你的防火墙，真的只是一道纸墙

去年一家金融科技公司信心满满地让我们做红队评估，他们部署了某国际大厂新一代防火墙，还上了EDR。我们第一步什么都没扫，只从领英找到目标运维主管的账号，花了三天摸清他喜欢在一个小众滑雪论坛混。接着我们注册了类似域名，伪造了论坛管理员发了一封“账号异常登录提醒”邮件，里面嵌了一个经过混淆的HTA文件。没错，就是利用CVE-2017-11882那个老旧的Office公式编辑器漏洞，但对付没打补丁的办公机足够。一秒钟，信标就弹了出来。