IE的自动自动配置脚本，也就是配置那个写着http://proxy.example.com/proxy.pac的URL，曾经是脚本劫持企业网络管理员手里的王牌。点开IE选项，自动连接，配置局域网设置，脚本劫持勾上“使用自动配置脚本”，自动全公司几千台电脑的配置流量就乖乖听话了。这玩意儿比手动配代理省事太多，脚本劫持也成了劫持者眼里最肥的自动一块肉。

2017年，配置我帮一家外贸公司处理网络故障。脚本劫持他们的自动财务总监发现，登录网上银行时，配置页面总弹出奇怪的脚本劫持证书警告。IT部门查了一整天，防火墙日志干净得像新的一样，服务器也没被入侵。最后我让他们把IE的自动配置脚本URL调出来一看——好家伙，原本应该指向公司内网192.168.1.10/proxy.pac的地址，变成了http://103.xx.xx.xx/update.pac。那个IP在保加利亚。

劫持是怎么发生的？最常见的路子是ARP欺骗加DNS投毒。攻击者混进内网，发几个伪造的ARP包，网关的MAC地址就变成了他的网卡。然后他架个假DNS服务器，所有解析请求都经过他过滤。当有人访问proxy.company.com时，返回的IP不是公司真实的代理服务器，而是他控制的恶意主机。IE定时去拉取这个PAC文件，每次拉到的都是攻击者精心编排的脚本。

PAC文件本身是个JavaScript。合法用途是根据URL决定走直连还是走代理。劫持者改写这个文件后，可以干的事就多了。最阴险的一招是，PAC里写死对某些域名的请求走他们控制的代理，其他流量正常转发。这样用户访问银行、邮箱时，所有请求都经过中间人，账号密码、验证码、Cookie全被截胡。而日常浏览的新闻、视频网站却一切正常，受害者根本察觉不到异常。

更麻烦的是，IE的自动配置脚本有个“自动检测设置”的选项。如果勾选了这个，Windows会通过WPAD协议去找网络上的PAC文件。攻击者只要在局域网里放一台名为wpad的主机，响应所有DHCP和DNS的WPAD请求，就能让所有客户端自动加载他的恶意脚本。这个过程完全静默，不需要用户做任何操作，也不需要修改任何本地设置。企业里那些老旧的Windows XP机器和千年不更新的IE8，简直就是送上门的靶子。

我见过最离谱的一次劫持，是某个制造业工厂的内部系统被篡改。他们的生产管理软件基于Web，工人每天用IE打开一个固定的内网地址录入数据。攻击者劫持了PAC文件后，把对这个内网地址的请求全部代理到自己服务器上，同时返回一个伪造的登录页面。工人们照常输入工号和密码，数据却全部流向了攻击者。直到月底对账发现产量数据和库存记录对不上，才意识到出了问题。整个车间用了整整三周的错误数据排产，损失了十几万的材料费。

对付这种劫持，光靠杀毒软件没用。PAC文件是文本，不包含可执行代码，杀毒引擎根本不报。最有效的办法是彻底禁用IE的自动配置脚本，改用组策略强制指定固定的代理服务器，并锁死设置不允许用户修改。同时要监控网络里的WPAD请求，发现异常的wpad主机立即隔离。对于还在用IE的企业，我只有一句话：赶紧换掉。这浏览器在安全方面就是个筛子，你堵住一个洞，旁边又漏了三个。

现在Chrome和Firefox早就支持PAC文件，但它们默认不启用WPAD，也拒绝加载非HTTPS协议的PAC脚本。微软自家的Edge也跟随了这个策略。可悲的是，很多老企业还在用IE兼容模式跑那些陈年OA系统，等于把后门钥匙挂在门口。