设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [16766] 2021-05-09_红队冒充乙方供应商让IT客服安装后 ...
返回列表 发新帖
查看: 10|回复: 0

[16766] 2021-05-09_红队冒充乙方供应商让IT客服安装后门，蓝队反思了这些

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-54

积分

管理员

积分
-54
发表于 2025-1-18 18:27:26 | 显示全部楼层 |阅读模式
2021-05-09_红队冒充乙方供应商让IT客服安装后门，蓝队反思了这些 红 队 冒 充 乙 方 供 应 商 让 I T 客 服 安 装 后 门 ， 蓝 队 反 思 了 这 些 机 器 小 子 闯 天 下   F r e e B u f   2 0 2 1 - 0 5 - 0 9 2 0 2 1 年 4 月 2 2 日 结 束 了 历 时 1 5 天 的 攻 防 演 练 ， 演 练 过 程 中 ， 红 蓝 双 方 可 谓 是 斗 志 斗 勇 。 红 队 开 始 各 种 秀 肌 肉 ， 对 外 披 露 掌 握 各 种 0 d a y 。 尤 其 是 最 后 几 天 ， 爆 出 来 的 谷 歌 浏 览 器 的 新 C V E 漏 洞 ， 依 然 是 记 忆 犹 新 的 。 整 个 攻 防 演 练 过 程 中 充 分 说 明 了 红 队 除 了 会 收 集 各 种 靶 标 系 统 的 信 息 ， 以 及 散 播 一 些 虚 假 情 报 迷 惑 对 手 外 ， 更 重 要 的 是 在 各 大 平 台 收 集 最 新 的 漏 洞 信 息 ， 制 造 出 武 器 ， 发 起 攻 击 。 这 就 对 我 们 蓝 队 来 说 面 临 了 很 大 的 挑 战 ， 如 何 防 御 未 知 威 胁 ， 甄 别 情 报 的 真 假 如 何 防 御 未 知 威 胁 ， 甄 别 情 报 的 真 假 ， 把 有 限 的 资 源 发 挥 出 更 多 的 价 值 尤 为 重 要 。 1 . 1 情 况 简 介 ： 情 况 简 介 ： 在 攻 防 演 练 进 入 倒 计 时 的 几 天 里 攻 击 异 常 激 烈 ， 安 全 运 营 中 心 不 断 的 发 出 告 警 特 别 是 工 单 平 台 被 w e b s h e l l 上 传 攻 击 ， 远 程 命 令 注 入 攻 击 ， 以 及 反 序 列 化 攻 击 等 各 种 攻 击 行 为 缠 绕 ， 看 样 子 是 红 队 对 工 单 平 台 吹 响 了 号 角 ， 同 时 也 引 起 了 我 的 格 外 重 视 。 1 . 2 发 现 痕 迹 ： 发 现 痕 迹 ： 0 4 - 2 1   1 6 : 5 7 : 3 5 发 现 内 部 I P 在 对 集 团 内 部 系 统 进 行 扫 描 ， 并 对 内 部 系 统 发 起 了 w e b l o g i c 任 意 文 件 上 传 攻 击 ， 利 用 的 漏 洞 为 C V E - 2 0 1 9 - 2 6 1 8 。 在 这 里 不 得 不 说 ， 在 演 练 前 已 经 对 内 网 资 产 和 互 联 网 资 产 进 行 了 整 体 的 梳 理 并 且 做 了 安 全 在 演 练 前 已 经 对 内 网 资 产 和 互 联 网 资 产 进 行 了 整 体 的 梳 理 并 且 做 了 安 全 基 线 检 查 和 渗 透 测 试 基 线 检 查 和 渗 透 测 试 ， 所 以 想 靠 历 史 漏 洞 发 起 攻 击 ， 只 能 说 成 功 的 概 率 会 让 对 手 失 望 的 。 