「這只是個文本文件，打開看看無所謂」——這種認知極其危險。在特定條件下，.txt、.log、.ini 等「無害」文本文件可成為代碼執行載體。本文揭示三類高風險文本文件攻擊向量與防禦對策。
危險類別一：利用關聯劫持的「偽裝腳本」
攻擊原理
Windows 通過文件關聯決定打開程式。攻擊者通過：
- 修改註冊表
HKEY_CLASSES_ROOT\.txt\shell\open\command 將打開程式改為 wscript.exe/cscript.exe/mshta.exe/powershell.exe
- 或利用鍵盤快捷鍵劫持（如
.txt 關聯到 notepad.exe ^| calc.exe 實現命令注入）
- 受害者雙擊 .txt 文件 → 實際執行惡意腳本/命令
實戰案例
; 惡意 .reg 文件導入後
[HKEY_CLASSES_ROOT\txtfile\shell\open\command]
@="wscript.exe //E:jscript //B \"%1\""
; 受害者雙擊 readme.txt → 執行文本內嵌的 JScript 代碼
防範
- 啟用顯示文件擴展名（資料夾選項 → 取消「隱藏已知文件類型的擴展名」）
- 定期審計
HKCR 關鍵關聯鍵值，對比系統預設值
- 使用文件類型驗證工具（如 FileTypesMan）鎖定關聯
- 企業環境部署應用程式控制策略：僅允許簽名受信的 notepad.exe 打開 .txt
危險類別二：配置文件注入攻擊—— .ini/.inf/.cfg 解析器漏洞
攻擊面
大量應用程式、系統組件解析 INI 格式配置：
- Windows 核心：
system.ini、win.ini、desktop.ini（資料夾自定義圖標/提示）
- 應用程式：舊版軟體配置、遊戲設置、驅動程式參數
- 安裝腳本：
.inf 驅動安裝信息文件，支援 RunPreSetupCommands、DefaultInstall 節執行命令
經典利用
- desktop.ini 惡意利用：資料夾放入
desktop.ini + 惡意 .exe，設置 [.ShellClassInfo] IconResource=malicious.exe,0，Explorer 渲染圖標時觸發代碼執行（CVE-2017-8464 類邏輯）
- INI 節注入：應用程式未驗證配置值直接傳遞給
LoadLibrary/CreateProcess/ShellExecute，攻擊者修改配置文件實現 DLL 劫持/命令注入
防範
- 禁用資料夾自定義圖標/提示功能（組策略：用戶配置 → 管理範本 → Windows 元件 → 檔案資源管理器 → 「關閉資料夾自定義」）
- 應用程式開發：嚴格驗證配置文件值，白名單校驗路徑/命令/參數
- 部署文件完整性監控 (FIM)：監控關鍵配置文件變更
危險類別三：日誌文件投毒與解析器攻擊—— .log/.evtx/.etl
攻擊鏈
- 攻擊者構造包含惡意序列的日誌條目（如
../../../etc/passwd、<script>alert(1)</script>、格式化字符串 %n%n）
- 目標系統/應用將惡意內容寫入日誌文件
- 日誌查看器/分析工具/SIEM 解析器存在漏洞（路徑遍歷、XSS、緩衝區溢出、格式化字符串）
- 管理員/分析師查看日誌 → 觸發漏洞 → 代碼執行/權限提升
真實案例
- 某 SIEM 產品日誌解析模組存在 XML 外部實體注入 (XXE)，攻擊者發送含惡意 XML 的 Syslog 訊息 → 讀取伺服器任意文件
- 舊版日誌查看器 ActiveX 控件解析 .log 文件時存在緩衝區溢出
防範
- 日誌輸入嚴格過濾/轉義：控制字元、路徑遍歷序列、腳本標籤
- 日誌查看器沙箱化運行：低權限、無網絡、無文件系統寫入權限
- 定期更新日誌分析工具/SIEM：修補解析器漏洞
- 結構化日誌：採用 JSON/CEF/LEEF 格式，避免非結構化文本解析風險
統一防禦策略
- 零信任文件處理：任何外部文件（含文本）視為不可信，啟用受保護視圖（Office）、沙箱預覽（Windows Sandbox）、只讀模式
- 關聯鎖定：組策略/Intune 統一鎖定 .txt/.log/.ini 關聯至受信編輯器
- 執行防護：啟用攻擊面縮減規則 (ASR)：阻擋 Office 產生子進程、阻擋腳本下載執行、阻擋未簽名可執行文件
- 行為監控：EDR 監控
notepad.exe、wscript.exe、mshta.exe 異常子進程/網絡連接/文件寫入
- 用戶教育：「文本文件也能中毒」納入安全意識培訓，收到不明來源文本文件不直接雙擊
文本文件之「無害」是基於正確解析器、正確關聯、正確權限的前提。一旦任一環節被攻擊者控制，文本即成武器。安全無小事，文本亦須防。