### 初始-1 钓鱼邮件 + 恶意附件 #### 1. 链路定位 - MITRE ATT&CK 战术阶段：TA0001 初始访问。 - 对应技术族：T1566.001 钓鱼附件、T1204.002 恶意文件。 - 定位：经邮件把武器化载体投递到员工邮箱，诱导打开后在主机立足，落地即高危（账号接管/RCE）。 #### 2. 前置条件 - 侦察-2 的目标邮箱清单、资源-4 的模板与托管落点、武器化阶段就绪的载体。 - 了解目标网关的附件过滤与沙箱策略。 - 诱导用户执行的社会工程素材（仿冒内部主体）。 #### 3. 技术原理 - 投递走 SMTP（TCP 25/587，STARTTLS 升级），先经 MX 记录定位收件服务器，按 `MAIL/RCPT/DATA` 序列投递，底层 `socket()`/`connect()`。 - 附件触发两条底层路径：其一为 OLE 对象嵌入文档，用户激活时经 COM 调用外部载荷。其二为远程模板注入（RTI）——文档引用外部模板地址，打开时由 Office 回连该地址取回模板/宏，把执行入口从文档内部转到外部可控源。 - 载荷执行走进