“这是上个月的工资条明细，请查收”，你打开附件里的Excel，看到顶部的安全警告，提示宏已被禁用。对方在微信里发来一句：“点启用内容才能看到完整数据。” 你照做了。就在这一刻，你的电脑已经静默上线到攻击者的控制台。

这就是历经二十余年依然高效不减的经典攻击手法：Office宏木马。它不需要0day漏洞，不依赖浏览器内核，攻击者唯一需要攻破的，就是你对“启用内容”那一下点击的信任。在真实的红蓝对抗、APT钓鱼和勒索软件传播中，恶意宏文档至今仍是突破边界的首选武器。

本课程将在完全隔离的合法实验环境中，带你从零复现多种宏木马的制作与钓鱼实战。你将亲手编写一个看似正常、实则带毒的宏文档，通过社工诱导“启用内容”，看到目标是如何在打开文件后自动上线、执行命令、下载远控木马的全过程。更关键的是，每次攻击完成后，我们立刻切换蓝队视角，教你如何用工具解剖恶意宏、提取IoC、溯源攻击者。