漏洞背景：Windows Metafile (WMF) 遠端執行碼漏洞

2005 年 12 月 27 日公開，影響 Windows 98/ME/2000/XP/Server 2003 全系列。攻擊者透過網頁、郵件、IM 傳送惡意 WMF 檔，使用者僅需預覽/開啟即觸發任意程式碼執行，植入木馬、廣告軟體、間諜軟體，或變成殭屍主機。

攻擊態勢快速升級（截至 2006/1/2）

• 駕馬網站： VeriSign iDefense 發現 ≥67 個網站託管惡意 WMF。
• IM 傳播： Akonix Systems 攔截 70 種不同檔名的惡意 WMF 透過即時通訊散布。
• 郵件偽裝： 垃圾郵件夾帶 output.gif（實為 WMF）、HappyNY.a 蠕蟲偽裝 JPG 實為 WMF，攜帶 Nascene.C 攻擊碼。
• 威脅等級升級： Symantec 將威脅從 Level 2 升至 Level 3（僅次於 Level 4），上一次 Level 3 是 2004 年 MyDoom.M。

修補程式時間窗與爭議

角色	立場/行動	關鍵論點
微軟	預計 1/10 (Patch Tuesday) 釋出官方修補	堅持定期釋出流程，稱未見大規模攻擊
Ilfak Guilfanov (獨立研究員)	率先釋出非官方修補程式	填補零日防護真空期
ESET	釋出非官方修補程式	提供企業緩解方案
F-Secure、ISC (Internet Storm Center)	建議企業暫時部署非官方修補	「非常時期需非常手段」
Gartner (John Pescatore)	強烈建議勿用非官方修補	安裝非官方修補 → 官方修補釋出 → 必須先移除再裝官方，雙重風險；建議改用 URL 封鎖 + 禁用 WMF 檔案關聯
Steve Gibson (Gibson Research)	參與微軟修補測試	官方修補已近完成、運作良好，可能提前釋出

企業緊急緩解措施（零日防護 SOP）

1. 封鎖 WMF 檔案傳輸： 郵件閘道、Web Proxy、防火牆、檔案伺服器全面阻擋 .wmf、.wmz、.emf 副檔名與 MIME 類型 image/x-wmf、application/x-msmetafile。
2. 取消 WMF 檔案關聯： 登錄檔 HKEY_CLASSES_ROOT\.wmf 重新導向至安全檢視器（如 Windows 圖片和傳真檢視器），或直接刪除關聯。
3. 部署 URL/域名信譽封鎖： 訂閱威脅情報餵養，即時封鎖已知駕馬網站。
4. 啟用 DEP (Data Execution Prevention) 與 ASLR： 降低記憶體損壞漏洞利用成功率（需硬體支援）。
5. 限制使用者權限： 日常操作使用標準帳號，減少攻擊者取得系統權限後的破壞範圍。
6. 密切關注微軟官方公告，官方修補釋出後 24 小時內完成測試部署。

長期教訓：圖片格式解析器是高風險攻擊面

• WMF、JPEG (GDI+)、PNG、TIFF、ICO、ANI 等圖片/圖示格式解析器長期運行於核心模式或高權限進程，歷史漏洞頻傳。
• 建議：最小化安裝圖片編解碼器、應用程式沙箱化（如 AppContainer）、定期掃描第三方圖片庫更新。

結語

WMF 事件揭示了零日漏洞曝光到官方修補釋出的「防護真空期」是攻擊者黃金時窗。企業不應盲目追逐非官方修補，而應建立分層緩解策略：封鎖載體 → 降低權限 → 監控異常 → 极速部署官方修補。同時，將「圖片解析器攻擊面最小化」納入系統基線強化標準，從架構層面降低同類風險。