網頁病毒攻擊鏈四階段
- 植入：攻擊者將惡意代碼（腳本/JS/VBS/Shellcode）、偽裝文件 (.exe 改 .jpg/.gif)、Java Applet 寫入網頁源碼；
- 下載：用戶訪問頁面，瀏覽器自動下載上述組件至 **Temporary Internet Files**；
- 觸發：腳本/Java 自動運行 — 直接執行 Shellcode、或啟動偽裝文件、或還原偽裝後綴再執行 — 完成：駐留、修改註冊表、進程注入、修改分區屬性等；
- 持久化與變異：重啟後病毒自我改名、複製、再偽裝，開啟破壞/竊取/傳播階段。
**結構簡單 → 變異極快**，特徵碼掃描幾乎跟不上。
為什麼傳統防禦失效？
- 殺毒軟件**總慢半拍**（特徵提取→分發→更新→掃描），對零時差網頁病毒幾乎無效；
- 禁止腳本 (NoScript/禁用 Active Scripting) 雖有效，但**犧牲 90%+ 網頁正常功能**（動態交互、AJAX、富文本、視頻播放），用戶不可接受；
- 惡意網址黑名單：網站層出不窮，列表永遠不全；
- 腳本監控彈窗詢問用戶：決策成本高、誤判多、用戶疲勞導致「全允許」。
工程師的解法：多層次腳本服務模塊處理 — 白貓/優化大師/超級兔子實踐
這三款國產優化工具 (白貓清理工 V3.02、優化大師 6.95、超級兔子 7.3) 採用創新架構：
- 保障腳本正常運行：不禁用 WSH/JScript/VBScript/Java，網頁特效完好；
- 切斷腳本攜帶病毒的所有執行路徑：
— 內核級 Hook 關鍵 API (CreateProcess, ShellExecute, WriteFile, RegSetValueEx, LoadLibrary 等)；
— 實時分析調用鏈：腳本宿主 (wscript.exe/cscript.exe/iexplore.exe/mshta.exe) → 嘗試啟動可執行文件/寫入啟動項/修改關鍵註冊表/注入進程 → **直接攔截並彈窗告警/自動阻斷**；
- 附帶「禁止 IE 自動彈窗」功能**：徹底消滅彈窗廣告/釣魚頁面干擾；
- 事後清理**：若已感染，安裝後可**自動偵測清理**殘留木馬/註冊表/啟動項。
實測效果
安裝上述任一工具後，**任意惡意網站均可「出入平安」**：網頁特效正常，惡意代碼無法落地執行。已感染系統亦可自動清理。
局限與未來
- 若用戶**主動點擊**網頁彈出的惡意 ActiveX/下載鏈接/偽裝播放器安裝包，**仍會中招**（繞過腳本層防護，進入用戶執行層）；
- 需結合：**用戶安全意識培訓** + **應用白名單/受限用戶/UAC** + **EDR 行為阻斷** + **網關沙箱/URL 過濾**；
- 軟件工程師與病毒博弈未完待續，更多優秀工程師正在尋求**最佳平衡點：安全與體驗並重**。
現代對應技術棧
| 當年方案 | 現代對應技術 |
|---|
| 腳本服務模塊多層 Hook | AMSI (反惡意軟件掃描接口) + ETW (事件追蹤) + 內核回調 |
| 行為規則引擎 | EDR/XDR 行為分析 (MITRE ATT&CK 映射) |
| 禁止 IE 彈窗 | 瀏覽器內置彈窗攔截 + 擴展 |
| 事後掃描清理 | EDR 歷史回溯 + 自動化響應 |