如何确定 EMET 呼叫者缓解？

Question

我跑埃默特在我的 Windows 机器上。它工作得很好 - 它通过对应用程序实施一些缓解措施来阻止许多威胁。我数不清有多少次它因为某个网站试图利用漏洞而停止了 Internet Explorer...

我在使用 EMET 时遇到 Word 2013 问题。每当我创建新文档然后保存时，EMET 都会停止 Word。无论触发 EMET 的是什么，它都与单击/点击浏览按钮下方另存为。因此它与文件保存对话框相关（可以通过键盘快捷键打开和保存。它具体是文件保存对话）。

当 EMET 停止 Word 时，以下错误将写入应用程序事件日志：

EMET detected Caller mitigation and will close the application: WINWORD.EXE

    Caller check failed:
      Application   : C:\Program Files (x86)\Microsoft Office\Office15\WINWORD.EXE
      User Name     : Windows8\John Doe
      Session ID    : 1
      PID       : 0xBE4 (3044)
      TID       : 0x6DC (1756)
      API Name  : ntdll.NtCreateFile
      ReturnAddress     : 0x165EB24A
      CalledAddress     : 0x7729CE80
      TargetAddress     : 0x165EA820
      StackPtr  : 0x04ECF494

我不知道 EMET 认为什么令人反感，所以我无法在应用程序的配置中将其关闭（即 EMET 下的 Word 特定补救措施）。选项如下。我已经关闭了EAF，EAF+因为 EMET 之前特别抱怨过它们（DEP 关闭是因为我找不到救命稻草）：

如何确定 Word 上调用了哪些 EMET 呼叫者缓解措施？

---

这些可能相关：使用 EMET 时 IE 10 在“文件上传”时崩溃。但链接的问题在 IE 中的文件上传上触发了 EMET。

Answer 1

我在安装了 EMET 5.5.5736.25442 的 Win7 Prof. 64 位上运行 Word 2013（Office Home and Business 2013 v15.0.4779.1002）时也遇到了同样的问题：我以兼容模式打开了一个 docx，当我尝试切换到功能区中的“文件”来转换它时，Word 立即崩溃了。

最初，对于应用程序 WINWORD.EXE，除 EAF+ 和字体之外的所有内容均在 EMET 中激活。我只需要另外停用 Caller（ROP Caller Check）即可避免这些崩溃。