ZONE.CI 全球网

本文为ExchangeProxyShell攻击链的实战复现记录，涵盖CVE-2021-34473、CVE-2021-34523、CVE-2021-31207三个漏洞的原理分析、利用脚本使用及失败排查过程。作者分享了通过审计源码获取Token、绕过CVE-2018-8581补丁影响等关键技巧，并提供了手动复现思路与自动化脚本方案，对红队实战具有较高参考价值。

本文介绍了Windows反弹Shell的三种姿势，包括nc正向和反向、regsvr32利用系统组件远程加载脚本、PowerShell的powercat与Invoke-Obfuscation混淆免杀，并通过火绒实测了免杀效果。文章提供了详细的实验步骤和命令，适用于安全学习和授权测试。

俄关联组织UAC-0099使用新型ASHVEIN远控木马攻击乌克兰政府人员，该木马能提取浏览器凭据、截屏、检索文件，通过HTML隐蔽指令和GitHub备用渠道接收任务。文章指出这是持续获取入口、筛选目标并移交的前端作业系统，四年更换十余种工具，目标覆盖乌克兰政府、防务、边防和物流等领域。对我风险主要来自手法迁移，驻外机构、物流企业等可能成为目标，建议关注非浏览器进程读取凭据库等组合信号，并核查身份令牌、VPN会话等环境。

俄关联组织UAC-0099利用新型ASHVEIN远控木马攻击乌政府人员，警惕其手法可能被复用于针对我政企网络，需加强安全防护。

该文分析了一起多阶段VenomRAT感染链：混淆JS投递后，在启动文件夹创建BAT实现持久化，进而通过PowerShell下载并执行嵌入两个.NETPE载荷的cim.png文件，最终使用RunPE技术将Venombin.exe注入PowerShell\\_ISE进程。C2配置经AES-128-CBC加密，包含HVNC、RDP访问、凭据窃取等功能，文章末尾附有完整IOC列表，可供威胁狩猎与应急响应参考。

本文揭示本地AIAgent通过第三方API中转站时的安全风险，指出中转站可能篡改Prompt、注入恶意代码并非法执行，结合真实案例说明攻击链如何利用用户信任导致开机自启隐藏脚本，建议用户警惕非透明中转服务并加强执行结果审查。

火绒安全披露新型远控攻击手段，攻击者将恶意样本伪装成WPS安装包，利用InnoSetup分阶段释放cloudflared合法组件实现白利用，通过创建服务与计划任务建立持久化机制，并借助cloudflared建立远程TCP隧道实现隐蔽控制。该攻击链综合使用多重技术增强隐蔽性与免杀能力，目前火绒安全产品已实现拦截查杀。

文档基于2026年安全报告数据指出网络攻击呈现三大趋势：82%攻击利用合法工具而非恶意软件，29分钟平均突破时间要求实时终端响应，89%AI攻击增长体现动态化威胁。核心结论是安全体系需从文件检测转向行为分析，强化终端探针的本地实时判断能力以应对伪装成正常的攻击手法。

本文详细记录了一次红队演练中利用Teams社工钓鱼、Python脚本、PowerShell和Dropbox等合法工具在72小时内突破金融企业内网并获取域控权限的全过程。攻击链通过合法业务行为规避EDR检测，揭示了外部通信未限制、脚本无管控、服务账号权限过度、云存储无行为基线等防御缺陷。文章最后提供了针对性的防御建议，包括限制外部通信、加强脚本管控、实施最小权限原则和建立云存储行为基线。

EclecticIQ报告显示黑客伪造GeminiCLI与ClaudeCode钓鱼网站，通过竞价排名诱导开发者执行恶意PowerShell脚本，该木马可窃取浏览器Cookie、登录凭据、数字钱包等数据并具备远程控制能力。建议开发者验证下载来源、启用PowerShell限制语言模式及多因素认证防护。

恶意LNK文件伪装成求职简历针对企业员工进行定向攻击，结合社会工程学诱骗用户打开文件。攻击采用多阶段载荷投放，通过计划任务持久化，并利用DLL侧加载执行Xctdoor后门。文档提供了检测指标如检查公共目录下的脚本文件和异常计划任务，以及缓解措施包括禁用不受信任位置的LNK执行和启用PowerShell日志记录。

本文记录了通过前端技术实现批量下载工单文件的操作实践。作者通过提取文件名中的工单号，利用MiniUIDataGrid组件的JSAPI实现自动勾选指定工单，结合系统批量下载功能完成半自动化操作。文档包含具体操作步骤、常见问题解决方案及调试技巧，为类似前端批量操作场景提供了实用参考。

2026年6月发现的恶意活动通过意大利语钓鱼邮件分发伪装成PDF的JS文件，利用恶意Chrome扩展与原生消息主机结合，绕过浏览器安全规则实现持久化后门。该后门可窃取浏览器Cookie、标签页等数据以劫持会话，并能在Windows系统上执行PowerShell命令进行远程控制。防御建议包括审计Chrome企业策略、核对原生消息注册、审查PowerShell日志及使暴露会话失效。

