瀏覽網頁也會中木馬？IE MIME 型別漏洞 (Q290108) 深度剖析與防護指南

「只要瀏覽網頁就中木馬」聽起來像都市傳說，但 2001 年即有實駁案例：駭客利用 IE 處理 MIME 型別的邏輯缺陷，將木馬偽裝成 audio/x-wav 附件內嵌於 .eml 郵件格式網頁中，使用者僅開啟頁面即自動執行木馬，完全繞過 ActiveX/下載提示防線。

攻擊流程還原

1. 網頁嵌入 <IFRAME src="wincfg.eml" width=1 height=1>
2. wincfg.eml 為 Base64 編碼的木馬 (wincfg.exe)，MIME 標頭宣稱 Content-Type: audio/x-wav; name="wincfg.exe"
3. IE 錯誤解析 MIME，視為音訊檔嘗試自動播放 → 實際解碼執行 Base64 內容 → 木馬落地並寫入 HKLM\...\Run 實現持久化。
4. 木馬功能：ICQ 回報、遠端刪除、設定埠/名稱、IP 回報、上傳下載、建立隱藏 FTP 服務 ⇒ 全權控制受害主機。

MIME 型別漏洞原理

• MIME (Multipurpose Internet Mail Extensions) 定義內容類型，IE 依型別決定動作：文字→顯示、圖片→渲染、EXE→提示執行。
• 漏洞：攻擊者偽造 Content-Type: audio/x-wav 但附件實為 EXE，IE 不提示直接執行。
• 影響範圍：IE 5.0/5.01/5.5 (Win9x/Me/NT4/2K)；Outlook Express 同受影響。

擴大危害：VBS/命令注入

將 name="hello.vbs"、編碼 quoted-printable、內容 msgbox("危險") 或 net user test 123456 /add & net localgroup administrators test /add，即可在用戶開信瞬間植入後門或建立管理員帳號。

中毒清除步驟

1. regedit → 刪除 HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\wincfg.exe
2. 刪除系統目錄下 wincfg.exe (Win2K: C:\WINNT；Win98: C:\Windows)
3. 重開機驗證。

防護建議（由強到弱）

1. 棄用 IE/OE → 改用 Netscape/Firefox、Foxmail/Thunderbird。
2. IE 安全性設「高」→ 自訂層級 → 禁用：ActiveX、主動指令碼、檔案下載、標記安全的 ActiveX 執行指令碼。
3. 資源管理器 → 「顯示副檔名」、「關閉下載後確認開啟」、「禁止以 Web 方式使用總管」。
4. 不直接點擊陌生連結，改用下載工具抓頁面 → 記事本檢視原始碼。
5. 套用官方修補程式：Q290108

結語： 此漏洞揭示「信任 MIME 型別」的架構缺陷，現代瀏覽器已改採內容嗅探與沙箱機制緩解，但「不信任、不點擊、及時修補」仍是核心防禦準則。