钓鱼与初始访问：邮件入口如何变成主机失陷

## 原理 攻击者不先打漏洞，而是让用户「自愿」执行载荷或交出凭据。邮件、即时消息、伪造登录页是最常见载体。 ## 典型过程 1. 侦察：职级、供应商、近期公开事务，用于定制话术。 2. 投递：带宏文档、快捷方式、可执行伪装、钓鱼链。 3. 用户触发 → 宏/脚本落地 → 回连控制端或窃密。 4. 凭据钓鱼：仿官网登录页，收账号去撞 VPN/邮箱。 5. 以该主机或账号为跳板进入内网。 ## 防御分层 - 邮件沙箱、附件类型限制、DMARC/DKIM/SPF。 - 终端：禁高危宏、EDR 行为拦截。 - 身份：MFA、钓鱼抗性因子。 - 持续演练与易举报入口。 ## 中招后 隔离主机、重置凭据（含邮件规则转发检查）、查是否多设备登录异常。