Malicious Outlook Rules

WMI 也能像 SQL 一样挂触发器：由 Filter、Consumer、Binding 三件套组成事件订阅，检测到登录等事件即执行命令实现持久化；内部事件靠轮询可能漏触发，外部事件推送更可靠但种类有限。

通过信息图梳理红队常见攻击工作流（以钓鱼为主线）与蓝队检测、防护控制的对应关系，并附上红队避免触发告警的实践经验，帮助安全团队评估检测能力建设。

演示如何利用 PowerUpSQL 和 xp_regwrite 扩展存储过程通过 SQL Server 写入 Windows 注册表 Run 键实现持久化后门，执行权限继承 SQL Server 服务账户，适合渗透测试与红队参考。

分析 Skype for Business 联邦（federation）配置的安全隐患：外部组织可借此验证目标邮箱地址、查看用户在线状态与外出提醒，甚至投递 Skype 钓鱼消息，文中给出 PowerShell 测试环境搭建与利用思路。

介绍钓鱼测试中的前置技巧：利用多数 Web 内容过滤产品开放的自助分类提交渠道，让攻击者域名被归类为可信类别，从而绕过企业出口的内容过滤，确保目标用户可以访问钓鱼站点。

讲解利用 SQL Server 的 DDL、DML 和登录触发器维持访问权限的三种手法，配套实验环境与检测建议，并将 Get-SQLPersistTriggerDDL 加入 PowerUpSQL，红蓝双方皆可参考。