另辟蹊径维持权限，通过 Windows 快捷方式实现目标持久化

在红队行动的攻防博弈中，持久化始终是确保任务成功的核心环节。红队需要在目标系统中建立一种隐蔽且稳定的立足点，以保障即便系统重启，也能重新获得访问权限。我们熟悉的持久化手法不胜枚举，例如利用注册表中的启动项、创建隐秘的计划任务、通过DLL劫持服务，甚至是复杂的Office模板注入。然而，这些方法往往是防御方重点监控的对象。

安全产品和终端检测与响应工具针对这些高危行为建立了完善的监控规则。在这种背景下，红队需要不断寻找新的、更难被察觉的持久化渠道。一个常常被忽视、但潜力巨大的攻击载体，就是我们日常使用的 Windows快捷方式.lnk文件。

为了在目标系统上利用 .lnk 文件进行持久化，红队使用Sharp4LNK.exe 这样的工具。该工具的核心思想是利用 .NET 的 COM互操作技术，与Windows Shell的底层API进行无缝交互，从而实现对快捷方式文件的精准控制。

Sharp4Lnk.exe "cmd.lnk""c:\windows\system32\cmd.exe"

既然 .lnk 文件可以作为一种隐蔽的持久化载体，那么作为防御者，我们该如何应对呢？传统的签名检测和简单的行为分析可能无法奏效，我们需要采取更具针对性的防御措施。

安全团队应重点监控用户桌面、启动文件夹（Shell:startup）、开始菜单和公共桌面等关键位置的文件系统事件。特别是对 .lnk 文件的创建和修改行为，需要设置高优先级警报。当检测到这些位置有新的快捷方式文件被创建时，应立即进行深入分析。

如果目标是一个可疑的路径例如，指向 AppData 目录下的一个未知可执行文件，或者指向一个可执行的脚本而不是标准的应用程序，这可能是一个恶意信号。

以上相关的知识点已收录于新书《.NET安全攻防指南》，全书共计25章，总计1010页，分为上下册，横跨.NET Web代码审计与红队渗透两大领域。

上册深入剖析.NET Web安全审计的核心技术，帮助读者掌握漏洞发现与修复的精髓；下册则聚焦于.NET逆向工程与攻防对抗的实战技巧，揭秘最新的对抗策略与技术方法。