1

初始访问

攻击者通过暴露在公网的加油站监测系统Web管理后台入手，利用弱口令（admin/admin）登录，并发现系统未启用双因素认证。随后，攻击者扫描内网，发现监测系统与加油机控制器（基于Modbus协议）直接连接，无网络隔离。

2

横向移动与提权

攻击者利用Webshell（上传JSP文件）获得系统Shell，并执行Mimikatz抓取管理员密码哈希。通过哈希传递（Pass-the-Hash）进入Windows域环境，发现域控存在MS17-010漏洞。攻击者使用EternalBlue漏洞利用工具提权至域管理员，控制整个内网。

3

数据篡改与擦除

攻击者修改加油机控制器固件参数，使每次加油计量偏差+5%，并将篡改日志覆盖为正常值。同时，部署勒索软件（伪装成系统更新）加密备份数据，并清除Windows事件日志和Sysmon日志，阻断溯源线索。