省流指北：不要以为“不双击”就万事大吉！
- 99%的情况：如果你用的解压软件是最新版，纯粹解压文件到硬盘（不打开任何里面的文件），病毒只是“躺”在硬盘里，不会感染。
- 致命的1%例外：如果你在使用老版本 WinRAR，黑客利用软件本身的漏洞（如臭名昭著的 CVE-2023-38831），哪怕你只点了解压，或者只双击了里面的图片，木马也会在后台瞬间激活。
- 终极防御：遇到可疑压缩包，必须先用杀毒软件右键扫描，或者直接扔进 Windows 沙盒（Windows Sandbox）里拆解。
真实中招记录：明明只解压没点程序，公司网络是怎么瘫痪的？
很多网管和普通用户都有一个根深蒂固的执念：“病毒就是 .exe 文件，只要我不手贱去双击它，它就是个死物，绝对安全。”
很遗憾，这个经验在高级黑客面前一文极值。
就在去年8月，我们接手了一个企业内网被勒索软件“团灭”的案子。起因是财务部收到一封名为“2023下半年税务调整通知.rar”的邮件附件。财务大姐非常有安全意识，她把压缩包下载到桌面，右键点击了“解压到当前文件夹”。
她发誓自己绝对没有双击里面的任何 .exe 文件，她只看到解压出来一个名为 税务通知.pdf 的文件，连点都没点，电脑突然蓝屏，接着所有盘符的文件都被加上了 .locked 后缀。
我们调取日志还原了现场，发现了令人毛骨悚然的真相：问题根本不出在解压出来的文件上，而出在“解压”这个动作本身。
这就是我们要讨论的核心：在特定条件下，解压即感染。
核心科普：解压动作的底层逻辑是什么？
要弄懂会不会感染，你得先明白计算机运行程序的两个关键区域：硬盘（ROM）和内存（RAM）。
当你执行“解压”操作时，解压软件（如 WinRAR）仅仅是在做搬运工的工作：
- 读取压缩包内的加密或压缩字节。
- 还原成原始数据。
- 将这些数据写入到你的硬盘上。
在这个标准流程里，病毒代码只是一堆静止的数据，静静地躺在硬盘里。只要这些代码没有被操作系统加载进内存（RAM）并分配 CPU 线程，它们就永远不可能搞破坏。
所以，传统意义上，只要你不双击执行，解压是安全的。
但是（最可怕的但是来了），黑客的攻击手段早就升级了，他们专门利用系统的机制来“帮你双击”。
极度危险的“1%例外”：不双击也会感染的3大隐蔽场景
如果你遇到以下三种情况，你所谓的“谨慎不双击”毫无意义。
1. 解压软件本身的底层漏洞（0-day 或 N-day）
这是杀伤力最大的一类。你以为解压软件只是个工具，但工具本身也会有 Bug。
业内最著名的例子是 WinRAR 的 ACE 格式漏洞 (CVE-2018-20250) 和 文件扩展名欺骗漏洞 (CVE-2023-38831)。 以 CVE-2023-38831 为例，黑客在压缩包里放一个看似无害的 发票.jpg，但在同一目录下隐藏一个名为 发票.jpg .cmd 的恶意脚本（注意中间有空格）。
当你用存在漏洞的旧版 WinRAR 打开压缩包时，哪怕你只是在压缩包界面里双击预览那张图片，WinRAR 内部的错误逻辑会阴差阳错地将那个 .cmd 恶意脚本提取到系统的临时目录并自动静默执行。
解决方案： 这种基于底层架构的投毒防不胜防，唯一的解决办法就是保持软件永远是最新版。强烈建议前往官网获取最新、无漏洞的 WinRAR官方版本，直接覆盖安装，这是封堵此类漏洞的根本手段。
2. Windows 图标与缩略图缓存劫持 (Icon/Thumbnail Exploit)
有时候你把文件解压到了桌面或者某个文件夹里，你刚打开这个文件夹，还没进行任何点击，电脑就中招了。为什么？
因为 Windows 系统为了用户体验，当你打开一个文件夹时，资源管理器（explorer.exe）会自动去读取里面的文件，试图生成“缩略图”或者提取“文件图标”。 如果黑客精心构造了一个畸形的 .ico 或 .lnk（快捷方式）文件，资源管理器在尝试解析它的图标代码时，就会触发内存溢出漏洞，直接在后台执行病毒代码。
3. 解压路径投毒（DLL 劫持与启动项植入）
你解压出来的可能是一个正常的合法软件（比如一个旧版的播放器）和一个恶意的 .dll 文件。 虽然你没有去双击 .exe 的病毒，但你双击了那个合法的播放器。合法软件在启动时会默认优先加载同目录下的 .dll 动态链接库。于是，合法软件亲手把黑客的恶意 DLL 拉进了内存，完成了“借尸还魂”。
更低级但也更有效的是，如果不小心把带有恶意脚本的压缩包直接解压到了 Windows 的 Startup（启动）文件夹，下一次电脑重启时，系统就会自动帮你执行。
