写在前面 先说明为什么写这篇案例。 做应急响应数百起，我们处置过大量勒索事件，其中不乏手法精密的攻击：0day 漏洞、无文件落地、内存加载。但这起案件不一样， 它的攻击技术难度并不高，真正难的从来不是技术，而是人。 攻击者没有用任何高深的手法，入口只是一次"图省事"的端口映射：第三方运维人员私自将内网服务器的 3389 远程桌面映射到公网，事后又不愿承认。我们在应急响应中遇到过太多次类似场景：运维私开测试端口、用 frp 做内网穿透、在路由器上随手做一条映射，方便是方便了，门也敞开了。而事后追问时，第一反应往往是否认。 这篇文章，完整还原我们从"日志被清空、线索近乎中断"的现场，用逆向思维反推出入口、再用证据链坐实全过程的思路。 为保护受害单位信息，文中内容已做脱敏处理，仅分享溯源思路与防范建议，供同行参考。 文中涉及两台 Windows 服务器，为便于阅读，统一标注为： A 主机 ：最先