搜索

[15277] 2020-04-20_红蓝对抗场景下的二三事

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-04-20_红蓝对抗场景下的二三事 红 蓝 对 抗 场 景 下 的 二 三 事 原 创   s i 1 e n c e   F r e e B u f   2 0 2 0 - 0 4 - 2 0 0 x 0 0   背 景 背 景   未 知 攻 焉 知 防 未 知 攻 焉 知 防 , 警 察 想 要 抓 小 偷 警 察 想 要 抓 小 偷 , 就 该 先 摸 透 小 偷 的 想 法 就 该 先 摸 透 小 偷 的 想 法 , 才 能 更 快 捷 的 抓 到 小 偷 毕 竟 小 偷 抓 小 偷 更 容 易 。 网 络 安 才 能 更 快 捷 的 抓 到 小 偷 毕 竟 小 偷 抓 小 偷 更 容 易 。 网 络 安 全 的 攻 与 防 ， 好 比 全 的 攻 与 防 ， 好 比 “ 矛 矛 ” 与 与 “ 盾 盾 ” ， 要 想 不 被 ， 要 想 不 被 “ 矛 矛 ” 轻 易 刺 穿 ， 不 仅 需 要 了 解 轻 易 刺 穿 ， 不 仅 需 要 了 解 “ 矛 矛 ” 的 作 战 方 式 ， 同 时 也 要 不 断 强 的 作 战 方 式 ， 同 时 也 要 不 断 强 化 化 “ 盾 盾 ” 的 防 御 能 力 。 谨 以 此 文 讨 论 一 下 在 红 蓝 对 抗 场 景 下 几 个 关 键 的 技 术 点 的 二 三 事 的 防 御 能 力 。 谨 以 此 文 讨 论 一 下 在 红 蓝 对 抗 场 景 下 几 个 关 键 的 技 术 点 的 二 三 事   0 x 0 1 暴 露 面 暴 露 面     大 多 数 定 向 攻 击 场 景 里 攻 击 者 都 会 针 对 受 害 者 目 标 进 行 大 量 的 信 息 收 集 ， 比 较 常 用 的 方 式 比 如 通 过 网 络 空 间 搜 索 引 擎 与 各 个 互 联 网 技 术 论 坛 、 开 源 站 点 等 获 取 到 尽 可 能 多 的 目 标 信 息 、 包 括 不 局 限 于 一 些 开 源 的 应 用 、 服 务 器 开 发 的 特 殊 端 口 、 常 用 的 用 户 名 格 式 、 密 码 、 网 络 拓 扑 、 内 网 网 段 、 建 站 框 架 、 数 据 库 类 型 、 中 间 件 版 本 、 甚 至 是 一 些 泄 漏 的 V P N 帐 号 等 。 比 如 很 多 内 部 非 技 术 类 员 工 将 一 些 V P N 技 术 指 南 上 传 了 百 度 网 盘 还 共 享 给 了 其 他 人 ， 里 面 包 含 了 帐 号 、 V P N 接 入 I P 或 者 默 认 密 码 等 信 息 ， 被 恶 意 攻 击 者 获 取 到 该 信 息 可 能 会 直 接 导 致 内 网 的 被 攻 破 。 又 或 者 是 一 个 业 务 系 统 的 开 发 人 员 ， 将 自 己 的 开 源 项 目 直 接 上 传 到 了 g i t h u b 后 并 没 有 修 改 里 面 数 据 库 连 接 的 配 置 文 件 ， 抑 或 是 该 项 目 存 在 一 些 命 令 执 行 、 任 意 文 件 下 载 等 问 题 被 攻 击 者 发 现 ， 也 会 造 成 极 大 的 风 险 。 针 对 防 守 方 本 身 而 已 ， 首 先 需 要 做 到 就 是 对 当 前 的 网 络 环 境 的 安 全 状 态 有 一 个 比 较 合 理 的 评 估 ， 结 合 对 攻 防 的 理 解 识 别 出 网 络 当 中 可 能 存 在 的 风 险 ， 整 理 好 当 前 的 一 些 暴 露 面 的 信 息 。 就 算 千 叮 咛 万 嘱 咐 的 要 提 高 员 工 的 信 息 安 全 意 识 ，
