前言：病毒留下的「隱藏功能」

「歡樂時光」病毒讓 Desktop.ini 與 Folder.htt 家喻戶曉。這兩個檔案原本是 Windows「Web 視圖」功能的核心：Desktop.ini 定義資料夾圖示、資訊提示、自訂欄位；Folder.htt 是資料夾的 HTML 模板，控制開啟時的顯示邏輯。病毒利用它們在每個資料夾植入惡意腳本，達到持久化與傳播。但若反向思考，這對檔案也能被我們「合法利用」——前提是理解其運作機制與風險。

一、給資料夾加密碼：簡易存取控制

原理

修改 Folder.htt 中的「顯示檔案」連結，改為呼叫 JavaScript prompt() 驗證密碼，通過才執行原本的 ShowFiles()。

Windows 98 實作步驟

1. 開啟 C:\Windows\Folder.htt（隱藏檔）。
2. 找到 <a href='' class=command onclick='ShowFiles()...>顯示檔案</a>，將「顯示檔案」改為「輸入密碼」。
3. 修改 function ShowFiles()，前置密碼驗證：

function ShowFiles() {
  var password = prompt("請輸入密碼:","");
  if (password == "你的密碼") {
    Info.innerHTML = L_Intro_Text + L_Prompt_Text;
    showFiles = true;
    document.all.FileList.style.display = "";
    document.all.Brand.style.display = "none";
    FixSize();
  } else {
    alert("警告，密碼錯誤！您無權瀏覽該目錄");
  }
}

4. 儲存，重新進入資料夾即提示輸入密碼。

Windows 2000/XP 簡化版

在 Folder.htt 的 <script language="JavaScript"> 區塊後加入：

var pass = prompt("enter the password");
if (pass != "密碼") { window.location = "d:"; }

⚠️ 關鍵缺陷：極易繞過

• 關閉「Web 視圖」（資料夾選項 → 取消「啟用 Web 內容」）。
• DOS/命令提示字元直接 cd 進入。
• 總管地址列輸入路徑、或使用第三方檔案管理器。

**結論：僅能防君子，無法防小人，不適合保護機密資料。**

二、任意資料夾/磁碟分區套用同樣保護

1. 資料夾右鍵 →「自訂資料夾」→「建立或編輯 HTML 文件」→ 完成。
2. 將修改過的 Folder.htt 複製到目標資料夾覆蓋原檔。
3. 編輯 Folder.htt 內的警告文字 L_Intro_Text 為自訂內容。

三、資料夾安裝木馬：駭客視角的利用鏈

駭客可在 Folder.htt 注入 <object id="RUNIT" classid="clsid:...codebase=trojan.exe"> 等 ActiveX 物件，或直接寫入 <script>...new ActiveXObject("WScript.Shell").Run("trojan.exe")...</script>。用戶以「Web 視圖」開啟資料夾瞬間，木馬靜默執行。

實驗步驟（僅供理解原理，嚴禁惡意使用）

1. 建立測試資料夾，啟用「自訂資料夾 → 建立 HTML 文件」。
2. 編輯 Folder.htt，插入自動執行程式碼片段（文中列出的 run_exe 變數組合）。
3. 將木馬程式（測試用 LC4）放入同目錄。
4. 關閉「顯示隱藏檔案/系統檔案」，還原資料夾檢視設定。
5. 雙擊資料夾 → 木馬執行。

四、防範與解決方案

1. 停用「Web 視圖」：資料夾選項 → 檢視 → 取消「啟用 Web 內容」。雖失去自訂外觀，換來根本安全。
2. 嚴管共享資料夾：非必要不共享；必須共享請設強密碼、限制寫入權限。
3. 移除 WSH（Windows Script Host）：控制台 → 新增/移除程式 → Windows 元件 → 取消勾選「Windows Scripting Host」。可阻擋大量腳本病毒/木馬。
4. 定期檢查 Desktop.ini/Folder.htt 異常修改：使用檔案完整性監控（如 Tripwire、OSSEC）或安全軟體的「資料夾保護」功能。

總結

Desktop.ini 與 Folder.htt 是把「雙面刃」：微軟為了豐富檔案總管體驗而設計，卻因過度信任本地 HTML/腳本執行，成為病毒與木馬的溫床。理解其機制，既能發掘小技巧（如簡易密碼），更能看透駭客利用手法，**徹底停用 Web 視圖、移除 WSH、管控共享權限**，才是企業與進階用戶的正確選擇。