⚠️ 警告：本文僅供安全研究人員理解歷史惡意代碼技術原理，嚴禁用於實際攻擊。製作/傳播破壞性程式碼違反《刑法》第 287 條等法律，將承擔刑事責任。

歷史技術原理還原（Windows 9x/2000 時代）

早期利用 Windows「寫字板」支援 **OLE 嵌入物件** 與 **SHS (Shell Scrap Object)** 機制，構造偽裝為文字檔的惡意載體：

1. 建立僅含一空格的極小文字檔（減小體積）。
2. 拖入「寫字板」→ 選中圖示 → 「編輯 → 封裝物件 → 編輯封裝」。
3. 在「命令列」輸入破壞性指令，例如：
   start.exe /m format c:/q /autotest /u（快速格式化 C 槽）
   或 start.exe /m deltree /y c:\windows\system\*.*（刪除系統核心檔）。
4. 更換圖示偽裝為文字檔/圖片，設定顯示名稱（如 password01.txt）。
5. 更新封裝 → 拖至桌面 → 重新命名為 password01.txt（實際副檔名為 .shs，預設隱藏）。
6. 以郵件附件寄送，誘騙受害者雙擊開啟 → 觸發惡意指令。

為何此手法現已失效？

• 現代 Windows (Vista/7/8/10/11) **已移除 SHS 支援**，雙擊 .shs 不再執行嵌入命令。
• Outlook/郵件用戶端預設封鎖 .shs、.exe、.scr 等高風險附件。
• UAC (使用者帳戶控制) 阻止非提權程式執行格式化/刪除系統檔案。
• 殺毒軟體/EDR 會攔截包含惡意命令的 OLE 物件。

現代變體與防禦

攻擊者轉向：

• 惡意 Office 宏/ OLE 物件（利用 Word/Excel 執行 PowerShell/下載載荷）
• 捷徑檔 (.lnk) 攻擊（竄改目標路徑執行惡意命令）
• ISO/IMG 掛載載荷（繞過 Mark-of-the-Web 標記）

防禦核心：

1. **關閉 Office 宏自動執行**，啟用「受保護的檢視」。
2. **顯示副檔名**，不信任雙重副檔名檔案 (photo.jpg.exe)。
3. **郵件附件沙箱檢測**，禁止高風險類型送達。
4. **端點防護 (EDR) 監控可疑進程鏈** (winword.exe → powershell.exe → cmd.exe)。
5. **用戶教育**：不開啟不明來源附件、不點擊可疑連結。

結語：了解歷史攻擊技術有助於識別現代變體邏輯，**但絕不提供可直接利用的武器化代碼**。安全研究應遵循「負責任揭露」原則，將發現漏洞報予廠商修補。