当 然 这 个 也 是 老 生 常 淡 要 想 完 全 避 免 这 些 情 况 的 发 生 也 几 乎 不 可 能 ， 想 要 彻 底 解 决 此 类 问 题 更 是 难 上 加 难 。 更 多 的 努 力 应 该 是 在 梳 理 好 内 网 的 资 产 后 ， 结 合 当 前 的 业 务 逻 辑 与 网 络 拓 扑 分 析 出 可 能 存 在 的 入 口 点 ， 识 别 风 险 与 威 胁 针 对 性 的 做 一 些 防 护 措 施 ， 加 强 访 问 控 制 、 强 制 使 用 强 密 码 、 周 期 性 的 更 换 密 码 等 方 式 都 是 一 些 合 理 且 实 用 的 方 式 。 0 x 0 2 入 口 点 边 界 入 口 点 边 界 攻 击 者 的 对 象 是 一 个 点 ， 防 御 的 却 是 一 个 面 。 对 于 大 多 数 攻 击 者 来 说 渗 透 一 个 跨 国 大 型 的 国 有 企 业 内 网 要 比 攻 破 一 个 小 而 精 的 金 融 互 联 网 要 容 易 一 些 ， 比 较 组 织 结 构 复 杂 、 互 联 网 资 产 更 多 容 易 出 现 更 多 的 薄 弱 环 节 ； 主 要 的 业 务 系 统 官 方 网 站 应 用 、 C R M 系 统 、 业 务 系 统 往 往 有 具 备 良 好 的 安 全 防 护 ， 不 同 安 全 厂 家 的 安 全 设 备 估 计 也 是 各 种 安 排 ， 常 规 攻 击 手 法 容 易 被 拦 截 在 大 门 之 外 。 对 于 大 型 的 集 团 类 的 公 司 下 属 的 子 公 司 、 下 属 单 位 、 冷 门 的 业 务 系 统 系 统 、 测 试 系 统 往 往 难 度 会 降 低 不 少 ， 捏 柿 子 还 是 软 的 好 。 但 同 时 风 险 也 有   有 时 候 不 容 易 连 接 到 母 公 司 核 心 内 网 可 能 就 做 了 一 些 无 用 功 。 所 以 至 于 入 口 点 的 边 界 往 往 就 不 仅 仅 局 限 于 当 前 网 络 的 边 界 ， 这 个 网 到 底 有 多 大 也 就 只 有 业 务 人 员 自 己 知 道 了 。 还 有 一 些 常 见 的 入 口 点 主 要 是 一 些 网 络 设 备 的 风 险 ， 比 如 V P N 、 堡 垒 机 、 边 界 路 由 器 防 火 墙 一 类 的 ， 前 几 年 就 有 过 国 外 某 安 全 厂 商 的 防 火 墙 存 在 漏 洞 的 问 题 。 漏 洞 当 然 还 是 少 数 ， 默 认 用 户 、 默 认 密 码 之 类 的 反 而 更 加 常 见 一 些 ， 特 别 是 针 对 特 定 场 景 下 面 结 合 工 号 、 用 户 名 、 密 码 、 T O P 5 0 0 常 用 姓 名 的 爆 破 尤 为 危 险 。
W e b 系 统 的 弱 口 令 也 是 常 见 的 入 口 点 之 一 ， 对 公 网 的 w e b 系 统 如 果 存 在 一 些 知 名 的 R C E 的 话 估 计 早 就 被 各 种 挖 矿 、 黑 链 、 勒 索 给 盯 上 了 ， 但 是 特 别 一 些 非 常 规 的 弱 密 码 的 风 险 类 型 就 很 高 了 比 如 P @ s s w 0 r d 、 姓 名 + 数 字 、 以 及 结 合 特 定 公 司 场 景 、 业 务 场 景 生 成 的 弱 口 令 的 情 况 。 通 过 登 录 用 户 上 传 w e b s h e l l   获 取 读 取 敏 感 信 息 、 注 册 用 户 信 息 甚 至 获 取 到 系 统 s h e l l 的 情 况 ， 可 能 会 造 成 更 大 的 风 险 。 