假如您收到的邮件附件中有一个看起来是这样的文件：QQ 放送.txt，您是不是认为它肯定是纯文本文件？我要告诉您，不一定！它的实际文件名可以是QQ 放送.txt{3050F4D8-98B5-11CF-BB82-00AA00BDCE0B}.{3050F4D8-98B5-11CF-BB82-00AA00BDCE0B}在注册表里是HTML文件关联的意思。但是存成文件名的时候它并不会显现出来，您看到的就是个.txt文件，这个文件实际上等同于QQ 放送.txt.html。那么直接打开这个文件为什么有危险呢？请看如果这个文件的内容如下：

您可能以为它会调用记事本来运行，可是如果您双击它，结果它却调用了HTML来运行，并且自动在后台开始格式化D盘，同时显示“Windows正在配置系统。Plase不打断这个过程。”这样一个对话框来欺骗您。您看随意打开附件中的.txt的危险够大了吧？

欺骗实现原理：当您双击这个伪装起来的.txt时候，由于真正文件扩展名是.{3050F4D8-98B5-11CF-BB82-00AA00BDCE0B}，也就是.html文件，于是就会以html文件的形式运行，这是它能运行起来的先决条件。

文件内容中的第2和第 3行是它能够产生破坏作用的关键所在。其中第3行是破坏行动的执行者，在其中可以加载带有破坏性质的命令。那么第 2行又是干什么的呢？您可能已经注意到了第 2行里的“Ws cript”，对！就是它导演了全幕，它是幕后主谋！

Ws cript全称Windows s cripting主人，它是Win98中新加进的功能，是一种批次语言/自动执行工具——它所对应的程序“Ws cript.exe”是一个脚本语言解释器，位于c:\WINDOWS下，正是它使得脚本可以被执行，就象执行批处理一样。在Windowss cripting主人脚本环境里，预定义了一些对象，通过它自带的几个内置对象，可以实现获取环境变量、创建快捷方式、加载程序、读写注册表等功能。

识别及防范方法：

①这种带有欺骗性质的.txt文件显示出来的并不是文本文件的图标，它显示的是未定义文件类型的标志，这是区分它与正常TXT文件的最好方法。

②识别的另一个办法是在“按网页方式”查看时在“我的电脑”左面会显示出其文件名全称（如图 1），此时可以看到它不是真正的TXT文件。问题是很多初学者经验不够，老手也可能因为没留意而打开它，在这里再次提醒您，注意您收到的邮件中附件的文件名，不仅要看显示出来的扩展名，还要注意其实际显示的图标是什么。

③对于附件中别人发来的看起来是TXT的文件，可以将它下载后用鼠标右键选择“用记事本打开”，这样看会很安全。

二。 恶意碎片文件

　　另一类可怕的TXT文件是一种在Windows中被称作“碎片对象”(扩展名为“嘘”)的文件，它一般被伪装成文本文件通过电子邮件附件来传播，比方说，这个样子：QQ号码放送.txt.shs，由于真正地后缀名“嘘”不会显示出来，如果在该文件中含有诸如“形式”之类的命令将非常可怕！不仅如此，以下四点原因也是其有一定危害性的原因：

　　①碎片对象文件的缺省图标是一个和记事本文件图标相类似的图标，很容易会被误认为是一些文本的文档，用户对它的警惕心理准备不足。

②在Windows的默认状态下，“碎片对象”文件的扩展名(“.嘘”)是隐藏的，即使你在“资源管理器”→“工具”→“文件夹选项”→“查看”中，把“隐藏已知文件类型的扩展名”前面的“√”去掉，“.嘘”也还是隐藏的，这是因为Windows支持双重扩展名，如“QQ号码放送.txt.shs”显示出来的名称永远是“QQ号码放送.txt”。

③即使有疑心，你用任何杀毒软件都不会找到这个文件的一点问题，因为这个文件本身就没有病毒，也不是可执行的，而且还是系统文件。你会怀疑这样的文件吗？

④这种嘘附件病毒制造起来非常容易，5分钟就可以学会，也不需要编程知识（格式化C盘的命令：“形式c:”大家都知道吧^ _ ^）。

1、 具体实例

那么，碎片对象到底对用户的计算机会造成什么威胁呢？我们一起来作个测试就明白了。以下测试环境是在Windows 2000服务器中文版上进行的。我们先在硬盘上创建一个测试用的文件test.txt(我创建的位置是D:\test.txt)，然后我们来制作一个能删除这个测试文件的碎片对象文件。

