一、第三方应用程序漏洞与木马攻防
（一）第三方应用程序漏洞
- 核心概念：存在于非系统基础框架的应用软件（办公、远程工具等）中的安全缺陷，是系统打补丁后攻击者的主要入口。
- 实操案例：向日葵远程控制软件漏洞
- 受影响版本：个人版≤11.0.0.33、简约版≤V1.0.1.43315；
- 攻击流程：用
nmap -p 40000-65535 目标IP扫描其随机开放的端口，安装 JDK 8 后通过java -jar 利用工具.jar，输入 IP + 端口即可获取目标控制权； - 防御手段：及时更新软件至最新版，防火墙限制向日葵端口的授权 IP 访问。
- 攻击视角：木马制作与植入（Kali+Metasploit）
- 制作木马：通过
msfvenom生成 EXE 格式反向连接木马，指定攻击机 IP 和监听端口； - 搭建服务：将木马放入 Apache 根目录并启动服务，供目标机下载；
- 开启监听：加载
multi/handler模块，配置与木马一致的参数并启动监听； - 植入与控制：通过社会工程学、内网渗透、漏洞利用等方式诱导目标执行木马，成功后获取 Meterpreter 会话实现控制。
- 制作木马：通过
- 防御视角：木马全方位排查手段
- 系统自带工具：任务管理器 /
msinfo32排查异常进程；netstat -ano+tasklist排查可疑网络连接；services.msc/net start排查未知后台服务； - 启动项 & 计划任务：任务管理器 / 启动文件夹 / 注册表排查自启项，
taskschd.msc/schtasks /query排查可疑定时 / 开机触发任务； - 第三方工具：PCHunter（Win7 深度检测顽固后门）、火绒剑（Win10/11 恶意程序溯源）、UserAssistView（解析程序执行记录取证）。
- 系统自带工具：任务管理器 /
（二）Windows 系统日志分析
- 核心日志类型：应用程序日志（软件运行状态）、安全日志（账户 / 权限操作）、系统日志（服务 / 驱动运行），均通过事件查看器查看；
- 应急响应关键事件 ID：4625（登录失败，检测暴力破解）、4624（登录成功，排查异常登录）、4720（创建用户，检测隐藏账户）、4732（提升管理员权限）、4688（新进程创建，排查木马执行）。
（三）Windows Defender 防护功能
- 病毒与威胁防护：实时扫描、离线清除顽固病毒、行为监控异常进程操作；
- 防火墙与网络保护：双向拦截未授权连接，自定义出站规则，按网络类型（专用 / 公用）启用分级防护。
二、整体学习总结与防御体系
（一）核心知识梳理
- Windows 版本决定攻击风险：老旧系统（Win7/Server2008）漏洞多易突破，现代系统（Win10/11）防护强化，需针对性制定攻击 / 防御策略；
- 系统基础是漏洞利用的前提：理解 SMB/RDP 服务、用户权限、注册表等基础，才能掌握漏洞原理和工具使用逻辑；
- 应急响应核心流程：发现异常→定位威胁→清除威胁→加固防护。
（二）全维度防御手段汇总
- 网络层：修改 RDP 等默认端口，配置 IP 白名单，防火墙拦截 139/445/3389 等危险端口；
- 账户层：设置 12 位以上强密码，启用账户锁定策略，禁用来宾账户，定期排查隐藏 / 影子用户；
- 系统层：定期安装安全补丁，禁用 SMBv1 等危险协议和无用服务，启用审核策略记录关键安全事件；
- 终端层：开启并更新 Windows Defender，搭配第三方杀毒软件，开展员工安全意识培训（规避钓鱼 / 恶意文件）。
