社工钓鱼新姿势：如何用RLO技术让exe伪装成pdf或jpg文件（含详细操作步骤）

社工钓鱼中的视觉欺骗：深入解析RLO字符伪装技术与防御实践

最近在和一些做安全运营的朋友聊天时，他们提到一个挺有意思的现象：明明用户培训做了不少，但一些看起来非常“低级”的钓鱼手法，依然能屡屡得手。这让我想起了一个在攻击者圈子里流传已久，但很多防御方却容易忽略的小技巧——利用Unicode中的特殊控制字符，彻底改变文件在Windows系统中的显示名称，让一个恶意的.exe程序，在用户眼里变成一个无害的.pdf或.jpg文件。这种技术本身并不复杂，但其背后的思维模式和利用的“人性弱点”与“系统特性”，却值得我们每一个关注应用安全、终端安全的人深思。今天，我们就抛开那些复杂的漏洞利用链，来深入聊聊这个被称为“RLO”（从右至左覆盖）的视觉欺骗手法，它的原理、实操、演变，以及我们该如何系统地构建防御认知。

1. RLO技术原理：Unicode标准中的“视觉把戏”

要理解RLO伪装，我们首先得跳出“文件名就是一串简单字符”的固有认知。在现代操作系统中，尤其是支持多语言和国际化的环境下，文件名本质上是Unicode码点的序列。Unicode为了兼容阿拉伯语、希伯来语等从右向左（RTL）书写的文字，引入了一系列控制字符，用于指示文本的显示方向。RLO（Right-to-Left Override，U+202E）就是其中最关键的一个。

它的作用非常直接：告诉文本渲染引擎，“从我这里开始，后面的所有字符都应该按照从右向左的顺序显示”。这对于显示阿拉伯语单词是必要的，但一旦被滥用，就会产生令人惊讶的效果。

我们来做一个思想实验。假设我们有一个可执行文件，我们想把它命名为 malware.exe。如果我们直接在文件名中插入RLO字符，事情就变得有趣了。注意，RLO是一个不可见的控制字符。

• 正常逻辑（无RLO）：m a l w a r e . e x e 从左到右显示为 malware.exe。
• 插入RLO后：假设我们在 malware 和 .exe 之间插入RLO字符。那么渲染引擎会这样处理：
  1. 遇到RLO前，正常显示 m a l w a r e。
  2. 遇到RLO字符，引擎切换到“从右至左”模式。
  3. 接下来的字符 . e x e 会被反向读取和显示，即 e x e .。
  4. 最终，用户看到的完整文件名是 malwareexe.。等等，这看起来像个没有扩展名的文件？这还不够有欺骗性。

真正的“魔术”在于精心构造文件名。攻击者的目标不是隐藏.exe，而是让它看起来像别的扩展名。经典手法是构造这样的名称：document.pdf.exe。如果我们把RLO插入在 pdf 和 .exe 之间呢？

我们构造的文件名实际存储的Unicode序列是：d o c u m e n t . p d f [RLO] e x e .

渲染引擎的处理流程如下表所示：