0 x 0 3 数 据 库 资 产 数 据 库 资 产   数 据 库 资 产 也 是 经 常 收 到 攻 击 者 关 注 的 方 向 之 一 ， 拿 到 了 数 据 库 的 权 限 后 除 了 获 取 到 里 面 的 数 据 信 息 之 外 也 可 以 依 次 为 跳 板 进 行 下 一 步 的 攻 击 。 数 据 库 表 里 面 往 往 存 储 有 相 关 的 用 户 名 、 帐 号 等 敏 感 信 息 而 往 往 内 网 里 面 很 多 资 产 在 口 令 认 可 都 能 与 之 有 关 联 性 。 实 在 没 有 思 路 ， 也 能 针 对 部 分 用 户 实 施 针 对 性 钓 鱼 、 社 工 也 是 一 种 突 破 手 法 。 目 前 依 然 还 是 有 不 少 企 业 将 自 己 的 数 据 库 映 射 到 公 网 ， 还 不 设 置 相 应 的 安 全 策 略 或 者 存 在 a d m i n / 1 2 3 4 5 6     r o o t / r o o t 一 类 的 弱 口 令 问 题 ， 基 本 上 就 是 送 分 题 一 样 的 存 在 了 。 攻 击 者 拿 到 一 个 高 权 限 的 m s s q l 用 户 开 启 x p _ c m d s h e l l 之 后 ， 一 个 突 破 口 带 来 的 就 是 内 网 漫 游 扩 大 战 果 了 ； 大 多 数 用 户 往 往 也 不 会 更 改 数 据 的 端 口 都 是 默 认 的 1 5 2 1 、 3 3 0 6 、 1 4 3 3 等 ， 攻 击 者 拿 出 扫 描 器 就 扫 描 这 些 数 据 库 端 口 正 中 下 怀 ， 改 成 一 个 特 定 的 5 位 数 的 端 口 ， 常 规 业 务 也 不 会 访 问 就 算 扫 描 也 扫 描 全 全 端 口 也 才 能 发 现 ， 无 形 之 下 增 加 了 发 现 难 度 也 同 时 缩 短 了 发 现 攻 击 者 的 时 间 ， 一 举 二 得 岂 不 快 哉 。
本 质 上 来 说 数 据 库 资 产 应 该 是 重 点 关 注 的 对 象 之 一 ， 除 了 加 强 密 码 测 试 与 安 全 测 试 之 外 ， 一 个 适 合 业 务 的 访 问 限 制 往 往 就 是 最 后 一 道 防 线 。 在 攻 击 者 通 过 其 他 方 式 获 取 到 认 证 口 令 之 下 ， 依 然 由 于 源 I P 的 原 因 无 法 登 录 认 证 查 看 到 相 应 的 数 据 ， 也 不 失 为 一 种 弃 军 保 帅 的 做 法 。 0 x 0 4   横 向 移 动 横 向 移 动 在 攻 击 者 获 取 到 内 网 的 跳 板 机 之 后 ， 下 一 步 自 然 就 是 百 尺 竿 头 更 进 一 步 。 尽 可 能 的 扩 大 战 果 。 内 网 资 产 收 集 往 往 具 备 有 很 多 的 网 络 行 为 ， 常 规 的 存 活 性 扫 描 、 端 口 扫 描 、 S Y N 扫 描 、 B a n n e r 扫 描 、 甚 至 是 C 段   B 段 的 扫 描 流 量 层 面 动 静 还 是 有 点 大 的 。 在 跳 板 机 上 收 集 信 息 动 静 会 小 不 少 本 地 查 看 一 下 A R P 缓 存 、 i f c o n f i g 看 一 下 网 关 的 地 址 等 方 式 ， 虽 然 信 息 有 限 但 是 基 本 上 不 会 被 流 量 层 面 的 安 全 设 备 发 现 。 当 然 了 扫 描 是 有 必 要 扫 描 的 但 是 方 法 很 多 ， 动 静 小 点 的 方 法 也 很 多 ， 这 里 就 不 展 开 讨 论 。 