# 钓鱼与初始访问：邮件入口如何变成主机失陷｜网络攻防演练红队视角 > 核心概念：**钓鱼属于「初始访问」战术（MITRE ATT&CK T1566.001 鱼叉邮件钓鱼）**。目标：诱导受害者执行恶意内容，从一封邮件突破边界，拿下第一台主机（打点），作为内网渗透的立足点。 > 演练中最常见：**鱼叉式邮件钓鱼**（定向针对企业员工，区别于广撒网的垃圾邮件）。 ## 一、完整攻击链路（邮件 → 主机失陷 全流程） 1. 信息收集 → 制作鱼叉邮件 2. 投递钓鱼邮件到目标员工邮箱 3. 受害者打开邮件，触发恶意载体 4. 恶意代码执行，拿到主机shell/会话 5. 持久化 + 凭证抓取，准备内网横向 ### 1. 前置：信息搜集（决定钓鱼成功率） 红队提前收集员工信息：姓名、岗位、部门、企业业务、常用系统、邮箱。 构造高度仿真邮件，降低警惕：伪装成HR、财务、运维、供应商、OA通知、工单、客户合同。 > 诱饵题材高频：发票、合同、考勤表、疫情通知、项目资料、密码更新通知。 ### 2. 邮件载体三大攻击方式（红队最常用） #### 方式A：恶意附件（经典） 文件类型：`docm`（带宏Word）、`xlsm`、压缩包内exe、lnk快捷方式、pdf恶意文件。 - Word宏钓鱼：文档打开提示「启用内容/启用宏」；一旦点击启用，VBA宏执行，下载后门、反弹shell。 - Lnk钓鱼：压缩包内伪装成pdf/文档的快捷方式，双击执行命令。 > 现代Office默认**默认阻止互联网来源宏**，现在演练更多用LNK、压缩包+exe。 #### 方式B：钓鱼链接（更常用） 邮件内嵌入伪装URL，两种路线： 1. **仿登录页（凭证窃取）** 链接跳转到高仿OA/企业微信/邮箱登录页面。员工输入账号密码 → 账号密码直接发送红队服务器。拿到账号后：登录邮箱、VPN、OA，进一步投递恶意文件或直接登录主机。 > 这是**不落地恶意程序**的初始访问方式，很多EDR很难拦截。 2. **下载恶意文件** 点击链接，自动下载exe/hta/ps1后门，受害者执行后上线CobaltStrike/Metasploit。 #### 方式C：利用邮件客户端漏洞（零日/旧版本） 无需用户点击附件，**预览邮件就触发漏洞**。 如旧版Outlook漏洞CVE-2023-36884，预览即执行代码。演练环境比较少见，真实黑产使用。 ### 3. 从触发 → 主机失陷 1. 用户点击链接/打开附件，恶意代码执行 2. 后门加载到内存（无文件攻击，规避杀毒），回连红队C2服务器 3. C2拿到该主机会话（beacon），红队获得这台机器控制权 4. 立即执行： - 抓取内存凭证（mimikatz）：本机账号、RDP凭证、域账号 - 收集内网信息：IP、网段、域环境、进程、已保存密码 - 建立持久化：注册表、计划任务，防止用户重启机器丢失权限 > 到此，**边界突破完成，拿下内网第一个立足点**。 ## 二、MITRE ATT&CK对应战术 - T1566.001 鱼叉邮件钓鱼 - T1204.002 用户执行：打开恶意附件 - T1059.001 PowerShell执行（无文件后门常用） - T1003 凭证访问（抓账号密码，为横向移动做准备） ## 三、实战中两种不同结果 1. **拿到普通域用户主机**（演练最常见）：拿到普通员工工作站，后续内网横向、寻找高权限账号。 2. **运气好拿到运维/管理员工作站**：直接拿到高权限域账号，直接拿下域。 ## 四、蓝队防守检测方案 ### 防护层 1. 邮件网关：反垃圾、恶意附件查杀、恶意URL检测，阻止钓鱼邮件到达员工邮箱 2. Office策略：**禁用来自互联网文档的宏**（最重要） 3. 终端EDR：监控powershell、wscript、rundll32异常行为，拦截内存无文件后门 4. 员工安全意识培训：不随意启用宏、不打开陌生附件、核对邮件发件人、不点击陌生链接 ### 日志检测（演练蓝队排查） - 邮件网关日志：外部发件人、附件类型、恶意链接访问记录 - 终端日志：powershell异常命令、wscript/mshta进程、office进程创建子进程（宏执行特征） - C2通信：出站异常外连、长连接、陌生IP通信 ## 五、红队实战踩坑点 1. 很多企业邮件网关会直接拦截exe、压缩包；需要免杀、文件变形。 2. 新版Office默认阻断宏，单纯docm宏钓鱼成功率大幅下降，优先LNK、PS1、链接钓鱼。 3. 只拿到账号（凭证钓鱼）不等于拿下主机，需要用凭证尝试RDP、SMB横向登录。 4. 部分员工有本地管理员权限，一旦中招直接拿到本机管理员；普通员工则需要本机提权。 ## 六、一句话区分 - 附件钓鱼：**用户执行恶意程序 → 直接获取主机会话** - 链接仿站钓鱼：**先偷账号密码，再利用账号进一步入侵主机** > 完整链路串联：钓鱼拿到初始访问 → 本机提权 → 抓取凭证 → 内网横向移动 → 域控拿下。 接下来可以继续：**C2与持久化（主机沦陷后，如何保住在机器上的控制权）**，需要吗？