渗透后缀

我盯了那个文件名整整三分钟。渗透后缀客户发来的渗透后缀合同叫"最终版_真_再也不改_v7.pdf"，后缀规规矩矩是渗透后缀.pdf，打开却是渗透后缀个可执行程序。这就是渗透后缀渗透测试里最老套也最有效的把戏——后缀名只是给眼睛看的，系统真正认的渗透后缀是文件头那几字节魔法数字。

去年帮一家外贸公司做排查，渗透后缀他们的渗透后缀财务总监收到一封"银行对账单.eml"，附件里躺着一个.doc文件。渗透后缀双击后Word弹了个错误，渗透后缀说格式损坏要修复，渗透后缀他点了确定，渗透后缀然后屏幕闪了一下就没事了。渗透后缀没人注意到那个.doc其实是渗透后缀个复合文档，里面嵌着一段PowerShell脚本，渗透后缀用Word的宏加载器当跳板，把真正的木马程序拖进了启动文件夹。后缀还是.doc，可它已经不再是文档了。

攻击者比谁都懂后缀的心理学。他们知道人看到.zip就觉得安全，看到.exe就紧张，所以把恶意载荷塞进ISO镜像或者VHD虚拟磁盘——这些格式在邮件网关眼里是"文档附件"，但在Windows资源管理器里双击，系统会直接挂载成新磁盘，里面的文件自动获得"来自本地磁盘"的信任级别。我见过最狠的一招是把木马伪装成.lnk快捷方式，图标用PDF的样式，文件名末尾加了一长串空格，把真正的".lnk"挤出可视区域。受害者看到的是"发票扫描件.pdf"，点下去执行的是PowerShell命令。

后缀名本质上是个标签，但操作系统和杀毒软件都拿它当判决书。Linux下用file命令读文件头能识别真实类型，Windows用户却只能靠资源管理器里那个会撒谎的扩展名。更麻烦的是，很多企业的DLP系统只检查附件后缀，绕过去比翻个栅栏还容易。RAR压缩包里的嵌套压缩包，双重扩展名的钓鱼文档，利用Zone.Identifier备用数据流隐藏真实属性的技巧——这些招数在暗网论坛里明码标价，几十美元就能买到全套工具包。

我自己也上过当。测试一个内网系统时，管理员发了个"补丁更新.reg"，注册表文件，双击就能导入。我犹豫了两秒，还是右键用记事本打开了——里面不是注册表项，而是一段批处理命令，把guest账号加入管理员组。那次之后我养成了习惯：不管后缀是什么，先扔进HxD看十六进制头，PDF要认%PDF，ZIP要认PK，EXE要认MZ。这习惯救过我好几回，最近一次是同事传给我的"会议纪要.xls"，文件头却是7z的压缩签名。

别指望微软或者杀毒厂商能根治这个问题。后缀名体系是三十年前的设计遗产，改掉它等于拆了整个文件关联系统。现实点的防御手段只有两个：一是让员工养成"右键用记事本打开未知文件"的怪癖，二是把网关的附件检测从后缀白名单换成内容嗅探。但前者反人性，后者费算力，所以大多数公司还是裸奔状态。我见过最讽刺的场景是某银行的内网培训PPT里写着"请勿打开可疑附件"，而那个PPT本身就是一份嵌着宏的钓鱼样本——安全部门自己发的。

说到最后，后缀名就像门上的猫眼。你透过它看外面，以为看清了来客，实际上对方只要贴张照片就能骗过你。真正的安全从来不靠猫眼，而是靠你压根不给陌生人开门。但在这个必须每天收几百封陌生邮件的世界里，谁能做到呢。