殺毒軟體普及的今天，網頁病毒與網頁木馬憑藉多樣化形態與高隱蔽性，成為危害面最廣、傳播效果最佳的威脅。許多用戶「應聲倒下」卻不知中毒途徑與處理之道。本文詳細剖析其常識、運行機理、製作手法與手動清除技巧。

第一章 惡意網頁基礎常識

什麼是網頁病毒？

利用網頁載體，以 Script 語言編寫惡意代碼，利用 IE 漏洞植入。用戶訪問掛馬頁面即悄悄激活，輕則修改註冊表劫持首頁/標題，重則關閉系統功能、植入木馬、格式化硬碟。易編寫修改，防不勝防。

核心技術棧：JavaScript + ActiveX + WSH 協同實現本地寫入操作（改寫註冊表、增刪改檔案），正是這一機制給惡意代碼可乘之機。

罪魁禍首：WSH 與 IE 漏洞

• WSH (Windows Scripting Host)：Win98 引入，32 位獨立於語言的腳本運行環境，架構於 ActiveX 之上，支援 JavaScript/VBScript 直接運行。優點是自動化操作，缺點是成為病毒傳播溫床。
• IE 漏洞：錯誤的 MIME 頭、彈出視窗 Object 類型驗證漏洞等。
• 相關組件：Java Applet、JavaScript（基於物件/事件驅動）、ActiveX（COM 技術，代碼簽名保證安全）均被利用。

網頁病毒攻擊誘因

1. 誘人域名/檔名：利用用戶好奇心（如疑似 MM 圖片連結）。
2. 好奇心驅使：點擊未知連結自找麻煩。
3. 無意識瀏覽：對安全風險缺乏認知。

第二章 機理深度剖析

製作方式六大類

1. JavaScript.Exception.Exploit：JS+WSH 完美結合，惡意站點必備。
2. 錯誤 MIME 類型：IE 5.0~6.0 通用漏洞，網頁木馬流行趨勢。
3. EXE 偽裝 BMP：誘騙用戶下載執行。
4. IFrame 漏洞：父視窗可跨域存取子視窗 Frame，注入惡意腳本。
5. 通過認證的 CAB/COX：偽造簽名 CAB，繞過 IE 安全驗證。
6. EXE 綁定 + MHT 加密：綁定合法程式並加密，繞過殺毒掃描。

運行機理分析：JS.Exception.Exploit 核心代碼

function destroy() {
  try {
    a1=document.applets[0];
    a1.setCLSID("{F935DC22-1CF0-11D0-ADB9-00C04FD58A0B}"); a1.createInstance(); Shl=a1.GetObject();
    a1.setCLSID("{0D43FE01-F093-11CF-8940-00A0C9054228}"); a1.createInstance(); FSO=a1.GetObject();
    a1.setCLSID("{F935DC26-1CF0-11D0-ADB9-00C04FD58A0B}"); a1.createInstance(); Net=a1.GetObject();
    try { /* 作惡代碼 */ } catch(e) {}
  } catch(e) {}
}
function do() { setTimeout("destroy()", 1000); }
Do()

純 JS 編寫，每秒嘗試初始化 ActiveX 物件（Shell、FSO、Network），獲取系統控制權，修改註冊表、下載執行木馬等。

手工清除思路

• 檢查啟動項（註冊表 Run、服務、啟動資料夾、Win.ini/System.ini、批次檔）。
• 對比進程/DLL/模組基線（tasklist /svc、dir *.dll、msinfo32 導出對比）。
• 查看可疑連接埠（netstat -an -o 關聯 PID，結束惡意進程，防火牆封鎖端口）。
• 清除殘留檔案：依修改時間排序，刪除病毒發作時段新建的可疑資料夾/檔案。

完整清除需結合殺毒軟體全盤掃描、修補系統漏洞、養成安全習慣。