本文针对Windows系统下ClaudeCode使用不流畅的问题进行分析，指出PowerShell和GitBash存在的命令行环境缺陷，提出通过修改settings.json禁用PowerERSHELL工具、安装WindowsTerminal替代GitBash终端两种解决方案，并详细说明配置步骤和效果对比。

本文介绍了Windows事件日志管理的核心工具集，包括EVTX格式演进、日志存储配置、以及Get-WinEvent、Write-EventLog和EventCreate三种工具的使用方法。强调日志收集后必须定期分析，并提供了通过组策略统一配置日志大小和归档行为的建议，以提升安全运维效率。

该文档介绍了一个名为Llm-Vuln-Checker的命令行工具，用于防御测试大模型应用的安全漏洞，如提示词注入和敏感信息泄露。工具支持OpenAI兼容接口和离线日志审计，可生成Markdown或JSON报告，并允许自定义规则。它强调仅用于授权测试，使用假密钥，结果需人工复核。

本文详细记录了在Windows10环境下安装Hermes桌面端时遇到的三个主要问题及解决方案：卡在安装ripgrep和ffmpeg时需手动通过winget或下载安装包并配置环境变量；BuildingDesktopApp失败因缺少gitcommit信息，需手动克隆仓库到指定目录；CloningHermesrepository失败同样可通过手动克隆解决。此外还提供了uv、pip、npm镜像配置及Playwright下载失败的解决方法，并概述了脚本安装流程和安装后配置步骤。

本文深入剖析了2025年终端安全对抗中EDR规避的三大前沿技术：间接系统调用通过从ntdll.dll内合法地址执行syscall来绕过用户态hook；ETW绕过通过patchEtwEventWrite等函数使EDR无法接收关键事件；内核回调脱钩通过遍历并清零EDR注册的回调函数指针来隐藏进程创建等行为。文章指出攻击者已能在500ms内完成规避，防御方则向硬件虚拟化、行为分析和内存完整性扫描演进。建议防御者采用纵深防御策略，结合应用白名单、网络分段和最小权限原则。

Turla组织的Kazuar后门结合DLL侧加载与混淆PowerShell加载器实现隐蔽执行，通过劫持合法程序在内存中解密运行载荷以规避检测，并滥用云服务隐藏C2通信。建议防御者监控受信进程的异常DLL加载与PowerShell日志，采用实时端点内存监控替代传统沙箱，以应对其环境门控反分析技术。

本文分析了ClickFix社会工程学攻击技术，该技术通过伪造验证码或系统提示诱导用户手动执行恶意命令，取代传统钓鱼邮件成为主流渗透手段。文章详细描述了攻击链、macOS变体CrashReportImpersonator及医疗行业成为重灾区的原因，并提供了从系统层面切断攻击链的防御建议，如启用PowerShell受限语言模式、禁用mshta等。

本文汇总了2026年7月18日多篇网络安全技术文章，涵盖免杀工具Heavenly更新、GateIn内核级C2模型、ClickFix攻击链利用Cloudflare掩护、WordPressBricksforge未授权提权漏洞、Nginx堆缓冲区溢出漏洞、WindowsLegacyHive零日漏洞等，并包含安全事件周报和CSRF绕过技术。

eSentireTRU报告拆解TAG-150攻击链，始于ClickFix诱饵，经MSI和AI生成的PowerShell脚本安装Deno运行时，加载DinDoorloader与DenoRAT，最终执行NightshadeC2。攻击利用Deno的FFI调用WindowsAPI绕过检测，全程几乎不落盘。关键发现包括Deno作为恶意软件载体、AI生成代码登场及多阶段串联。建议蓝队关注Deno进程异常行为及JWT中的活动归因线索。

攻击者利用AI生成的PowerShell脚本枚举AD域账户并外泄数据，标志着Vibe编码恶意软件的兴起。该脚本虽能绕过传统静态签名检测，但保留了冗余逻辑等明显AI特征。研究表明AI无法掩盖底层系统调用，安全团队应摒弃静态签名，转向基于行为遥测的分析以应对此类定制化威胁。

本文披露APT36影子招聘行动，黑客伪造招聘压缩包，经LNK触发脚本下载合法远控并植入木马。其创新利用谷歌表格API作隐蔽C2，流量伪装云访问且具反沙箱能力。建议个人警惕陌生压缩包，企业需监控异常进程链与计划任务，审计云表格API，中招后应断网清文件并改密。

本文推广《Windows安全内幕:身份验证、授权与审计(AAA)核心技术详解》一书,由国际安全专家詹姆斯·福肖撰写,国内专家联合翻译。书籍基于真实入侵案例,系统讲解WindowsAAA安全体系,涵盖认知梳理、架构思想、底层剖析、项目实战、行业展望五大板块,旨在帮助从业者深入理解Windows安全底层原理,提升实战防御能力。