* 起点：公开渠道收集企业域名与员工邮箱，定位 OA 入口 * 关键步：钓鱼诱导提交凭据，或直接试弱口令，登录 OA 后借后台功能到执行 * 终点：OA 服务端命令执行；仅完成账号接管定高危，不提前拔高 * 最终定级：严重（终点 RCE）；只钓到凭据并登录 OA、未取得执行定高危 ### 一、业务背景 企业协同 OA 是内部办公入口，员工日常通过邮件接收通知、登录 OA 处理审批与文档。钓鱼邮件解决 "如何拿到第一组内部凭据"，弱口令解决 "拿到入口后能否直接登进去"，两者单看都只是初始访问，登录 OA 后再借后台可执行功能成链到 RCE。本链把邮件、认证、后台三段串成一条完整路径。 ### 二、系统拓扑 * 邮件通道：员工邮箱，发件人校验与反钓鱼过滤是第一道关。 * OA 登录页：对外或内网可达，校验账号口令。 * OA 后台：文档、审批、附件、模板等功能，藏着可执行点。 * OA 服务账号：RCE 后命令继承其身份。 * 信任边界：OA 默认对内网用户宽松，登录后缺少二次校验与功能级授权。 ### 三、角色与账号 * 攻击者：外部人员，先收集邮箱与