一次非典型渗透测试：从“刺猬主机”到公文包陷阱的攻防启示
在近期一次网站安全评估中，我们遭遇了一台颇具特色的目标主机。常规信息探测显示其开放了FINGER服务。我们随即尝试了从aaa到zzz的账号枚举策略——这里分享一个经验性观察：账号名称的长度与密码复杂度常呈正相关。简短的账号名往往对应较为随意的密码设置，而较长的账号名则可能意味着用户具备更强的安全防护意识。然而，本次测试中这一规律并未应验，未能发现任何有效登录账号。
账号枚举路径受阻后，分析重点转向其开放的端口服务。既然目标启用了WWW服务，便尝试寻找其Web层面的安全纰漏。我们先后动用了五款不同的CGI与WWW漏洞扫描工具，覆盖了数百种常见攻击向量，结果却令人意外——目标主机防护极为严密，宛若一只无从下嘴的刺猬。虽然识别出少数细微瑕疵，但均未构成有效的直接利用点。多次尝试未果，促使我们转换渗透测试思路。
既然正面渗透难以突破，便转向侧面信息收集，尝试从系统管理员身上寻找突破口。我们对root账号执行了finger查询：
Login name: root In real life: system PRIVILEGED account
Directory: / Shell: /bin/sh
Last login Fri Jul 28 09:21 on ttyp0 from 202.xx.xx.xx
No Plan.
查询结果显示，root账户活跃度较高，其最近一次登录源自IP地址为202.xx.xx.xx的工作站。这暗示我们，真正的安全薄弱点可能并非服务器本身，而在于管理员日常使用的这台客户端计算机。
共享服务配置中的安全疏忽
基于这一判断，我们对目标工作站进行了共享资源探测：
net view \\202.xx.xx.xx
Shared resources at \\202.xx.xx.xx
Sharename Type Comment
(部分共享名隐去)
我的公文包
The command was completed successfully.
一个普遍存在却极易被忽视的安全隐患浮出水面：这台连接至互联网的计算机，竟然启用了Windows的“文件和打印机共享”服务。许多用户为方便内网办公而开启此功能，却在接入公网时忘记关闭，这位系统管理员显然也未能例外。
当然，我们并未奢望其开放C盘根目录的完全写入权限。初步检查显示，已共享的文件夹大多仅为只读权限，存放着普通文档资料。然而，其中一个名为“我的公文包”的共享项引起了我们的高度关注。作为Windows内置的同步工具，“公文包”专为在多台设备间同步更新文件而设计。由此可做出一个合理的安全推断：管理员为方便网站内容更新，很可能在本地工作站与服务器之间使用此功能进行文件同步。而“公文包”的核心功能决定了其共享权限极有可能被设置为“可写入”，否则将完全丧失同步价值。
精心布置的“工作计划”陷阱
将共享目录映射至本地驱动器后，我们确认了其具备写入权限。随后，在目录文件列表中，一个名为“X月工作计划.doc”的文件进入了视野。此类周期性文档具备极高的二次访问概率——管理员极有可能在下个月制定新计划时，将其作为参考模板再次打开。这正是我们设伏的最佳时机。
接下来的渗透测试目标非常明确：诱使管理员在下次打开该文档时，无意识地执行我们预设的后门程序。此次我们选择了一款键盘记录软件作为载荷。相较于那些特征明显、极易触发杀毒软件警报的远程控制木马，这类专注于本地信息采集的小型工具通常更具隐蔽性。它不仅能完整记录所有击键内容，还能捕获窗口活动、按钮点击及菜单操作等详细上下文信息，足以在事后复盘时近乎完整地重现用户的整个操作会话。
攻击载荷的部署分为以下几个关键步骤：
首先，在本地环境中配置键盘记录软件，将其设置为后台隐藏模式运行，确保执行时不会弹出任何可疑窗口引起警觉。
随后，是核心的“偷梁换柱”环节：创建一个与目标文档同名的批处理文件（BAT），其内容结构如下：
@echo off
[启动键盘记录软件的命令]
attrib -h X月工作计划.doc
[指向Word程序的实际路径] X月工作计划.doc
attrib -h temp.bat
del temp.pif
del temp.bat
该脚本的执行逻辑清晰且隐蔽：首先在后台静默启动记录工具；随后解除原始Word文档的隐藏属性（如已设置）；接着调用系统真正的Word程序打开管理员实际需要查阅的文档；最后执行自我清理，删除相关临时文件。即便因Word路径不匹配导致调用失败，脚本也会立即自毁，管理员很可能将其误判为一次普通的文件打开错误，而不会深入追究。
当然，一个带有明显命令行图标和.bat扩展名的文件不可能骗过任何人。因此需要进行必要的“伪装”：通过修改文件属性，将其图标替换为常见的Word文档图标；同时将运行方式设置为“最小化”，并勾选“退出时关闭”选项，确保运行时不会遗留任何可见的命令行窗口。此操作会生成两个关联文件：BAT主文件以及承载图标配置信息的PIF文件。
静待鱼饵上钩与最终渗透
最后，将键盘记录软件连同伪装好的BAT及PIF文件一并上传至目标“公文包”共享目录。上传完成后，将目录中原始的Word文档及我们上传的BAT文件均设置为隐藏属性。如此一来，管理员在该共享文件夹中看到的，仍然是一个看似完全正常的“X月工作计划.doc”图标，而他绝不会料到，这个图标背后关联的已是一个精心设计的攻击程序。
余下的工作便是耐心等待。几天后，我们再次访问该工作站共享，成功取回了记录文件。从海量的操作日志中，我们筛选并定位到了管理员登录目标服务器的完整认证过程，进而获取了有效的登录凭证。最终，凭借这些窃取的凭据，我们顺利突破了最初那台固若金汤的“刺猬”主机的防线，完成了此次渗透测试。
整个攻击过程并未利用任何复杂的零日漏洞，更像是一次针对“用户行为习惯”与“系统便利性设计”弱点的耐心观察与精准利用。这再次印证了一个关键的信息安全原则：最坚固的技术防线，往往在最意想不到的人为环节被悄然突破。