既 然 发 现 了 异 动 I P 所 以 立 刻 封 锁 并 定 位 到 了 责 任 人 。 攻 击 特 征 还 是 很 明 显 的 1 . 3 事 件 分 析 ： 事 件 分 析 ： 通 过 对 事 件 整 体 的 复 盘 发 现 是 红 队 在 进 行 钓 鱼 攻 击 钓 鱼 攻 击 ， 1 5 : 2 8 攻 击 者 通 过 I T 服 务 平 台 ， 直 接 与 I T 服 务 人 员 建 立 会 话 ， 并 发 送 一 个 工 具 “ S R M 系 统 安 装 控 件 . e x e ” 冒 充 乙 方 供 应 商 的 身 份 企 图 让 冒 充 乙 方 供 应 商 的 身 份 企 图 让 I T 服 务 人 员 执 行 后 门 服 务 人 员 执 行 后 门 ， 奈 何 客 服 人 员 并 不 熟 悉 计 算 机 的 各 种 运 行 环 境 ， 所 以 经 历 了 一 段 很 漫 长 的 时 间 ， 攻 击 者 一 直 在 指 导 客 服 人 员 如 何 克 服 安 装 困 难 。
时 间 很 紧 迫 ， 毕 竟 距 离 护 网 结 束 只 有 一 天 了 ， 所 以 一 直 催 促 客 服 人 员 快 快 点 击 。 奈 何 并 不 是 客 服 人 员 没 点 击 ， 只 是 控 件 被 终 端 的 杀 软 进 行 了 阻 断 控 件 被 终 端 的 杀 软 进 行 了 阻 断 ， 客 服 也 在 懵 圈 之 中 ， 所 以 攻 击 队 又 在 指 导 客 服 人 员 如 何 绕 过 杀 软 ， 不 得 不 说 ， 下 次 最 好 生 成 一 个 绕 过 杀 软 的 后 门 ， 特 征 那 么 明 显 ， 怎 么 能 不 被 杀 软 识 别 呢 ？ 总 不 能 做 个 机 器 小 子 吧 ， 攻 击 还 是 要 有 一 定 的 隐 蔽 性 。
作 为 红 队 ， 如 果 想 做 钓 鱼 也 要 花 点 心 思 了 解 一 下 终 端 安 全 ， 企 业 级 的 杀 软 并 不 是 每 个 员 工 随 便 就 能 退 出 的 ， 并 且 直 接 用 工 具 生 成 的 后 门 ， 如 果 直 接 使 用 的 话 肯 定 会 被 各 种 检 测 软 件 阻 断 的 ， 得 需 要 花 一 番 心 思 的 。 虽 然 经 历 了 艰 难 险 阻 ， 还 是 在 1 6 : 1 9 的 时 候 红 队 指 导 红 队 指 导 I T 客 服 人 员 完 成 了 后 门 的 安 装 客 服 人 员 完 成 了 后 门 的 安 装 。 红 队 对 这 来 之 不 易 的 后 门 也 是 格 外 的 重 视 ， 开 始 利 用 这 个 肉 鸡 为 跳 板 对 内 部 系 统 进 行 疯 狂 的 端 口 扫 描 和 漏 洞 扫 描 ， 不 得 不 说 还 是 太 操 之 过 急 了 ， 这 么 大 量 的 数 据 流 怎 么 不 会 被 监 控 系 统 发 现 ， 所 以 如 前 文 所 述 对 攻 击 行 为 进 行 了 制 止 。 写 到 这 里 好 像 是 一 直 在 对 红 队 提 出 很 多 的 改 进 建 议 ， 其 实 红 队 和 防 御 本 身 是 相 辅 相 成 的 ， 只 有 不 断 的 理 解 攻 击 才 能 持 续 化 的 做 好 防 御 。 1 . 4 恶 意 样 本 分 析 ： 恶 意 样 本 分 析 ： 言 归 正 传 ， 虽 然 对 攻 击 行 为 进 行 了 阻 断 ， 但 是 样 本 还 是 要 分 析 的 ， 在 容 器 里 跑 了 一 下 ， 发 现 S R M 系 统 安 装 控 件 . e x e 释 放 后 会 向 I P 为 4 5 . 