场景：某大型制造企业年度红蓝对抗演练，红队以钓鱼邮件为入口，绕过邮件网关与EDR，72小时内完成从边界突破到域控接管的完整攻击链。
攻击 / 事件时间线
初始访问：鱼叉邮件投递
红队伪造供应商发票通知邮件，附件为携带
恶意LNK快捷方式的ISO镜像。LNK执行PowerShell下载器，通过
mshta.exe远程加载混淆后的VBScript，在内存中解密并注入Cobalt Strike Beacon至
explorer.exe。邮件网关因ISO未触发静态检测放行，EDR对
mshta白名单进程无告警。
Cobalt Strikemshta.exePowerShell
提权与持久化
Beacon回连C2后，红队利用PrintNightmare（CVE-2021-34527）变种在目标主机提权至SYSTEM，随后通过reg save导出SAM与LSA secrets，获取本地管理员哈希。持久化采用计划任务+WMI事件订阅双通道，计划任务伪装为MicrosoftEdgeUpdateTaskMachineCore，每30分钟执行一次Beacon心跳。
Mimikatzreg saveWMI Event Subscription
横向移动：域内侦察与凭据收割
使用SharpHound采集域内ACL与信任关系，发现一台文件服务器对域控有GenericAll权限。红队通过smbexec横向至文件服务器，利用Mimikatz的sekurlsa::pth进行哈希传递，获取域管服务账户凭据。随后以DCSync方式从域控同步krbtgt哈希，伪造黄金票据。
SharpHoundsmbexecMimikatz DCSync
数据窃取与告警触发
红队通过黄金票据访问域控，使用ntdsutil导出ntds.dit并压缩分卷，通过rclone加密上传至外部云存储。同时，在文件服务器上打包财务与研发共享目录，使用7z分卷压缩后通过DNS隧道外传。SOC的NDR设备检测到异常DNS TXT查询频率，触发告警。
ntdsutilrcloneDNS隧道
蓝队视角 · 发现与处置
SOC值班员收到NDR告警：某内网主机在10分钟内发起超过2000次DNS TXT查询，且域名熵值异常。蓝队立即联动EDR隔离该主机，提取内存镜像与进程树，发现mshta.exe父进程为explorer.exe，确认钓鱼执行链。通过Sysmon日志回溯，定位到初始LNK文件与C2域名，随后在域控上检测到DCSync行为（事件ID 4662），紧急重置krbtgt账户两次并吊销所有Kerberos票据。最终在黄金票据被利用前完成域控加固，但部分数据已外泄。
涉及关键技术 / 工具
Cobalt Strike内存注入与mshta白利用Mimikatz DCSync与黄金票据伪造DNS隧道数据外传检测
防护经验总结
- 禁用Office宏与LNK文件执行，通过组策略限制
mshta.exe、wscript.exe等白名单进程的网络访问，并启用ASR规则拦截脚本下载执行。 - 部署Sysmon并配置规则监控
DCSync（事件ID 4662中Replicating Directory Changes权限），对域控的目录复制行为实时告警。 - 对DNS出口实施强制代理与熵值检测，限制单主机TXT查询频率，部署YARA规则扫描内存中的Beacon特征（如
MZ头+ReflectiveLoader字符串）。
#红蓝对抗#钓鱼邮件#域控沦陷#DCSync#DNS隧道