Windows文件名欺骗实战：用Python脚本一键生成RLO逆名攻击文件（附防御方案）

Windows文件名欺骗实战：用Python脚本一键生成RLO逆名攻击文件（附防御方案）

最近在复盘一些内部安全演练的案例时，我发现一个老生常谈但依然屡试不爽的“小把戏”——文件名欺骗。尤其是在一些对安全意识培训不够重视的团队里，一个看似无害的“文档”或“图片”，双击后却可能带来意想不到的后果。这背后，往往利用了操作系统在显示文件名时的一个特性，特别是那个被称为 RLO 的Unicode控制字符。今天，我们不只停留在原理讲解，而是直接动手，用Python写一个能批量、自动化生成这类欺骗性文件的脚本，并从防御者的角度，探讨一套在企业环境中切实可行的防护方案。无论你是负责安全测试的红队成员，还是需要加固终端安全的管理员，这篇文章都能提供一些直接的、可落地的思路。

1. 理解RLO字符与文件名欺骗的本质

在深入代码之前，我们必须先搞清楚，我们到底在利用什么。这并非什么高深的系统漏洞，而是字符编码的视觉呈现规则与操作系统底层文件处理逻辑之间的差异。

Unicode 是一个旨在涵盖世界上所有文字字符的编码标准。为了支持从右向左书写的语言（如阿拉伯语、希伯来语），Unicode引入了一系列控制字符，用于指示文本的显示方向。其中，U+202E 这个字符被称为 “RIGHT-TO-LEFT OVERRIDE”，简称 RLO。它的作用非常直接：告诉文本渲染引擎，“从我这里开始，后面的字符请按照从右向左的顺序显示”。

Windows资源管理器在显示文件名时，会遵从Unicode的文本方向规则。然而，Windows内核和大多数应用程序在处理文件时（例如，通过文件扩展名关联启动程序），依赖的是文件在磁盘上的实际字节序列，而非其视觉呈现。这就产生了一个“盲点”：

• 人眼看到的：报告.docx
• 系统识别的：报告\u202Excod.exe （其中 \u202E 是RLO字符）

当你在文件名编辑框中插入RLO字符后，再输入“xcod.exe”，渲染引擎会将其逆向显示为“exe.docx”。于是，一个可执行文件（.exe）就伪装成了一个Word文档（.docx）。这种攻击手法在安全社区常被称为 “逆名欺骗” 或 “扩展名欺骗”。

注意：这种欺骗主要针对人类用户。杀毒软件、EDR（终端检测与响应）系统或脚本在分析文件时，通常能读取到真实的文件名和扩展名，因此其有效性高度依赖于用户是否放松警惕。

为了更清晰地对比，我们来看一下常见文件类型的欺骗表象：

2. 构建自动化Python攻击脚本

手动在资源管理器里右键、插入控制字符的方式，一次只能操作一个文件，效率低下且不利于在测试中批量生成样本。作为安全研究人员或红队成员，我们需要一个能快速、批量生成测试文件的工具。下面，我们就来编写这样一个Python脚本。

这个脚本的核心功能很简单：遍历指定目录下的目标文件（如.exe），读取其原始文件名，然后根据我们设定的“伪装扩展名”，自动插入RLO字符，生成新的、具有欺骗性的文件名，并完成重命名操作。

首先，我们创建一个名为