第八期：实战演练 —— 构建一个完整的攻击链（模拟）

引言：理论终须落地。本期我们将把前七期的内容串联起来，进行一次完整的红蓝对抗推演 。我们将以"上帝视角"复盘一次从初始入侵到数据窃取的完整链条，并重点拆解蓝队如何在每个环节进行狩猎（Hunting） 与遏制。

这是一次针对 **"ABC 科技"** 的模拟红队行动，目标是获取域控权限。

阶段	技术选择	免杀/对抗策略
1. 初始访问	鱼叉邮件 + Word 宏	宏代码混淆，利用 `msbuild.exe`执行 XML payload。
2. 执行与免杀	PowerShell + Base64	使用 `-ep bypass`和 AMSI Bypass，内存加载 Shellcode。
3. 持久化	注册表 Run 键 + DLL 侧载	将恶意 DLL 注入到 `werfault.exe`（Windows 错误报告）。
4. 防御规避	进程镂空 (Process Hollowing)	掏空 `svchost.exe`，将 Cobalt Strike Beacon 写入其中。
5. 内网探测	内置命令 (`net`, `ping`)	使用 LOLBins，不产生新 exe 文件。
6. C2 通信	HTTPS + 域前置	伪装成 Microsoft Update 流量，连接 Azure CDN。
7. 横向移动	Pass-the-Hash (PtH)	使用 Mimikatz 反射注入，窃取域管 Hash。

作为 SOC 分析师，你并没有收到"病毒警报"（因为免杀成功了），但你通过行为异常发现了端倪。

发现时间：T+0 天（攻击当天）

查询语句：

sql 复制代码

source="WinEventLog:Microsoft-Windows-Sysmon/Operational" EventCode=1
| where ParentImage LIKE "%winword.exe%" AND Image LIKE "%msbuild.exe%"

发现时间：T+1 天

发现时间：T+2 天

基于此次演练，制定 IR 剧本：

隔离（Isolate）：
- 立即使用 EDR 控制台隔离受感染主机（阻断端口 445/139）。
清除（Eradicate）：
- 删除注册表 Run 键值。
- 结束异常的 svchost.exe进程（注意：不要结束系统关键进程）。
恢复（Recover）：
- 重装系统（最稳妥）。
- 重置该用户及域内相关账号密码。
加固（Harden）：
- GPO：禁用 Office 宏。
- AppLocker ：禁止 msbuild.exe在非开发目录运行。
- 防火墙：阻断对境外 Azure/GCP 异常 IP 的直接连接。

至此，《现代免杀技术与防御演进》系列文章已全部完结。我们从二进制静态特征 出发，穿越了内存对抗 、LOLBin 滥用 、沙箱逃逸 ，最终抵达了流量伪装 与实战复盘。