Windows XP 與 WinAmp 音樂檔案漏洞：滑鼠懸停即中標的零點擊攻擊面

事件回顧

2002 年 12 月，Foundstone 警告：Windows XP 檔案總管預覽與 NullSoft WinAmp 處理特製 MP3/WMA 時存在緩衝區溢位，**使用者無需雙擊播放，僅將滑鼠指標懸停於檔案圖示啟用縮圖/資訊提示預覽，即觸發惡意程式碼執行**。

受影響元件與向量

攻擊場景與風險

• P2P 檔案分享：惡意 MP3 滲入共享網路，下載者僅瀏覽資料夾即中標。
• 郵件/即時通訊：附件預覽或自動下載至暫存資料夾觸發 Shell 擴充處理。
• 網頁嵌入：<object data="evil.wma"> 強制 IE 載入 Shell 預覽。

微軟確認 Windows Media Player 本身不受影響，問題在於 Shell 媒體擴充模組。

官方修補時間軸

1. 2002-12-18 Foundstone 公開預警。
2. 2002-12-19 微軟發布安全公告 MS03-005 (KB817787) 修補 shmedia.dll。
3. 2002-12下旬 NullSoft 釋出 WinAmp 2.91/3.0 修正版。

使用者防護清單

1. 立即套用 Windows Update 安裝 MS03-005 / KB817787。
2. 升級 WinAmp 至最新版（官網 winamp.com）。
3. 停用 Shell 媒體預覽（深度防禦）：
   Win+R → regsvr32 /u shmedia.dll 取消註冊媒體 Shell 擴充。
   或「資料夾選項 → 檔案類型 → 進階 → 取消勾選『啟用縮圖預覽』」。
4. 資料夾選項 → 檢視 → 勾選『隱藏受保護的作業系統檔案』與『隱藏副檔名』取消，防副檔名偽裝。
5. 防毒軟體啟用即時掃描，掃描所有寫入磁碟的媒體檔案。

後續影響

此漏洞與兩個月前的 PNG 處理缺陷 (MS03-004) 同屬「非執行檔案格式解析器」攻擊面，推動微軟後續推出 Data Execution Prevention (DEP)、ASLR 等記憶體防護機制，並啟動 SDL (Security Development Lifecycle) 全面審核解析器代碼。