有 时 候 为 了 快 速 获 取 权 限 拿 下 更 多 的 服 务 器 ， 动 静 大 点 也 无 所 谓 了 。 内 网 里 常 见 的 漏 洞 利 用 比 如 M S 1 7 - 0 1 0 、 M S 0 8 - 0 6 7 、 R D P 爆 破 、 S M B 暴 力 破 解 、 数 据 库 爆 破 、 S 2 漏 洞 利 用 、 w e b l o g i c   R C E 系 列 等 方 式 都 是 不 错 的 选 择 ， 由 于 甲 方 对 内 网 安 全 重 视 度 不 够 往 往 内 网 服 务 器 、 主 机 很 多 安 全 补 丁 都 是 没 有 打 的 ， 内 部 的 w e b 系 统 也 疏 于 修 复 高 危 漏 洞 、 弱 口 令 问 题 、 一 个 帐 号 多 个 登 录 的 问 题 的 情 况 是 屡 见 不 鲜 ， 内 网 往 往 还 有 一 些 特 殊 的 应 用 比 如 S V N 、 g i t l a b 、 z a b b i x 、 r e d i s 、 企 业 w i k i 、 O A 系 统 等 风 险 业 务 都 可 能 是 重 大 突 破 口 。 通 过 m i m i k a t z 获 取 到 跳 板 机 的 用 户 名 密 码 之 后 ， 对 多 个 主 机 进 行 登 录 抓 住 几 个 漏 网 之 鱼 也 不 是 什 么 难 事 ， 说 不 定 w i n d o w s 的 账 户 还 能 登 录 l i n u x 服 务 器 甚 至 多 个 服 务 器 主 机 ， 如 果 能 获 取 到 一 些 堡 垒 机 、 虚 拟 化 管 理 平 台 的 主 机 就 更 方 便 。 0 x 0 5 内 网 穿 透 内 网 穿 透 大 多 数 服 务 器 都 在 内 网 服 务 器 或 者 D M Z 区 域 ， 出 口 地 址 经 过 N A T 转 换 后 为 公 网 提 供 服 务 ， 为 了 深 一 步 的 渗 透 内 网 和 跨 转 网 段 探 测   同 时 增 加 一 定 的 隐 蔽 性   一 个 合 适 的 内 网 传 统 就 很 有 必 要 了 。 通 过 自 建 C S 、 M S F 平 台 让 受 控 主 机 反 弹 s h e l l 连 接 回 来 本 本 质 上 动 静 还 是 有 点 大 ， 即 使 使 用 一 定 的 隧 道 或 者 编 码 混 淆 、 特 殊 协 议 传 递 的 方 法 ， 因 为 服 务 器 的 外 联 本 身 也 是 一 种 比 较 异 常 的 行 为 容 易 被 内 网 流 量 层 的 安 全 设 备 发 现 , 而 且 C l i e n t 端 容 易 被 主 机 层 面 的 杀 软 给 识 别 ， 由 于 C l i e n t 端 里 面 包 含 C C 端 通 信 的 I P 、 域 名 、 端 口 等 信 息 容 易 暴 露 目 标 甚 至 被 溯 源 ， 同 时 C S 、 M S F 等 知 名 工 具 的 具 备 一 定 的 流 量 特 征 也 会 被 识 别 。
使 用 一 些 常 见 的 隧 道 提 供 商 或 者 使 用 一 些 流 量 转 发 的 平 台 就 比 较 重 要 了 ， 例 如 当 前 常 用 的 n g r o k 、 f r p 、 n p s 等 此 类 工 具 特 征 流 量 往 往 都 是 基 于 T C P 协 议 之 上 的 ， 具 备 一 定 的 隐 蔽 性 同 时 杀 毒 软 件 也 不 会 将 其 定 义 为 恶 意 软 件 。 