①先运行一个对象包装程序(packager.exe)，我的Win2000服务者安装在/winnt/system32下。

②新建一个文件后，打开菜单“文件”→“导入”，这时会弹出一个文件对话框，让你选择一个文件。不用考虑，随便选择一个文件就可以了。

③然后打开“编辑”→“命令行”，在弹出的命令行输入对话框中输入“cmd.exe /c del d:\test.txt”，点“确定”。

④然后，在菜单中选择“编辑”→“复制数据包”。

⑤接着，随便在硬盘上找个地方，我就直接在桌面上了。在桌面上点击鼠标右键，在弹出菜单中选择“粘贴”，这时我们可以看到在桌面创建了一个碎片对象文件。

现在我们可以双击一下这个文件，CMD窗口一闪而过后，再到D盘看看，测试文件D:\test.txt已经被删除了！现在你该知道了，当时在对象包装中输入地命令被执行了。好危险啊，如果这条命令是要删除系统中的一个重要文件，或者是格式化命令形式之类的危险命令，那该有多么的可怕！

下面让我们一起来看看这个“隐身杀手”的真正面目吧！

2、 技术原理

依照微软的解释，嘘文件是一类特殊的对象链接与嵌入（对象链接与嵌入，对象连接和嵌入）对象，可以由词文档或优秀电子表格创建。通过选择文档中文本或图像的一块区域，然后拖放该区域到桌面上的某处，就可以创建一个Windows碎片对象，或称为嘘文件（此文件是不可读文件）。但是你可以用任何其它你想要的文件名重新命名嘘文件，或者拖放嘘对象到另一个文档（同样地，你可以剪切和粘贴）。

也就是说，我们所输入的命令作为对象链接与嵌入对象嵌入到对象包装程序新建的文件中了， 而微软为了能方便的将嵌入到文件的对象进行复制，使用了一种技术壳废料宾语(简称嘘)，就是说，当你在不同文件间复制对象时，Windows是将对象包装成一个碎片对象来进行复制的。因此，一旦我们不是在文件间进行复制粘贴，而是直接将碎片对象粘贴到硬盘上，就会产生一个.嘘文件。这个碎片对象文件保存了原来对象的所具备的功能，原来对象包含的命令同样会被解析执行，这正是其可怕这处！3、防范方法

(1)“野蛮”法

嘘文件既然不是可执行文件，当然需要其他的程序来解析执行了，我们去掉解析执行的关联就可以简单防止这种文件中潜伏的威胁了。 运行注册表编辑器regedit.exe，在HKEY_CLASSES_ROOT\.shs主键下，将默认值ShellScrap删除，现在双击.嘘文件，看，不会执行了吧？弹出了一个对话框，让我们选择打开.嘘文件需要的程序，此时你选择“记事本”程序看就非常安全了。 更彻底一点的办法是将HKEY_CLASSES_ROOT\ShellScrap\shell\open\command下的打开.嘘文件的关联完全去掉，现在双击.嘘文件，连选择运行程序的对话框也不出现了，它会直接要求在控制面板重建文件关联。

(2)“文明”法

①在注册表编辑器HEY_CLASSES_ROOT\ShellScrap键下，有一个键值“NeverShowExt”，它是导致“.嘘”文件扩展名无法显示的罪魁祸首。删除这个键值，你就可以看到“.嘘”扩展名了。

②更换“碎片对象”文件的默认图标。由于碎片对象文件的默认图标与文本文件图标非常相似，容易麻痹人，所以我们要更换它的图标。打开资源管理器，选中“查看”菜单下的“文件夹选框”，在弹出的对话框中选择“文件类型”标签，在“已注册的文件类型”下找到“碎片对象”。单击右上角“编辑”按钮，在打开的“编辑文件类型” 对话框中单击上边的“更改图标”按钮。打开C:\WINDOWS\SYSTEM\Pifmgr.dll，从出现的图标中选一个作为“.嘘”文件的新图标即可。

(3)更多防治手段

①如果是病毒文件隐藏了其真实扩展名“嘘”，而你在反病毒软件中设置成扫描指定程序文件、而不是扫描所有文件（如只扫描可执行文件），那么反病毒软件是无法发现病毒的，所以请在反病毒软件的指定程序文件中加入“.嘘”文件的扫描。各种防病毒软件的设置大同小异，比较简单，请大家自己进行设置。

②禁止“碎片对象”文件及“指向文档的快捷方式”文件。

三。改头换面的视野邮件附件

除了上面所说的两类危险的“TXT”文件，还存在另一种危险的“TXT”文件——改头换面的视野邮件附件！即一个看起来是TXT的文件其实是个EXE文件！下面我以OutLook2000简体中文版为例进行详细说明。

