERNETZONE）获取ZoneManager实例，再反向映射注册表路径；用C#编译的嵌入式DLL做证书指纹预检，避免PowerShell自带的Invoke-WebRequest在某些IEEM模式下直接拒绝握手；最绝的是它能识别站点是否启用了CSP header中的media-src策略，并动态调整zone层级——这个功能我在微软2023年11月发布的IE Mode迁移白皮书中翻了三遍都没找到依据，纯靠抓Edge DevTools的network面板逆向出来的响应头行为模式。

　　我去年十月份写的初版，到现在跑了217次正式部署，成功192次，失败25次。失败里有7次是因为目标机装了奇安信天擎，它会静默劫持COM对象创建流程；有5次因为域策略锁死了HKLM\\SOFTWARE\\Policies\\Microsoft\\Windows\\CurrentVersion\\Internet Settings\\Lockdown_Zones键——这玩意儿连管理员都得找域管要特殊权限才能改；还有3次纯粹因为站点URL里藏了%20编码的空格，而PowerShell的[Uri]::EscapeDataString()在解析时和IE zone map的实际解码机制不一致……你说巧不巧？

　　我承认它现在还不能处理WebRTC摄像头授权弹窗劫持场景——那个需要挂钩wininet.dll里的HttpSendRequestExA，我已经试过两次蓝屏，BSOD代码0x0000007E出现在Win10 21H2的补丁KB5022913之后。

　　下一步我想试试用WFP（Windows Filtering Platform）驱动层做流量标记，绕过应用层的协议栈混乱。不过先得找个不怕蓝屏的测试机，上次烧坏的那块华硕ROG主板还在抽屉里躺着呢。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!