文章总结： 本文复盘红队实战中组合使用钓鱼与水坑攻击的完整攻击链：先以钓鱼邮件获取初始立足点，再在内网篡改常用资源布设水坑实现多点开花与持久化。文章强调组合攻击互相补位，并给出防御建议，包括邮件网关、员工识别训练、内部资源完整性校验与软件白名单等，指出防守盲区在于只看外入侵而忽视内网自发行为。 综合评分： 78 文章分类： 红队,实战经验,社会工程学,内网渗透

先骗你开门，再等你自投：钓鱼+水坑的组合拳

原创

小浪 小浪

船山信安

2026年9月13日 20:29 湖南

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

组合战 · 钓鱼+水坑

先骗你开门，再等你自投：钓鱼+水坑的组合拳

船山信安 · 红队实战系列 ｜ 授权实网演习 · 已脱敏

组合战 · 钓鱼+水坑 ｜ 授权测试 · 已脱敏 · 船山信安红队实战系列

单用钓鱼，容易被识破；单用水坑，得等运气。红队的高阶打法，是把两者串成组合拳：先发一封钓鱼邮件“骗开第一道门”，再在内网布一个“水坑”等目标自己踩。本文复盘一次这样的实战。均已脱敏。

01为什么组合：单招都有破绽

钓鱼邮件再像，也过不了“用户多想一秒”；水坑再巧，也得碰巧有人用那个资源。组合的意义，是互相补位：钓鱼负责“先把脚伸进去”，水坑负责“伸进去之后稳稳生根”。

图 ｜ 第一阶段钓鱼骗得员工域账号并进入内网跳板

02第二阶段：在内网“挖坑”

拿到跳板后，我们不急着横冲，而是在内网布水坑：篡改那台“人人都用的内部工具站”（参照水坑攻击篇）的下载文件，或在常用Wiki里插一段恶意脚本。接下来，谁用谁中，且看起来完全是“正常工作”。

图 ｜ 第二阶段在内网常用Wiki植入带后门脚本，等待目标自取

03收网：钓鱼开门，水坑生根

于是出现了有趣的画面：钓鱼给了初始立足点，水坑把它发酵成多点开花。当蓝队封掉钓鱼进来的那台机器，内网里已经被水坑“感染”的其他机器还在——因为那些是员工自己点的，日志里毫无“入侵”痕迹。

最好的组合，是让第一次成功，变成无数次成功。

防御也要“组合”：钓鱼侧做邮件网关+员工识别训练+异常登录风控；水坑侧做内部资源完整性校验、软件白名单、对内网下载/脚本执行的行为监控。两套防线，缺一不可。

04攻击链收口

① 钓鱼骗得账号+跳板 → 开第一道门 ② 内网布水坑(篡改常用资源) → 埋根 ③ 目标自发使用中招 → 多点开花 ④ 封单机不封水坑 → 残留持久

05防守盲区复盘

| 盲区 | 表现 | 后果 | | — | — | — | | 钓鱼单点防 | 只防邮件漏了内网坑 | 中招复现 | | 内部资源无校验 | 常用站/脚本可篡改 | 水坑生根 | | 软件无白名单 | 员工随意拉执行 | 自发中招 | | 只看外入侵 | 内网’自发’行为难辨 | 残留无感 |

钓鱼与水坑是同一场战争的两条战线：对外堵入口、对内守信任。内部资源的完整性校验与软件白名单，是把“水坑”填平的关键——毕竟，坑是你自己人挖给自己的。

创造来源：个人知识库+AI总结+个人观点。主要是思路。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：船山信安 小浪 小浪《先骗你开门，再等你自投：钓鱼+水坑的组合拳》