1. 开启OutLook2000，新建一个邮件，选择菜单栏中的“格式”→“带格式文本”，在邮件正文点击一下鼠标左键，选择菜单“插入”→“对象”，点击“由文件创建”→“浏览”，选择Windows目录下的notepad.exe，点击“确定”，在新邮件的主体部分出现notepad.exe及其图标。

2. 在刚出现的notepad.exe及其图标上点击鼠标右键，选择“编辑包”，打开对象包装程序，选择“插入图标”按钮，选择“浏览”，选择WINDOWS\SYSTEM\SHELL32.DLL，在当前图标框中选择一个你想要的图标，比方说选择一个文本文件的图标，然后按“确定”。然后选择菜单“编辑”→“卷标”，任意定义一个名字，比方说hello.txt，点击“确定”。

3. 退出对象包装程序，在提示是否更新时选择“是”。

4. 好，现在出现在面前的是hello.txt，一般人会认为它是一个地地道道的文本文件附件，相信没有人怀疑它是别的东西。请你双击这个图表，看看会发生什么？是不是发现它打开的是notepad.exe！如果它是一个病毒文件，结果可想而知！

事实上，当你用OutLook2000收到这样一个邮件时，它会显示这是一个带附件的邮件，当你以为它是一个文本文件附件双击打开时，视野会提示：部分对象携带病毒，可能对你的计算机造成危害，因此，请确保该对象来源可*。是否相信该嵌入对象？安全观念强的人一般会选择“不”（这就对了），一般的人可能会选择是（你惨了！）。

识别方法：不要怕，尽管它的迷惑性极大，但是仍然会露出一些马脚：

1. 它其实是一个对象链接与嵌入对象，并不是附件，选择它时，选择框会不同于选择附件的选择框。点鼠标右键出现的菜单不同。

2. 双击打开它时，安全提示与附件的安全提示不同，这点非常重要。这时，应该选择“不”，然后点击鼠标右键，选择“编辑包”，提示是否信任该对象时选择“是”，在对象包装程序的右边内容框中，将现出原形。在本例中，会显示“NOTEPAD.EXE的备份”，文件是否可执行，关键在这里。

3. 因为它不是附件，在选择“文件”→“保存附件”时并无对话框出现。

4. 由于并不是所有的邮件收发软件都支持对象嵌入，所以这类邮件的格式不一定被某些软件识别，如OutLook Express。但是视野的使用面很广，尤其是在比较大的、有自己邮件服务器的公司，所以还是有必要提醒大家小心嵌入对象，不光是视野，其实词、优秀等支持嵌入对象的软件可以让嵌入对象改头换面以迷惑人。

四、难以抗拒的诱惑-社交工程

社交工程(Social Engineering)原本是一种源自于飞客(Phreak)的诈骗手法，对于该手法读者应该不致于太陌生，因为之前没多久，相信很多人应该曾接到一些诈骗电话，像是谎称自己是警察人员，并告知接听者的银行账号被盗领，或是"你儿子现在在我手上，快拿两百万过来"等云云，这些就是运用社交工程的显例。

基本上，社交工程是利用人性弱点，并透过威胁、利诱的手法来进行骗取对方信任或遵从某个动作的技术。对于大部分的企业而言，技术面的问题好解决，但是牵涉到人性面的问题就相当棘手难防了，也因为如此，社交工程已成为蠕虫、特洛伊木马等恶意程序惯用的技术之一。

尤其对个人而言，面对每日眼花瞭乱的邮件实在很难防，而网上琳琅满目的MP3音乐、共享软件或图文件的诱惑力更难扺挡，偏偏这些东西是黑客运用社交工程的最佳试炼场。

五、有洞就钻

在过去，软件上的臭虫(Bug)顶多会造成软件或系统稳定性或兼容性上的问题，但如今却成为黑客攻击的主力目标。赛门铁克亚太区技术安全顾问林育民表示，如今许多软件及平台都存在许多漏洞，而后一版本的软件大多仍会继续沿用之前版本的组件，所以漏洞有可能也会流传到不同版本之中。如此一来，便成为黑客及蠕虫攻击的目标。所以系统弱点及软件漏洞已成为目前计算机安全上的重大课题。

根据Gartner Group今年4月的分析报告指出，2003年有25%的网络攻击事件来自于已知漏洞。面对漏洞问题，唯一最直接的解决方法就是下载厂商提供的修补程序(Patches)。对于企业而言，由于软件系统种类繁多、数量庞大，所以必须搭配漏洞及弱点管理工具，以进行固定的扫描、侦测及修补作业。

但前文曾提到Symantec的研究报告，目前漏洞发布与相关蠕虫攻击的平均时间差只有短短的5.8天，而Witty蠕虫甚至缔造了2天的惊人纪录，未来随着蠕虫技术的不断突破，平均时间差只会愈来愈短。今后，要与黑客一比抢攻漏洞之高下，绝对是今后企业及资安厂商努力的重点之一。

