偵察階段
目標開放 Finger 服務，嘗試爆破帳號失敗。掃描 CGI/WWW 漏洞無果。透過 finger root@target 獲取 root 最後登入來源 IP (202.xx.xx.xx)，推測為管理員工作站。
攻擊鏈條
工作站共享利用
net view \\202.xx.xx.xx 發現「我的公文包」共享可寫。- 映射網路磁碟機 (
net use i: \\202.xx.xx.xx)，確認可寫入。
- 發現
X月工作計劃.doc，預測管理員會再次開啟。
植入後門
在文件中嵌入巨集病毒或利用 Office 漏洞，待管理員開啟觸發，取得工作站控制權，再橫向移動至目標 Linux 主機。
弱點分析
- Finger 服務洩露使用者資訊：應關閉或限制存取。
- 工作站開啟檔案共享且權限過大：「我的公文包」預設可寫，且未加密。
- 跨平台信任過度：Linux 主機管理員在 Windows 工作站處理敏感檔案，缺乏隔離。
- 文件完整性未驗證：管理員未對常用文件進行雜湊驗證或簽名。
防禦建議
- 停用 Finger、rwho 等資訊洩露服務；改用 SSH 金鑰認證。
- 工作站關閉不必要的檔案共享；敏感目錄啟用 EFS/BitLocker；公文包同步改用加密雲端或版控系統。
- 管理員操作遵循「專機專用、最小權限、不落地原則」；敏感作業在堡壘機/跳板機進行。
- 部署 HIDS/EDR 監控關鍵目錄寫入、巨集執行、異常網路連線。
- 定期演練紅隊攻擊，驗證跨平台橫向移動路徑。