Windows XP 被惡意網頁攻擊刪除檔案？緊急應變與徹底修補指南

瀏覽網頁、開啟郵件連結、進入聊天室，突然桌面彈出奇怪的 HTML 頁面，關閉視窗竟導致硬碟檔案被大量刪除？這是 Windows XP 早期版本 Help Center (HCP 協定) 漏洞 被惡意利用的經典攻擊案例。

攻擊現場重現

• 使用者點擊惡意連結或瀏覽惡意網頁
• 瀏覽器呼叫 hcp:// 協定啟動 HelpCtr.exe
• 惡意參數導致 uplddrvinfo.htm 執行任意檔案刪除指令
• 畫面出現偽裝的錯誤訊息，誘導使用者關閉視窗 → 觸發刪除程式碼

緊急應變：發現異常視窗時

1. 千萬不要關閉該視窗！ 關閉動作可能觸發惡意腳本
2. 按 Ctrl+Shift+Esc 開啟工作管理員
3. 「處理程序」頁面找到 HelpCtr.exe → 右鍵「結束處理程序」
4. 確認檔案未被刪除後，再正常關閉殘留視窗

徹底免疫方案（二選一）

方案 A：刪除/移動觸發檔案（立即生效，無需重開機）

目標檔案：C:\Windows\PCHEALTH\HELPCTR\System\DFS\uplddrvinfo.htm
操作：重新命名為 uplddrvinfo.htm.bak 或移至其他資料夾

• 原理：惡意腳本依賴此檔案路徑，檔案不存在 → 腳本報錯 → 攻擊失效
• 測試：此檔非系統核心元件，移除不影響正常說明功能

方案 B：安裝官方修補程式（根治）

• Windows XP SP1 整合修補（含 MS02-050）
• 單獨修補程式：Q328940_WXP_SP1_x86_CHS.exe
• 微軟下載中心搜尋「Windows XP Help Center vulnerability」

攻擊向量分析

• hcp:// 協定處理器註冊在 HKEY_CLASSES_ROOT\HCP
• 惡意 URL 範例：hcp://system/.../uplddrvinfo.htm?param=malicious_code
• 傳播管道：HTML 郵件、IM 訊息、論壇連結、惡意網頁、甚至被植入的廣告框架
• 影響範圍：系統任意目錄檔案（受限於使用者權限）

防護最佳實務

1. 安裝 SP1 以上版本或套用所有關鍵性更新
2. IE 安全性設定：「網際網路」區域 → 自訂層級 → 「對未標示為安全的 ActiveX 控制項初始化並指令碼執行」設為「停用」或「提示」
3. 不點擊不明來源連結、不開啟可疑郵件附件
4. 使用替代瀏覽器（Firefox, Opera 等）減少 IE/系統元件攻擊面
5. 定期備份重要資料（離線備份最可靠）

歷史教訓

此漏洞揭示：作業系統內建「說明系統」若處理外部協定參數驗證不嚴，極易成為遠端攻擊入口。現代作業系統（Windows 10/11, macOS, Linux）皆嚴格限制自定義協定處理器的權限、沙箱隔離、參數消毒，正是汲取此類歷史教訓的結果。

若您仍在維護 XP 系統（嵌入式設備、舊軟體相容等），務必：
1. 套用所有官方修補程式（含 POSReady 2009 更新）
2. 實施方案 A 移除 uplddrvinfo.htm 雙重保險
3. 網路層面封鎖不必要的輸出連線
4. 評估遷移至受支援平台的可行性