对于个人而言，修补漏洞一直是件不得不做，但又极其困扰的事情。最主要是因为操作系统会随着软件、游戏或硬件的安装、解除，档案的进进出出或其它不当的操作而终至变慢、甚至当机的地步，换句话说，为求系统稳定，操作系统每隔一段时间是要重灌的。也因为如此，重灌计算机也意味着要重灌之前所有安装过的修补程序。

如果使用者是透过在线修补，那么在冗长的修补过程中难保不会被蠕虫入侵或被种下后门。如果透过已下载的修补档来修补，虽然较安全，但数量庞大的修补作业可是相当累人的事情。

虽然操作系统中也有提供系统还原的功能，只要选择较后面的还原点，可以减少修补作业的次数。但使用者要如何确认哪一个还原点才是完全安全干净的呢?总而言之，对个人来说，修补漏洞绝对是件既困扰又无奈的事情。

另外要补充强调的是，使用者千万不要因为麻烦或抱着侥幸心态，认为之前旧漏洞不补也没关系，而只要修补最新漏洞即可。事实上，旧漏洞才是黑客最爱，根据Gartner Group今年4月的分析报告指出，2003年有25%的网络攻击事件来自于已知漏洞。所以凡是系统或软件有任何漏洞，都是非补不可的。

六、就是要你消受不起-DDoS

阻断式服务攻击(Denial-of-Service;DoS)已成为目前黑客及蠕虫的主要攻击方式之一。透过DoS攻击，网站会被大量而密集的封包所淹没，结果导致网站用户无法正常进入网站，享受应有的内容或服务。

如今的蠕虫、特洛伊木马或BOT遥控程序则采用更大规模的分布式阻断服务攻击(Distributed DoS;DDoS)手法，形成对企业、网站更长时间的"封锁"及更大的损失。

所谓DDoS就是在网络上透过搜寻、扫描漏洞及殖入后门等方式，以整合更多的攻击来源，以对主要目标展开更猛烈持久的服务封锁。如此的好处是，可以结合更大的攻击能量，同时真正发号司令的黑客不容易被抓到。BOT遥控程序就是透过网络扫描、感染更多的殭尸计算机，形成庞大的殭尸网络大军，然后针对主要目标展开猛烈的DDoS攻击。

史上著名的DDoS攻击事件，像是2001年的红色密码(Code Red)，即为一只曾对微软IIS Server展开DDoS的蠕虫;2003年疾风蠕虫(MSBlast.A)则透过RPC DCOM缓冲区溢位的弱点，攻击微软Windows Update 网站;2004年1月底，Yahoo、Google等搜寻引擎网站更受到MyDoom蠕虫的DDoS攻击，而造成相当大的损失。

七、陆海空联合大进击-混合式攻击

自从2001年Code Red率先采用混合式攻击技术以来，混合式攻击已成为目前恶意程序发展中的最大特色及惯用手法。透过不同攻击技术的结合，恶意程序得以用更快的传播速度、更多样化的管道及更强的破坏力展开突击。目前"纯种"的恶意程序已经愈来愈少，即使是也多半会在变种的下几代中不断添加新的攻击技术及特性。

就各恶意程序的特性而言，病毒具备其它恶意程序所没有的感染力，蠕虫则提供无人能敌的主动散播能力，至于远程摇控能力最强的当推特洛伊木马。而混合式攻击就是截长补短地整合病毒、蠕虫、木马、间谍程序或网络钓鱼的特性，以及网络漏洞、系统弱点扫描的新一代恶意程序技术。

一只混合式攻击程序可能会透过不同的媒介及管道，来进行陆海空联合多点大进击，换句话说，它可能一方面透过垃圾邮件传播，一方面在网上扫描并寄生在有弱点的主机上，一方面在网络上"装可爱"成可供人们下载的MP3、游戏或软件，或是搜寻感染网络芳邻上的分享目录夹，抑或提高来宾账户的权限等级等。由于攻击来自于四方八面不同的管道，所以单靠传统单一的防毒软件是无法有效因应的，目前厂商则主张多层次的主动防御方案以为因应。

对于混合式攻击，目前间谍程序会结合许多技术，其中尤以两点发展趋势最值得关注:

(1)间谍软件与垃圾邮件的结合:同时借此将BOT远程遥控程序种殖在别人的计算机中，并以此为侵入其它计算机或网络的跳板。

(2)会窃取计算机所有的画面:过去仅会侧录键盘的击键，如今不但会偷取档案数据，甚至还会启动Web Camera并窃取画面。