1 5 8 . 3 4 . 1 4 2 的 8 0 0 0 端 口 发 起 两 个 G E T 请 求 ， 下 载 x i a o . p s 1 和 和 * * x i a o 1 . p s 1 * * 脚 本 ， 并 在 终 端 执 行 。 接 着 对 x i a o . p s 1 脚 本 进 行 分 析 ， 发 现 是 c o b a l   s t r i k e 生 成 的 后 门 文 件 。 图 中 左 边 是 攻 击 者 的 文 件 ， 右 边 是 我 用 c o b a l   s t r i k e 的 生 成 的 源 文 件 ， 发 现 攻 击 者 未 对 后 门 做 修 改 1 . 5 应 急 处 置 ： 应 急 处 置 ： 结 束 木 马 进 程 并 删 除 恶 意 文 件 。 对 内 网 服 务 器 进 行 深 度 巡 检 ， 查 找 是 否 存 在 其 他 恶 意 后 门 。
对 内 网 反 向 连 接 进 行 审 查 ， 检 查 是 否 存 在 反 弹 s h e l l 。 受 陷 终 端 检 查 ， 分 析 攻 击 者 遗 留 文 件 。 1 . 6   总 结 ： 总 结 ： 不 难 看 出 在 H W 期 间 业 务 系 统 经 历 了 1 5 天 的 奋 战 ， 并 没 有 让 红 队 找 到 攻 击 的 入 口 ， 面 对 w e b s h e l l 上 传 、 弱 口 令 爆 破 、 反 序 列 化 攻 击 、 远 程 命 令 执 行 等 攻 击 行 为 并 没 有 陷 落 ， 而 是 被 做 了 一 次 钓 鱼 攻 击 使 终 端 造 成 了 陷 落 ， 但 是 攻 击 者 并 没 有 发 掘 出 有 价 值 的 内 容 。 这 里 不 得 不 说 在 H W 前 期 做 的 大 量 渗 透 测 试 还 是 起 到 了 很 大 的 作 用 。 同 时 应 该 反 思 ， 企 业 的 信 息 安 全 究 竟 应 该 如 何 企 业 的 信 息 安 全 究 竟 应 该 如 何 建 设 建 设 ， 从 以 前 的 边 界 防 护 和 纵 深 防 御 的 理 念 ， 到 现 在 的 零 信 任 架 构 思 想 ， 究 竟 如 何 做 抉 择 才 能 做 好 企 业 的 信 息 安 全 。 我 认 为 两 者 要 进 行 融 合 互 为 补 充 ， 通 过 对 资 产 暴 露 的 面 收 缩 ， 以 及 将 资 产 进 行 隐 藏 ， 尽 量 提 高 攻 击 者 的 门 槛 。 攻 击 者 一 旦 攻 击 成 功 后 会 考 虑 横 向 移 动 ， 所 以 基 础 架 构 安 全 尤 为 重 要 ， 企 业 要 建 立 自 己 的 一 套 安 全 架 构 ， 同 时 研 发 符 合 自 身 的 安 全 运 营 中 心 ， 对 业 务 系 统 进 行 监 控 ， 对 攻 击 行 为 进 行 阻 断 。 除 了 技 术 层 面 的 深 入 布 局 ， 还 要 在 企 业 内 部 安 全 意 识 的 传 递 以 及 安 全 流 程 的 规 划 也 是 非 常 重 要 的 ， 所 以 安 全 管 理 与 安 全 技 术 要 并 驾 齐 驱 ， 缺 一 不 可 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-2-3 03:57 , Processed in 0.404337 second(s), 29 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表