2012 年黑帽駭客大會 (Black Hat USA 2012) 為期一週的攻擊測試中，Windows 8 表現優異，未被成功攻破。趨勢科技資深威脅研究員 Sung-ting Tsai 詳細分析其防禦架構與潛在攻擊面。本文整理核心發現。

核心防禦架構：遠離傳統桌面模型

• 沙箱隔離：所有 Metro 應用程式運行於 AppContainer 沙箱，最低權限原則，無法直接存取系統資源
• Kid-gloves 用戶模型：引導用戶安全操作，預設限制高風險行為
• SmartScreen 篩選器：系統級信譽檢查，攔截來自網路的未知/惡意執行檔
• 整潔重置/重裝：系統故障時提供「重設電腦」(保留個人檔案) 與「重新安裝 Windows」快速恢復

兩大潛在規避攻擊面 (Tsai 指出)

攻擊面一：Metro 應用程式網路存取限制繞過

• 限制：Metro 應用預設無直接網路存取權限
• 繞過手法：透過擁有網路權限的中介應用程式 (IE、Media Media Server) 代理傳遞資料
  • 無網路權限應用 → 呼叫 IE/MMS → 附加本地資料至 URL 參數 → 間接外洩資料
  • Office 文件內嵌巨集/ActiveX 代碼可發起網路連線
• 微軟立場：不視為缺陷，屬架構設計權衡；防毒軟體可偵測異常網路行為，微軟可遠端移除惡意應用
• Tsai 異議：一般用戶無法分辨 Metro 應用啟動 IE/MMS 是正常行為還是惡意外洩，防毒軟體同樣難以區分

攻擊面二：應用程式容器沙箱內命令提示字元觸發外部執行檔

• 嘗試在 AppContainer 內執行 `cmd.exe` 觸發外部可執行檔
• 微軟/ Tsai 共識：單獨此手法無法突破沙箱
• Tsai 補充：若結合其他漏洞 (如核心提權、驅動程式缺陷) 可能形成攻擊鏈
• ClickOnce 部署技術可能被利用啟動有害檔案 (需用戶互動)

防禦深度總結

結論

Windows 8 在 2012 年展現了當時最強的預設安全態勢，特別是 Metro 應用沙箱模型與 Secure Boot 硬體根信任鏈。但 Tsai 指出的「權限委派鏈」與「沙箱逃逸組合漏洞」提醒我們：安全是持續對抗過程，而非一次性成果。企業部署應採用「假設失效」原則，疊加 EDU/EDR、應用程式控制、網路分段等纵深防禦措施。