避坑指南：如何安全地“偷看”一个来路不明的压缩包？
作为每天都要处理成百上千未知样本的安全从业者，我们摸索出了一套绝对安全的“拆包协议”。无论你是普通办公族还是网管，照做就能保平安。
第一道防线：先过检疫区（右键杀毒）
别急着双击压缩包，也别急着解压。 下载后，第一时间对着 .rar 或 .zip 文件点击右键，选择“使用 Windows Defender 扫描”或你安装的第三方杀毒软件。 现代杀软都有“穿透压缩包扫描”的能力，可以直接在不释放文件的情况下，对比包内文件的哈希值。
第二道防线：开启上帝视角（显示文件扩展名）
黑客最爱玩的把戏就是双重后缀名，比如 内部薪资表.xlsx.exe。如果你的电脑默认隐藏了已知扩展名，你看到的就只是 内部薪资表.xlsx，外加一个被伪装成 Excel 图标的程序。
- 实操： 打开任意文件夹 -> 点击顶部菜单栏的“查看” -> 勾选“文件扩展名”。让所有妖魔鬼怪现出原形。
第三道防线：核武器级别隔离（Windows Sandbox 沙盒拆包）
如果你觉得这个文件极其重要，但又极度怀疑有毒，请一定要使用 Windows 10/11 专业版自带的“Windows 沙盒”。
这相当于在你的电脑里瞬间开启一台绝对隔离的“虚拟机”。
- 在 Windows 搜索栏输入“启用或关闭 Windows 功能”，勾选“Windows 沙盒”并重启。
- 搜索并打开“Windows Sandbox”。
- 把可疑的压缩包复制、粘贴到沙盒系统的桌面上。
- 在沙盒里随意解压、双击、瞎折腾。就算里面是毁天灭地的勒索病毒，也只能感染这个沙盒。
- 验证文件没问题后，关闭沙盒，里面的病毒连同沙盒环境会瞬间灰飞烟灭，一点渣都不剩。
第四道防线：自证清白（防止供应链投毒）
不仅要防别人发来的毒，如果你自己就是重要数据的发送方，你还要防止你的压缩包在传输过程中被中间人篡改（比如挂马或被网盘注入广告）。 为了防止这类供应链级别的安全事故，建议在打包机密数据时直接锁定并加密你的WinRAR压缩包。利用软件内置的身份校验和锁定机制，一旦压缩包被第三方加入木马，接收方在打开时会立刻收到损坏或篡改报错，直接阻断二次投毒链条。
高危防范检查清单 (Security Checklist)
为了方便落地，建议每次处理外部发来的投标书、简历、设计素材压缩包时，默念并执行以下清单：
- 确认来源身份：邮件发件人是否是伪造的地址？聊天软件里是不是陌生人发的？
- 核对解压软件版本：打开你的 WinRAR，点击“帮助-关于”，版本号是否在 6.24 以上？如果不是，立刻去升级。
- 前置病毒扫描：是否已经右键执行了杀毒软件静态扫描？
- 拒绝双击预览：绝不在解压软件内部直接双击未知文件预览，必须解压到独立的新建文件夹中。
- 开启文件后缀显示：确认解压出来的文件没有隐藏的
.exe/.bat/.cmd/.vbs/.js后缀。
FAQ（常见问题解答）
Q1: 手机上收到微信发来的压缩包，直接点解压会中毒吗？ A: 手机端（iOS 和 Android）的系统架构与 Windows 完全不同，且拥有极其严格的沙盒机制（App隔离）。电脑上的 .exe 病毒在手机上就是一堆无法执行的废纸。因此，用手机预览、解压大部分电脑病毒文件是极其安全的。但要警惕专门针对安卓系统的 .apk 安装包。
Q2: 我解压了一个文件，杀毒软件马上弹窗报警说隔离了病毒，我电脑还有事吗？ A: 通常没事。这说明病毒代码在刚刚接触硬盘（写入过程），或者资源管理器刚准备读取它时，就被杀毒软件的“主动防御/实时保护”引擎精准拦截了。只要被成功移入隔离区，病毒就没有机会进入内存执行。
Q3: 如果我已经手贱双击了压缩包里的未知文件，并且电脑开始变卡，第一时间该怎么做？ A: 拔网线！断网！强制关机（长按电源键）！ 千万不要尝试点“正常重启”。很多勒索病毒是在你正常重启的注销阶段大量加密文件的。强制断电可以立刻清空内存，强行中断病毒的加密进程。随后找专业技术人员通过 PE 系统介入查杀。
参考来源
- NVD – CVE-2023-38831 Detail: 美国国家标准与技术研究院 (NIST) 关于 WinRAR 扩展名欺骗导致远程代码执行漏洞的官方安全通告。
- Microsoft Security Response Center (MSRC): 微软官方的 Windows 资源管理器及安全漏洞响应中心。