小文件的投递作用
快捷方式、脚本与批处理文件体积极小，却常是整个投递链的第一环：快捷方式的目标字段与参数里可以直接写执行命令，脚本文件则直接包含下载与执行逻辑。这类样本用静态方式就能看清绝大部分意图，不必运行。
先看命令行再看十六进制
快捷方式里可能同时保存本地路径与网络路径，还可能带很长的参数串；脚本里则常见编码后的命令。先用字符串提取定位命令行片段，抓不全时换十六进制视图看结构，特别注意被拼接、截断或用变量拼接的命令。
基本信息
| 适用平台 | Windows 客户端（快捷方式 .lnk、脚本 .ps1/.bat/.vbs/.js、帮助文件等） |
|---|---|
| 静态要点 | 快捷方式的目标路径、参数、工作目录、图标位置 |
| 脚本要点 | 下载调用、编码字符串、解释器路径 |
| 查看手段 | 字符串提取加十六进制查看 |
| 隔离要求 | 任何脚本类样本一律在隔离环境分析，禁止双击验证 |
典型使用场景
- 邮件附件是快捷方式：静态读出它要执行的命令即可确认下一跳
- 脚本内容被混淆：先看解释器与参数，再处理编码部分
- 样本文件很小但危害大：确认投递源与落地路径后评估影响范围
- 批量附件分析：用同一套提取规则处理多个样本，比对相似度
- 为报告提供证据：把命令行原文与十六进制片段一并附上
静态提取
静态提取
# 从快捷方式里找命令行相关关键字
strings.exe -n 6 invoice.lnk | Select-String -Pattern 'powershell|cmd|http|mshta|wscript|rundll32' |
Select-Object -First 10
# 十六进制视图：看清被截断或拼接的片段
Format-Hex invoice.lnk -Count 256
# 脚本类样本：先看解释器与参数，不解码也能判断意图
Get-Content .\update.ps1 -TotalCount 40
# 整份文件做哈希后再归档，后续比对同源样本
get-file .\invoice.lnk | Get-FileHash -Algorithm SHA256常见投递线索
| 线索 | 含义 | 分析要点 |
|---|---|---|
| 快捷方式目标指向解释器 | 用系统自带程序执行载荷 | 看参数里的脚本内容与来源地址 |
| 命令行含下载调用 | 从远端取回下一阶段 | 记录地址并与流量日志互证 |
| 大量无意义字符或编码 | 命令被混淆或编码 | 十六进制视图或解码后查看 |
| 指向用户临时目录 | 落地位置隐蔽 | 核对该目录下同时间窗新增文件 |
| 图标与文件类型不符 | 伪装成文档诱导点击 | 比对扩展名与实际结构 |
脚本类与快捷方式样本都可能在打开时立即执行，静态提取优先，确需动态验证一律在隔离环境且断开真实网络。
同名的快捷方式在不同压缩包或邮件中可能内容不同，分析前先记录文件哈希，避免把不同样本混为一份。