场景：2026年9月，某大型制造企业HVV演练。红队以钓鱼邮件为突破口，72小时内从边界打穿至域控，全程未触发EDR高危告警。蓝队事后复盘还原完整攻击链。
攻击 / 事件时间线
初始访问：精准钓鱼投递
红队前期通过LinkedIn与企查查锁定目标企业IT运维主管，伪装为「集团IT部」发送「VPN客户端强制升级通知」。附件为LNK文件，双击后调用mshta.exe远程加载伪装成升级脚本的HTA载荷，落地为Cobalt Strike Beacon。全程无文件落地，仅内存执行。
Cobalt Strikemshta.exeLNK快捷方式
权限维持与信息收集
Beacon回连后，红队使用powerpick注入内存执行Seatbelt进行主机信息收集，发现该主机为运维跳板机，已保存多台服务器的RDP凭据。随后利用Mimikatz的sekurlsa::logonpasswords抓取LSASS内存中的明文密码，获取到域管账号的NTLM Hash。
MimikatzSeatbeltPowerShell
横向移动：跳板机到域控
红队使用SharpRDP通过已获取的域管Hash进行Pass-the-Hash登录跳板机，再通过PsExec将Beacon注入域控的svchost.exe进程。为规避检测，使用Invoke-SMBExec替代传统PsExec，减少服务创建日志。同时利用ADCS漏洞（ESC8）申请域控证书，建立持久化后门。
SharpRDPInvoke-SMBExecCertipy
数据窃取与痕迹清理
获取域控权限后，红队通过DCSync导出全部域用户Hash，并利用SharpHound收集域内ACL关系，定位到财务系统数据库服务器。使用Rclone将数据打包加密后通过HTTPS外传至境外VPS，传输完成后清除Security日志中的4648事件，并删除Beacon残留的注册表项。
DCSyncSharpHoundRclone
蓝队视角 · 发现与处置
蓝队通过Sysmon日志发现异常：跳板机上svchost.exe发起了对域控445端口的连接，且进程签名无效。结合EDR的AMSI告警，研判为Cobalt Strike Beacon注入。蓝队立即隔离跳板机与域控，重置所有域管密码，并通过YARA规则扫描全网内存中的Beacon特征。溯源发现钓鱼邮件来自境外IP，邮件网关未拦截LNK附件。最终在2小时内完成域控加固与凭据轮换，阻断数据外传通道。
涉及关键技术 / 工具
无文件钓鱼：LNK+mshta远程加载HTA载荷凭据窃取：Mimikatz抓取LSASS明文密码与NTLM Hash横向移动：Pass-the-Hash + Invoke-SMBExec隐蔽执行域控持久化：ADCS ESC8证书滥用数据外传：Rclone加密隧道HTTPS外发
防护经验总结
- 邮件网关启用LNK/HTA附件拦截策略，并对Office宏与脚本执行实施ASR规则
- 域内启用LAPS与Credential Guard，禁用域管账号的RDP与SMB登录权限，限制Pass-the-Hash利用面
- 部署Sysmon并配置进程创建、网络连接、LSASS访问等关键事件采集，结合EDR实现内存级Beacon检测
#钓鱼邮件#域控沦陷#Cobalt Strike#横向移动#HVV复盘