網頁隱形病毒五大類：佔用 CPU、竊取本地檔案、Web 欺騙、惡意下載、瀏覽器劫持

瀏覽網頁就中毒，不下載、不執行也會被攻擊。五大網頁隱形病毒手法揭密，認清特徵才能建立正確防護觀念。

類型一：佔用 CPU 死循環 (JavaScript 無限迴圈)

代碼特徵：while(true){}、for(;;){}、遞迴函數無終止條件。
表現：CPU 瞬間 100%、風扇狂轉、滑鼠游標卡頓、大量新視窗彈出 (彈窗炸彈)。
來源：惡意網頁、HTML 郵件附件 (Outlook/Outlook Express 自動用 IE 引擎開啟)。
防護：

• 不開不明寄件者 .htm/.html/.vbs/.exe 附件
• 瀏覽器停用 JavaScript (NoScript/腳本阻擋擴充)
• 工作管理員強制結束瀏覽器進程

類型二：非法讀取本地檔案 (ActiveX / JavaScript / WebBrowser 控制項)

手法：利用 IE 安全區域漏洞 (如「我的電腦」區域信任度過高)、Scripting.FileSystemObject、ADODB.Stream、WebBrowser 控制項導航 file:// 協定。
表現：隱蔽，使用者無感知，硬碟燈閃爍、檔案被上傳。
經典漏洞：IE 5.0 IFrame 跨域讀取本地檔案。
防護：

• IE → 網際網路選項 → 安全性 → 自訂層級 → 「存取資料來源跨網域」設為「提示」或「停用」
• 停用 ActiveX、Java、主動指令碼 (同類型一)
• 及時安裝 IE 累積安全性更新

類型三：Web 欺騙 (DNS 劫持 + 偽造站台)

攻擊鏈：

1. 攻破目標網域 DNS 伺服器
2. 修改 A 記錄指向攻擊者主機
3. 攻擊者主機架設外觀 100% 相同的偽造站台 (銀行、郵件、社群)
4. 受害者輸入帳密 → 直接送到攻擊者資料庫

危害：極大 (帳密、金流、個資全失)，但國內較少見 (需攻破 DNS 基礎設施)。
防護：

• 啟用 DNSSEC (網域註冊商/解析商支援)
• 瀏覽器檢查 TLS 憑證 (鎖頭圖示、網域名稱一致)
• 重要帳號啟用雙因子驗證 (2FA)，帳密外洩也無法登入

類型四：惡意下載

利用瀏覽器/外掛漏洞 (Flash、Java、PDF 閱讀器) 靜默下載執行惡意程式。現代瀏覽器沙箱、Click-to-Play、SmartScreen 大幅降低風險。
防護：保持瀏覽器/外掛/作業系統最新、停用不需外掛、開啟 SmartScreen/Google Safe Browsing。

類型五：瀏覽器劫持

修改首頁、搜尋引擎、新分頁頁面、安裝惡意工具列/BHO、竄改登錄 HKCU\Software\Microsoft\Internet Explorer\Main。
防護：防毒軟體「瀏覽器保護」、定期檢查 IE 設定、不安裝來路不明免費軟體 (捆綁安裝主因)。

綜合防護三層次

網頁隱形病毒利用「信任」與「自動化」攻擊。斷開信任鏈 (停用腳本/ActiveX)、強化自動化防線 (沙箱/更新/2FA)，才能在瀏覽這個最高風險動作中保持安全。