系 统 进 程 的 利 用 也 是 较 为 不 错 的 方 法 常 见 的 如 p o w e r s h e l l 、 S S H 流 量 转 发 等 方 法 ， 上 次 更 新 的 k a l i 2 的 时 候 偶 然 间 发 现 k a l i 2 都 集 成 了 n i s h a n g 、 P o w e r s p l o i t 等 框 架 。 无 文 件 攻 击 的 方 法 的 确 更 隐 蔽 一 些 。 倘 若 上 传 一 个 l c x 一 类 的 工 具 本 地 的 杀 软 估 计 会 立 马 报 警 ， 躺 在 了 病 毒 隔 离 区 里 面 。 L i n u x 场 景 下 ， S S H 自 带 了 此 功 能 当 然 就 更 加 隐 蔽 了 基 本 上 算 是 秋 水 了 无 痕 ， 还 有 一 些 常 见 的 隧 道 通 信 如 H T T P 、 D N S 、 I C M P 等 都 是 不 错 的 选 择 。
0 x 0 6 钓 鱼 邮 件 钓 鱼 邮 件   钓 鱼 ， 钓 大 鱼 ， 钓 鲸 。 与 其 把 重 心 放 在 突 破 层 层 防 御 体 系 上 面 ， 直 接 对 人 发 起 攻 击 也 是 事 半 功 倍 的 方 法 。 现 在 主 流 的 钓 鱼 已 经 升 级 到 钓 鲸 鱼 ， 针 对 特 定 对 象 构 建 特 定 的 邮 件 主 题 、   附 件 与 文 档 正 文 ， 针 对 的 对 象 比 如 一 些 管 理 人 员 、 职 能 类 的 H R 等 场 景 ， 这 些 人 的 邮 件 地 址 往 往 也 可 以 从 招 聘 网 站 、 社 交 平 台 获 得 ， 结 合 特 定 场 景 与 受 害 者 的 心 理 状 态 构 建 一 个 特 殊 的 诱 饵 文 件 ， 软 件 捆 绑 、 O f f i c e   C V E - 2 0 1 7 - 1 1 8 8 2   C V E - 2 0 1 7 - 0 1 9 9 、 W i n r a r   C V E - 2 0 1 8 - 2 0 2 5 0 、 o f f i c e 的 混 淆 宏 、 伪 造 的 P E 文 件 、 H T A 、 C H M 、 L i n k 文 件 等 多 种 方 式 ， 控 制 其 电 脑 后 植 入 远 控 木 马 ， 作 为 跳 板 进 行 内 网 。 0 x 0 7 攻 防 对 抗 攻 防 对 抗 攻 防 对 抗 的 场 景 下 和 传 统 的 僵 尸 网 络 、 木 马 、 蠕 虫 病 毒 类 的 检 测 方 法 有 相 当 大 的 差 异 性 ， 主 要 表 现 在 传 统 的 恶 意 程 序 更 多 的 趋 向 于 自 动 化 攻 击 ， 其 攻 击 特 点 表 现 在 比 较 固 定 利 用 的 漏 洞 、 E X P 都 相 差 无 几 且 特 征 比 较 明 显 ， 而 且 特 征 比 较 明 显 没 有 刻 意 的 隐 藏 自 己 的 行 为 ， 通 常 通 过 威 胁 情 报 、 攻 击 行 为 特 征 都 能 较 好 的 识 别 ， 其 风 险 等 级 都 很 高 。 攻 防 对 抗 的 场 景 下 的 攻 击 手 法 ， 较 多 的 利 用 了 一 些 人 的 弱 点 一 些 弱 口 令 、 异 常 帐 号 登 录 、 非 法 网 络 接 入 、 敏 感 信 息 泄 漏 更 多 的 是 在 一 些 行 为 上 的 特 点 ， 所 以 在 识 别 恶 意 行 为 的 时 候 更 多 的 需 要 关 注 一 些 可 疑 的 报 警 类 型 。 基 于 单 个 报 警 的 模 式 在 场 景 下 并 不 是 很 实 用 而 往 往 防 御 人 员 在 识 别 低 风 险 的 报 警 的 时 候 并 不 一 定 能 发 现 其 中 的 一 些 线 索 ， 这 个 时 候 就 比 较 考 验 防 御 人 员 在 攻 防 场 景 下 的 造 诣 了 。
