1

初始访问：一封带宏的“对账单”

红队向财务部定向投递伪装成监管对账通知的压缩包，内含启用宏的Excel。宏代码经混淆后调用PowerShell，从伪装为CDN的域名拉取Beacon。关键动作：宏内嵌Base64编码的PowerShell stager，回连域前置C2，初始Beacon以10分钟抖动间隔上线，规避固定心跳检测。落地进程为excel.exe → powershell.exe -nop -w hidden，父进程链完整可查。

2

提权与立足：从办公终端到运维跳板

Beacon落地后执行信息收集，发现终端登录用户为域内普通职员，但同网段存在运维人员的RDP会话。红队利用PrintNightmare变种补丁绕过在本地提权至SYSTEM，随后通过凭证导出获取该终端缓存凭据，横向登录一台运维跳板机。关键动作：使用procdump导出lsass内存，离线解析出NTLM哈希，Pass-the-Hash登录跳板机并植入计划任务维持权限。

3

横向移动：SMB与WMI双线渗透

以运维跳板为支点，红队用net view与BloodHound测绘域内拓扑，定位到两台数据库管理员工作站。横向采用SMB Beacon与WMI远程执行双线并进，避开EDR对PsExec命名管道的规则。关键动作：通过WMI调用Win32_Process在目标机拉起无文件载荷，载荷驻留内存，磁盘无落地。期间对每台目标先做端口与杀软探测，失败即放弃，节奏克制。

4

目标逼近：域控侦察与告警触发

红队对域控发起DCSync前置侦察，尝试用已获取的域管组账号复制目录服务。就在DRSUAPI复制请求发出的瞬间，蓝队域控审计策略捕获异常复制源IP，SOC告警平台触发高优告警。红队随即转入静默，但一条SMB会话日志已暴露跳板机与域控的异常连接。