網頁病毒（Drive-by Download、Malvertising、Watering Hole Attack）之所以可怕，在於**受害者僅需「瀏覽網頁」即可中招**，無需點擊、下載、執行任何檔案。本文深度剖析網頁病毒四階段攻擊鏈，並建構從瀏覽器加固、網路層封鎖、端點防護到應急響應的多層防禦體系。
網頁病毒四階段攻擊鏈剖析
- 武器化植入： 攻擊者將 惡意代碼 (Shellcode/Exploit Kit)、載荷 (偽裝圖片的 .exe/.dll/.apk)、腳本/載入器 (JavaScript/VBScript/Flash ActionScript/Java Applet/WebAssembly) 嵌入合法網站 (SQL 注入/插件漏洞/供應鏈) 或專門建立的釣魚/水坑網站
- 瀏覽器載入： 受害者訪問頁面，瀏覽器解析 HTML/DOM，惡意腳本與正常內容一同進入 瀏覽器快取/臨時檔案資料夾
- 漏洞觸發與載荷執行： 腳本偵測環境 (瀏覽器版本/外掛/OS/語言) → 選擇對應 Exploit (IE 記憶體損毀/Flash UAF/Chrome V8 JIT/字型解析/圖片解碼器) → 繞過 DEP/ASLR/CFG/ACG → 執行 Shellcode → 下載並執行真實惡意程式 (或無檔案攻擊直接在記憶體執行)
- 持久化與橫向： 修改註冊表 Run/RunOnce/服務/排程/啟動資料夾/Winlogon/映像劫持/COM 劫持/WSL/WSL2 掛載 → 建立 C2 通訊 → 內網偵察/橫向移動/資料竊取/勒索加密
為何傳統殺毒軟體「慢半拍」？
- 簽名碼滯後： 新變種出現 → 取樣 → 分析 → 提取特徵 → 發布更新 → 客戶端下載，**數小時到數天窗口期**
- 加密/混淆/多態： 每次下載載荷雜湊不同，靜態特徵失效
- 無檔案/記憶體駐留： 無磁碟落地，掃描引擎無檔案可掃
- 合法工具濫用 (LOLBins)：
powershell.exe, wmic.exe, mshta.exe, regsvr32.exe, rundll32.exe, certutil.exe — 均為系統簽署白名單程式
多層防禦體系架構（纏繞式防禦）
第 0 層：瀏覽器與客戶端加固（首道防線）
| 措施 | 實作方式 | 效益 |
|---|
| 瀏覽器自動更新 |
企業策略強制 Chrome/Edge/Firefox 自動更新、禁用舊版 |
修補 0-day/已知漏洞，縮短暴露窗口 |
| 啟用安全功能 |
Chrome/Edge: --enable-features=StrictSiteIsolation,SitePerProcess,RendererCodeIntegrity、增強型安全保護模式；Firefox: privacy.resistFingerprinting=true, javascript.options.wasm=false (若不需) |
站台隔離、CFI、W^X、JIT 硬化、指紋抗性 |
| 禁用/點擊播放高風險外掛 |
Flash 已死；Java Applet、Silverlight、ActiveX 徹底禁用；PDF 內建檢視器取代外掛 |
移除最大攻擊面 |
| 腳本控制 |
uBlock Origin (中型模式/硬核模式) / NoScript / ScriptSafe — 預設拒絕第三方/跨域腳本，逐站點放行 |
阻斷惡意腳本載入與執行 |
| 廣告/追蹤/惡意網域封鎖 |
DNS 層面：NextDNS / Pi-hole / AdGuard Home + 威脅情報清單 (OISD, HaGeZi, Blocklist Project) |
源頭切斷惡意廣告/水坑域名解析 |
第 1 層：網路邊界與流量分析
- Web Proxy / Secure Web Gateway (SWG)： Zscaler, Cloudflare Gateway, Forcepoint, 自建 Squid + ICAP + ClamAV — 全流量 SSL 檢查、URL 分類封鎖、檔案類型管控、沙箱爆破
- DNS 防火牆 (RPZ)： 即時封鎖已知惡意 C2、釣魚、駭客工具下載域名
- 流量異常偵測： Zeek / Suricata 規則匹配 Exploit Kit 特徵 (如
Angler, RIG, Magnitude 載入器模式)
第 2 層：端點防護與行為阻擋 (EPP/EDR/XDR)
- 新一代防毒 (NGAV)： 機器學習靜態分析 + 行為模型 (而非純簽名) — CrowdStrike Falcon, SentinelOne, Cortex XDR, Microsoft Defender for Endpoint, Elastic Defend
- 攻擊面縮減 (ASR) 規則： (Windows Defender/MDfE 內建)
- 阻擋 Office 應用建立子進程
- 阻擋 Office 應用插入程式碼到其他進程
- 阻擋 JavaScript/VBScript 執行下載內容
- 阻擋未簽署/低信譽可執行檔從 USB/網路共用執行
- 阻擋
certutil.exe, bitsadmin.exe, mshta.exe 下載/解碼惡意碼
- 記憶體保護： 強制啟用 ACG (Arbitrary Code Guard), CET (Control-flow Enforcement Technology), HG (Hardware-enforced Stack Protection) — 需 CPU/OS 支援 (Win10 20H1+/Intel Tiger Lake+/AMD Zen 3+)
- 受控資料夾存取： 僅允許受信任應用寫入文件庫/桌面/圖片等資料夾，阻擋勒索加密
第 3 層：應用白名單與零信任執行控制
- WDAC (Windows Defender Application Control)： 簽章/路徑/雜湊/簽發者規則，**僅允許核准執行檔運行**，核心模式強制，繞過極難
- AppLocker (舊版替代)： 規則較寬鬆，用戶模式執行，可被繞過
- Intune/MDM 管理： 統一下發 WDAC 政策、憑證、設定檔
第 4 層：假設已失陷 — 偵測、響應、恢復
- EDR/XDR 狩獵： MITRE ATT&CK 技術標籤 (T1059.001, T1059.005, T1059.007, T1204.001, T1204.002, T1027, T1055, T1547, T1556, T1003, T1005, T1041, T1486) 關聯查詢
- 威脅情報整合： MISP / OpenCTI / STIX/TAXII 饋送 IOC 至 SIEM/EDR 自動封鎖
- 應急響應 SOP： 隔離 → 取證 (記憶體/磁碟/日誌) → 根因分析 → 根除 → 驗證恢復 → 複盤改善
- 備份不可變性： 異地、離線、不可變 (WORM/Object Lock)、定期恢復演練
文中提及工具的現代替代與定位
原文推薦的「白貓清理工 V3.02、優化大師 6.95、超級兔子 7.3」屬於 2000 年代中後期國產系統優化/安全工具，**早已停止更新、不支援現代 OS、無法對抗現代威脅**。請勿在生產環境使用。現代替代：
- 系統優化：CTT (Chris Titus Tech Win Util), O&O ShutUp10++, Winaero Tweaker, Microsoft PC Manager
- 安全加固：HardenTools, ConfigureDefender, OSArmor, Hard_Configurator
- 清理掃描：Malwarebytes Free, KVRT, HitmanPro, Windows Defender 離線掃描
核心心法： 沒有單一銀彈能阻擋所有網頁病毒。**纏繞式防禦：瀏覽器加固 → DNS/Proxy 過濾 → 端點行為阻擋 → 應用白名單 → 假設失陷持續狩獵**。每一層都會失效，但疊加起來能將成功攻擊機率壓至極低。安全是流程，不是產品。