攻擊場景：看似無害的 .txt 附件

收到郵件附件「QQ靚號放送.txt」，你是否以為它只是純文字檔？實際上，其真實副檔名可能是 QQ靚號放送.txt.{3050F4D8-98B5-11CF-BB82-00AA00BDCE0B}。這串 CLSID 在登錄檔中代表 HTML 檔案關聯，但檔案總管不會顯示它，使用者看到的仍是 .txt。雙擊開啟時，系統實際以 HTML 方式執行，等同於開啟 .html 檔案。

危害示範：後台格式化硬碟並欺騙使用者

若該檔案內容包含惡意腳本，雙擊後會調用 HTML 引擎在後台執行 format.com d: 格式化 D 槽，同時彈出對話框顯示「Windows is configuring the system. Please do not interrupt this process.」欺騙使用者以為系統正在正常配置，實則資料正在被銷毀。

欺騙實現原理：CLSID 偽裝與 WScript 執行

• CLSID 偽裝： 真實副檔名為 .{3050F4D8-98B5-11CF-BB82-00AA00BDCE0B}，系統依此判定為 HTML 檔並以 mshtml.dll 解析執行。
• WScript 總指揮： 檔案內容第 2 行的 WScript（Windows Scripting Host）是腳本執行核心，位於 C:\Windows\WScript.exe，提供 FileSystemObject 等內建物件，可操作檔案系統、登錄檔、啟動程式等，賦予腳本強大破壞力。
• 破壞指令： 第 3 行載入具破壞性的命令（如格式化、刪除檔案），由 WScript 驅動執行。

識別與防範方法

1. 觀察圖示： 偽裝 .txt 檔顯示的圖示為「未定義檔案類型」圖示，而非記事本圖示，這是最直觀的區分方式。
2. 「按網頁方式」檢視： 在「我的電腦」左側檢視窗格中可見完整檔名（含 CLSID），可識別真實類型。
3. 安全開啟： 對於可疑 .txt 附件，下載後滑鼠右鍵選擇「用記事本開啟」，避免觸發 HTML/腳本引擎。
4. 禁用/升級 WSH： 可在「新增/移除程式」中移除 Windows Scripting Host，或升級至 WSH 5.6 修補已知漏洞。