攻擊原理回顧

駭客在網頁植入惡意代碼，誘導瀏覽器自動下載並觸發 `.hta` 或 `.wmf` 文件。Windows 預設關聯：

• .hta → `mshta.exe` (Microsoft HTML Application Host) 執行腳本，擁有系統完整權限。
• .wmf → 圖片查看器/舊版 GDI+ 解析，歷史漏洞 (MS06-001) 可遠程執行代碼。

殺毒軟體依賴特徵庫，**變種/加密/混淆樣本極易繞過**，需從「執行鏈」源頭斷開。

核心防禦：刪除/禁用危險文件關聯

方法一：刪除執行程式（暴力但有效）

del C:\Windows\System32\mshta.exe

• 優點：徹底斷開 `.hta` 執行路徑。
• 缺點：合法 HTA 應用（如部分企業內部工具、微軟官方向導）將無法運行；系統更新可能恢復文件。

方法二：註冊表刪除文件關聯（精準、可逆、推薦）

1. 打開註冊表編輯器 (`regedit`)。
2. 搜尋 `.hta`，定位到：
   HKEY_CLASSES_ROOT\.hta
HKEY_CLASSES_ROOT\htafile
HKEY_CURRENT_USER\Software\Classes\.hta (用戶級覆蓋)
3. 導出備份（右鍵→導出，命名 `hta_assoc_backup.reg`）。
4. 刪除上述鍵值（或重命名為 `.hta.bak`）。
5. 同理處理 `.wmf` 相關鍵值。

效果驗證

• 雙擊任意 `.hta`/`.wmf` 文件 → 系統彈出「不知道怎麼打開此文件」對話框，**不再自動執行**。
• 瀏覽器打開掛馬頁面 → 僅下載文件到下載資料夾，**木馬代碼無法落地執行**。

擴展：通用化「高危擴展名關聯清理」腳本

@echo off
:: 高危擴展名列表（可自行擴展）
set "exts=.hta .wmf .scr .pif .reg .vbs .js .jse .wsf .wsh .ps1 .msi .msp .mst"
for %%e in (%exts%) do (
    reg delete "HKCR\%%e" /f 2>nul
    reg delete "HKCR\%%efile" /f 2>nul
    reg delete "HKCU\Software\Classes\%%e" /f 2>nul
)
echo 高危關聯已清理，建議重啟 explorer.exe 生效
pause

配合策略：纵深防御

層次	措施	工具/設置
網絡層	封鎖惡意域名/IP、檢測異常下載流量	防火牆/IDS/IPS、DNS 過濾
瀏覽器層	禁用 ActiveX、限制腳本執行、啟用 SmartScreen	IE/Edge/Chrome 策略組、NoScript 擴展
系統層	**刪除高危文件關聯**、啟用 Applocker 白名單	註冊表腳本、GPO 策略
用戶層	不點不明鏈接、不執行不明文件、定期備份	安全意識培訓

恢復正常關聯（如確有業務需求）

雙擊備份的 `hta_assoc_backup.reg` 導入，或手動重建：

assoc .hta=htafile
ftype htafile="C:\Windows\System32\mshta.exe" "%%1" %%*

**核心思想**：與其在「查殺」上與駭客賽跑，不如在「執行」上直接拔掉插座。**最有效的防禦，往往是最簡單的減法。**