AttributeStatement时未校验NameID格式，存在反序列化注入。构造恶意SAML Response，通过ysoserial生成CommonsCollections6链，base64编码后POST至/idp/saml/SSO接口。WAF仅拦截了常规java -jar关键词，未识别序列化流特征，请求成功触发，在认证节点root权限下执行curl下载二阶段载荷。/api/v1/health，仅响应特定X-Token头。随后利用frp反向代理建立SOCKS5隧道，将C2流量伪装为HTTPS心跳，目标为cdn.aliyun-update.com（攻击队自控域名）。同时通过mimikatz的sekurlsa::logonpasswords抓取本地凭据，获得该节点服务账号svc_idp的NTLM Hash，为横向铺路。svc_idp Hash，通过impacket的wmiexec.py进行Pass-the-Hash，成功登录同网段数据库跳板机10.12.30.15。在跳板机中发现运维人员保存的navicat连接配置，解密后获取核心业务库gov_core的只读账号。攻击队进一步利用MySQLLOAD_FILE读取/etc/passwd及/root/.ssh/id_rsa，尝试SSH横向至备份服务器。gov_core库中t_citizen表，含120万条公民信息。为避免大流量告警，使用mysqldump --where分片导出，每片5000条，通过DNS隧道（dnscat2）外带至权威NS服务器。同时执行wevtutil cl System与rm -rf /var/log/secure清除部分日志，但遗漏了auditd审计日志。wmiexec进程创建，且数据库跳板机出现非运维时段的SMB登录。蓝队立即隔离10.12.30.15，通过auditd日志回溯，定位到源IP为认证节点。进一步分析Tomcat进程内存，使用Arthas检测到可疑Filter类com.gov.health.InjectFilter，确认内存马。随后全网排查X-Token特征流量，阻断C2隧道，并重置所有相关服务账号密码。ObjectInputStream黑名单外的所有类，并部署RASP监控java.lang.Runtime.exec调用。auditd并配置-a always,exit -F arch=b64 -S execve -k exec_log，确保所有命令执行留痕，且日志实时推送至独立SIEM。LOAD_FILE和FILE权限；对运维工具配置加密存储，避免明文凭据落地。