在 这 种 场 景 下 构 建 一 定 的 攻 击 场 景 ， 自 动 化 的 将 一 些 低 可 疑 的 线 索 进 行 聚 合 进 行 梳 理 提 升 相 关 的 报 警 级 别 来 引 起 重 视 就 是 一 种 不 错 的 方 案 。 之 前 很 多 人 讨 论 过 关 于 A I 算 法 模 型 的 问 题 ， 本 质 上 所 谓 A I 也 是 将 人 的 经 验 赋 能 给 代 码 了 而 已 ， 关 键 因 素 还 是 训 练 数 据 从 那 里 获 取 之 后 的 训 练 以 及 特 征 工 程 的 相 关 细 节 ， 按 照 目 前 大 多 数 的 场 景 下 面 关 键 问 题 都 还 是 在 于 特 征 工 程 和 训 练 数 据 的 选 取 层 面 上 ， 还 没 有 到 达 拼 算 法 特 性 的 优 劣 上 面 。 由 于 对 抗 场 景 下 的 很 多 行 为 也 不 是 真 正 意 义 上 的 悄 无 声 息 ， 由 于 大 多 数 攻 击 者 对 受 害 者 网 络 里 的 业 务 逻 辑 并 不 是 很 熟 悉 ， 所 以 常 常 会 出 现 很 大 层 面 的 异 常 ， 这 就 埋 下 了 被 发 现 的 隐 患 。 被 控 制 的 跳 板 机 、 泄 漏 的 V P N 帐 号 、 内 网 横 向 的 目 标 方 向 等 等 都 会 呈 现 与 平 时 业 务 逻 辑 不 一 样 的 地 方 ， 通 过 对 业 务 逻 辑 的 一 个 基 线 学 习 在 真 实 的 攻 防 场 景 下 某 敏 感 资 产 出 现 了 一 些 非 正 常 行 为 就 是 有 很 大 的 可 能 性 被 控 制 了 ， 偏 离 基 线 的 水 平 越 大 可 疑 性 就 越 高 。   0 x 0 8   总 结 总 结 于 笔 者 鄙 见 ， 多 线 索 的 关 联 分 析 + 基 于 行 为 的 异 常 行 为 在 识 别 高 级 攻 击 的 场 景 下 对 比 常 规 的 单 事 件 的 报 警 与 攻 击 行 为 匹 配 上 会 有 更 多 的 识 别 效 果 。 安 全 对 抗 的 表 面 是 攻 击 技 术 与 检 测 防 御 的 技 术 演 进 ， 本 质 是 人 与 人 之 间 的 投 入 、 技 术 的 博 弈 。 之 前 有 关 注 到 部 分 文 章 提 及 到 关 于 冰 蝎 、 蚂 剑 基 于 流 量 层 面 的 检 测 方 案 ， 仔 细 拜 读 后 觉 得 局 限 性 还 是 比 较 大 在 针 对 部 分 初 级 白 帽 子 不 修 改 配 置 的 前 提 下 兴 许 有 检 出 ， 若 是 针 对 性 的 做 一 些 更 改 和 特 殊 的 字 符 拼 接 难 度 也 不 大 ， 估 计 就 会 识 别 成 正 常 流 量 了 吧 。 安 全 对 抗 的 道 路 任 重 道 远 ， 花 里 胡 哨 的 姿 势 越 来 越 多 ； 文 章 最 后 说 二 句 ， 做 防 御 方 真 的 压 力 好 大 一 把 辛 酸 泪 ， 不 但 天 天 要 膜 拜 各 位 渗 透 大 佬 的 奇 思 妙 想 ， 抑 或 又 是 出 了 什 么 新 漏 洞 新 病 毒 ， 还 得 分 析 检 测 识 别 思 路 与 解 决 方 案   感 觉 最 近 头 发 也 是 越 来 越 少 了 好 惶 恐 ， 最 好 再 说 一 句 有 意 换 工 作 的 技 术 大 佬 ， 可 私 信 本 人 。 * 本 文 作 者 ： 本 文 作 者 ： s i 1 e n c e ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理