| 加固项 | 执行路径劫持面 |
|---|---|
| 适用平台 | Windows Server / Windows 10+ |
| 风险等级 | 中 |
| 检查点 | PATH 目录对普通用户不可写 |
以普通用户身份逐个 PATH 目录测写权限
以普通用户身份逐个 PATH 目录测写权限
$env:PATH -split ';' | Where-Object { $_ } | ForEach-Object {
$d = $_ -replace '"',''
if (Test-Path $d) {
try {
$t = Join-Path $d ('wtest_' + [guid]::NewGuid().ToString() + '.tmp')
[IO.File]::WriteAllText($t, 'x'); Remove-Item $t -Force
Write-Output ("WRITABLE: " + $d)
} catch { }
}
}发现可写目录（C:\、Program Files 子树、自建工具目录）要修 ACL 或移出 PATH；这是勒索前的标准落点。