用「倒霉饼干」做钓鱼

员工重返办公室之际社交工程风险上升：伪造返岗通知邮件、诱骗帮助台注册 MFA 令牌、冒充新员工获取物理访问等手段值得警惕。Verizon DBIR 显示 85% 的泄露涉及人为因素，文章给出五项防范建议。

介绍钓鱼测试中的前置技巧：利用多数 Web 内容过滤产品开放的自助分类提交渠道，让攻击者域名被归类为可信类别，从而绕过企业出口的内容过滤，确保目标用户可以访问钓鱼站点。

本为简化 Windows 应用安装部署而设计的 ClickOnce，同样可被用作钓鱼投递载体：受害者一次点击即可让恶意载荷获得临时管理员权限，相关提示行为由注册表中的 TrustManager 信任级别设置控制。

演示在鱼叉式钓鱼获取域凭据后，如何将 Base64 编码的 Meterpreter 载荷嵌入 Office 文档的 VBA 宏，再把内部流传的正常文档重新发给其他员工作为后门，进一步渗透内网。

了解 Salesforce 中恶意已连接应用的级联风险，学习如何评估业务影响、保护组织并守护关键基础设施。

社会工程测试实战故事合集：测试人员利用客户子公司暴露的开放 SMTP 中继，伪装成企业官方域名发送钓鱼邮件；结合语音钓鱼（vishing）案例，文章分享了提升员工识别能力与组织防御机制的实用建议。