| 对象 | LNK 的目标与参数、脚本中的下载与执行命令 |
|---|---|
| 方法 | strings 与十六进制查看定位命令行片段 |
静态提取
静态提取
strings.exe -n 6 invoice.lnk | Select-String -Pattern 'powershell|cmd|http|mshta' | Select-Object -First 10
Format-Hex invoice.lnk -Count 256分析脚本类样本要在隔离环境执行，静态提取优先。
LNK 与脚本类样本的静态线索
快捷方式与脚本类投递物体积小，静态查看快捷方式的目标参数与脚本中的命令行即可看到投递链的下一跳。
易错点
- 命令行可能分段或编码，抓不全时用十六进制视图
- 别在生产机双击验证
数据来源与参考
- Sysinternals strings 文档
- MITRE ATT&CK（快捷方式投递）