Topic: #Windows

《30 天深入 LOLBAS》系列完結篇：回顧選題動機、LOLBAS Project 資料蒐集流程，以及每篇文章背後的研究日常，為 30 天鐵人賽畫下句點。

深入解析 Office 文件攻擊的兩大手法：VBA 巨集（自動執行、下載並執行 Payload、資訊收集、持久化）與 DDE/DDEAUTO 無巨集命令執行，附完整範例程式碼與微軟修補現況。

HTA（HTML Application）基礎語法完整教學：HTA:APPLICATION 屬性、VBScript/JScript 核心語法，以及偽裝更新、資訊收集、註冊表持久化等攻擊實戰應用。

從 DLL 基礎概念與載入方式講起，示範 DllMain、匯出函數、LoadLibrary 遠端執行緒注入、SetWindowsHookEx 與 Inline Hook 等 Win32 實戰語法。

示範一條完整的 LOLBAS 攻擊鏈：從惡意 Excel VBA 巨集出發，用 certutil 下載並執行 PowerShell，寫入 Run 登錄機碼建立持久化，最後自刪清理痕跡，並附上各階段的藍隊偵測方法。

Windows 10/11 內建的 sftp.exe 其 ProxyCommand 選項可被濫用執行任意系統命令，無需實際 SSH 連線。本文示範攻擊手法，並提供偵測與防禦方式。

介紹 Windows 內建 cipher.exe 的 /w 參數如何三階段覆寫磁碟未使用空間，抹除已刪除檔案的殘留痕跡，並提供對應的稽核與偵測 IOCs。

介紹 Explorer.exe 如何在使用者登入時處理 Run 註冊表機碼，攻擊者只需普通權限即可寫入 HKCU Run 機碼達成持久化，並附上偵測腳本、群組原則防禦方式與 IOC。

透過 VBA 巨集與 DDE 公式，Excel 可成為免額外工具的程式執行平台。本文示範 Workbook_Open 自動執行巨集與 DDE 命令執行，並提供子進程偵測與停用設定。

介紹 Windows 內建 WorkFolders.exe 的相對路徑劫持手法：在當前目錄放置偽造的 control.exe 即可被其執行，並示範如何用 Procmon 篩選事件、親手挖出這類 LOLBAS 漏洞。

介紹 WSL 入口程式 bash.exe 的攻擊利用方式：以 bash.exe -c 在 Windows 上執行 Linux 指令、枚舉檔案，並示範 /dev/tcp Reverse Shell，最後給出偵測與防禦建議。

解析 Windows 備份工具 Sdclt.exe 如何透過劫持 HKCU\Software\Classes\Folder\shell\open\command 登錄機碼與 DelegateExecute 值，利用 auto-elevate 特性執行高權限命令，達成 UAC Bypass（T1548.002）。

介紹 Windows 內建 ESE 資料庫工具 Esentutl.exe 如何被濫用複製鎖定中的檔案，竊取瀏覽器密碼資料庫與 SAM 登錄檔，並提供偵測與防禦方法。

介紹 Windows 內建 TPMTool.exe 的 gatherlogs 功能如何被濫用來建立掩護目錄結構與檔案載體，包含攻擊 Demo、偵測策略與防禦建議。

介紹攻擊者如何註冊惡意 Netsh Helper DLL，讓 Windows 內建的 netsh.exe 在每次執行時載入並執行任意程式碼，達成持久化與繞過白名單，並提供 Sysmon、AppLocker 等偵測與防禦建議。

深入解析 Windows 內建服務管理工具 sc.exe 的攻防兩面：從建立後門服務、修改服務路徑提權、遠端服務橫向移動到服務 DLL 劫持，並提供 Event ID、Sysmon、Sigma 與 YARA 的檢測與防禦方法。

解析 eventvwr.exe 利用 mscfile 登錄檔劫持與 auto-elevate 機制繞過 UAC 的經典提權技術，包含攻擊原理、PowerShell PoC、Windows 11 現況測試，以及登錄檔監控、Sysmon 等偵測防禦方法。

解析攻擊者如何濫用 Windows 內建 Schtasks.exe 建立排程任務達成持續性滲透（MITRE ATT&CK T1053.005），涵蓋偽裝系統任務、XML 匯入、事件觸發等技巧，以及對應的偵測與防禦方法。

介紹 Windows 內建批次檔案處理工具 Forfiles.exe 如何被濫用於任意命令執行與防禦繞過，包含 LOLBAS 攻擊手法、Windows 11 實測，以及 Sysmon 與 AppLocker 偵測防禦建議。

解析 Windows 內建診斷工具 msdt.exe 的攻擊面：ms-msdt: URL 協議、Answer File 濫用，以及 2022 年 Follina（CVE-2022-30190）零時差 RCE 漏洞的攻擊鏈與防禦方式。

實作利用 Windows 內建 Odbcconf.exe 載入惡意 DLL 取得 Reverse Shell，涵蓋 ODBC 架構、DllRegisterServer 攻擊點、LOLBAS 偵測指標與 AppLocker 防禦方式。

介紹如何用 WiX Toolset v3 打造內含 WixQuietExec 自訂動作的惡意 MSI 安裝包，讓 msiexec.exe 在靜默安裝時執行任意程式，並提供偵測指標與防火牆、AppLocker 防禦設定。

實測 Windows 11 上 Cscript/Wscript（Windows Script Host）的惡意利用：本地與遠端執行 VBScript/JScript、Echo 落地繞過、mshta 組合技，以及對應的偵測與防禦建議。

深入實測 mshta.exe 的三大危險技巧：直接執行遠端 HTA、inline JavaScript/VBScript 無檔案執行，以及對應的偵測指標與 AppLocker 防禦方式。

在 Windows 11 實測 regsvr32.exe 的 Squiblydoo 攻擊：利用 /s /n /u /i: 參數搭配 scrobj.dll 載入遠端 SCT scriptlet 執行任意程式，並提供事件日誌、網路連線與 AppLocker 等偵測防禦建議。

實測 Windows 內建 rundll32.exe 的三大濫用手法：透過 mshtml 執行 JavaScript、以 shell32/advpack/pcwutl 代理執行指令，以及對應的偵測與 AppLocker、Sysmon 防禦設定。

在 Windows 11 實測 PowerShell 三大仍然有效的攻擊技巧：記憶體執行、Base64 編碼、WMIC 替代方案，並提供 Script Block Logging 等偵測與防禦建議。

深入實測 Windows 內建 bitsadmin.exe 的三種攻擊手法：一行指令下載、分段隱密傳輸、偽裝成系統更新，並從 BITS 任務、事件日誌與網路特徵整理出可落地的藍隊偵測與防禦建議。

深入實測 Windows 內建 certutil.exe 的三大 LOLBAS 隱藏功能：-urlcache 直接下載檔案、Base64 解碼繞過偵測、偽裝成憑證處理，並整理對應的偵測特徵、痕跡調查與防禦建議。

LOLBAS（Living Off The Land Binaries, Scripts and Libraries）入門第一篇：介紹「就地取材」攻擊的核心概念、常被濫用的 Windows 內建工具、LOLBAS Project 專案，以及真實世界 APT 組織的運用情況。