攻擊場景：IFRAME 掛馬與 HTA 自動執行

瀏覽被植入惡意 IFRAME 的網頁時，攻擊者利用 <IFRAME src=".../joke.htm"> 加載含有 HTA 木馬代碼的頁面。HTA（HTML Application）文件由 mshta.exe 解析執行，繞過瀏覽器沙箱，直接以用戶權限執行系統命令。殺毒軟件常因代碼混淆（插入空格、編碼）而查殺失效。

核心防禦原理：斷開「文件後綴」與「執行程序」的關聯

Windows 通過註冊表將 .hta 關聯到 mshta.exe。刪除關聯後，雙擊或自動下載的 .hta 文件僅會被保存或用文本編輯器打開，不再自動執行，木馬失去落地執行條件。同理適用於 .wmf、.scr 等高危後綴。

操作步驟（兩種擇一）

方法一：刪除執行程序（徹底但可能影響合法 HTA 應用）

del C:\WINDOWS\system32\mshta.exe

系統文件保護（WFP）可能自動恢復，需同時修改 dllcache 副本或禁用 WFP（不推薦普通用戶）。

方法二：註冊表刪除文件關聯（推薦，可逆、精準）

1. 運行 regedit；
2. 搜索 .hta（編輯→查找）；
3. 找到 HKEY_CLASSES_ROOT\.hta 及其關聯的 HKEY_CLASSES_ROOT\htafile（或類似鍵值）；
4. 右鍵導出備份（以便日後恢復）；
5. 刪除該鍵值及其子鍵；
6. 同理處理 .wmf、.scr 等高危後綴。

驗證效果

再次訪問掛馬頁面：瀏覽器將提示下載 .hta 文件，而非自動運行。木馬代碼無法落地執行，達到「免疫」效果。

適用範圍與局限

• ✅ 有效阻斷：HTA、WMF、SCR、REG、VBS、JS、JSE、WSF、WSH 等腳本/可執行後綴的自動執行攻擊。
• ❌ 無法防禦：EXE、DLL、COM、BAT、CMD、PS1 等原生可執行文件（需依靠執行策略、Applocker、殺毒軟件）。
• ⚠️ 副作用：合法 HTA 應用（如部分企業內部管理工具）將無法雙擊運行，需通過命令行 mshta.exe file.hta 手動啟動。

進階建議：組合拳防禦

1. 組策略限制軟件執行：gpedit.msc → 計算機配置 → Windows 設置 → 安全設置 → 軟件限制原則，新增「路徑規則」禁止 %AppData%\*.exe、%Temp%\*.exe 等常見木馬落地目錄執行。
2. 啟用攻擊面縮減規則 (ASR)：Win10/11 內置 Defender 支援 ASR 規則（如阻止 Office 宏子進程、阻止可疑腳本執行），一鍵開啟。
3. 保持瀏覽器與補丁最新：修補利用漏洞（如 CVE-2006-0003 WMF 漏洞）的根本路徑。