设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [77] 2019-10-25_技术干货实战分享-红蓝对抗下的防守思 ...
返回列表 发新帖
查看: 7|回复: 0

[77] 2019-10-25_技术干货实战分享-红蓝对抗下的防守思路与溯源分析

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 2025-1-15 23:48:31 | 显示全部楼层 |阅读模式
2019-10-25_技术干货实战分享-红蓝对抗下的防守思路与溯源分析 技 术 干 货   |   实 战 分 享 - 红 蓝 对 抗 下 的 防 守 思 路 与 溯 源 分 析 A d m i n   T e a m   2 0 1 9 - 1 0 - 2 5 以 下 文 章 来 源 于 安 全 加   ， 作 者 星 仔 5 2 1 免 责 声 明 ： 本 公 众 号 发 布 的 文 章 均 转 载 自 互 联 网 或 经 作 者 投 稿 授 权 的 原 创 ， 文 末 已 注 明 出 处 ， 其 内 容 和 图 片 版 权 归 原 网 站 或 作 者 本 人 所 有 ， 并 不 代 表 安 全 + 的 观 点 ， 若 有 无 意 侵 权 或 转 载 不 当 之 处 请 联 系 我 们 处 理 ， 谢 谢 合 作 ！ 随 着 全 球 信 息 化 的 快 速 发 展 ， 层 出 不 穷 的 网 络 攻 击 已 经 成 为 国 家 安 全 的 新 挑 战 ， 尤 其 像 乌 克 兰 的 电 网 攻 击 、 伊 朗 震 网 事 件 ， 更 是 将 攻 防 对 抗 提 升 到 国 家 层 次 ，     核 心 数 据 、 网 络 空 间 、 生 产 经 营 、 个 人 隐 私 乃 至 基 础 设 施 稳 定 等 已 经 成 为 国 家 、 企 业 需 要 重 点 保 护 的 对 象 。 在 此 大 环 境 下 ， 除 了 各 类 监 管 ， 攻 防 演 习 成 了 以 攻 促 防 的 主 要 方 式 ， 本 文 基 于 自 身 内 部 团 队 组 织 的 几 次 攻 防 演 习 ， 总 结 了 部 分 攻 防 对 抗 中 的 注 意 点 以 及 如 何 进 行 应 急 响 应 和 溯 源 分 析 ， 希 望 这 些 血 战 中 的 真 实 案 例 可 以 对 大 家 更 好 的 应 对 攻 防 演 习 有 所 帮 助 。 常 见 攻 击 思 路 常 见 攻 击 思 路 0 1 0 1 攻 方 会 全 面 的 收 集 守 方 的 各 类 信 息 ， 尤 其 上 下 游 合 作 伙 伴 、 分 公 司 、 投 资 服 务 方 等 所 对 应 系 统 的 子 域 名 、 端 口 服 务 、 后 台 、 A P P 微 信 小 程 序 、 各 类 职 工 及 对 应 的 系 统 服 务 器 指 纹 信 息 等 ， 最 终 蓝 方 整 理 的 信 息 乃 至 比 红 方 自 己 收 集 的 都 全 ， 顺 着 藤 摸 透 了 便 于 找 突 破 点 。 攻 方 根 据 收 集 的 信 息 ， 挨 个 找 洞 ， 像 w e b 、 v p n 、 各 类 接 口 以 及 w i f i 的 常 规 漏 洞 ， 后 台 弱 口 令 ， 中 间 件 以 及 各 类 框 架 的 主 流 漏 洞 ， 这 些 漏 洞 守 方 只 要 有 一 个 未 加 固 好 ， 就 容 易 成 为 攻 方 的 突 破 点 ， 0 d a y 就 不 论 了 ， 这 个 考 验 信 息 获 取 能 力 和 监 控 应 急 响 应 速 度 ， 守 方 难 ， 难 在 难 以 做 到 一 个 不 漏 ， 没 有 绝 对 安 全 的 系 统 ， 只 能 通 过 纵 深 的 防 御 措 施 来 遏 止 攻 击 。 人 性 的 弱 点 ， 导 致 了 社 工 成 了 有 效 的 攻 击 方 式 ， 攻 方 通 过 利 用 各 类 工 作 群 、 邮 件 、 电 话 乃 至 收 买 等 骗 取 有 效 凭 证 ， 可 以 用 最 快 的 速 度 ， 最 低 的 成 本 撬 开 入 口 。 基 本 社 工 和 常 规 漏 洞 挖 掘 是 同 时 进 行 的 ， 当 守 方 发 现 各 类 社 工 攻 击 时 ， 可 能 很 多 员 工 已 经 中 招 ， 安 全 意 识 教 育 并 不 能 完 全 确 保 每 个 员 工 都 时 刻 保 持 警 惕 ， 各 类 安 全 管 控 措 施 对 物 理 入 侵 有 效 ， 网 络 钓 鱼 类 难 防 。 必 备 的 防 守 思 路 必 备 的 防 守 思 路 0 0 2 2 首 先 从 整 个 安 全 架 构 上 来 分 析 当 前 架 构 方 面 还 存 在 的 弱 点 ， 办 公 、 生 产 、 互 连 的 网 络 架 构 ， 梳 理 业 务 、 安 全 域 之 间 的 流 量 走 向 ， 研 判 当 前 安 全 检 测 、 防 护 策 略 等 是 否 健 全 有 效 ， 这 些 梳 理 清 楚 了 ， 就 明 白 什 么 地 方 需 要 优 化 、 调 整 和 加 强 防 护 。 对 安 全 架 构 充 满 信 心 的 同 时 ， 前 期 的 资 产 收 集 是 必 须 要 做 的 ， 不 管 是 对 互 联 网 暴 漏 的 ， 还 是 办 公 、 测 试 、 生 产 网 的 资 产 ， 需 要 进 行 全 面 的 自 查 收 集 ， 收 集 时 除 了 向 管 理 员 要 原 始 资 产 表 ， 更 重 要 的 是 一 定 安 排 安 全 人 员 去 扫 描 收 集 ， 注 意 一 定 要 全 端 口 探 测 所 有 已 开 放 的 服 务 和 各 类 系 统 ， 因 为 攻 方 收 集 资 产 的 主 要 方 式 就 是 批 量 探 测 扫 描 ， 有 其 他 途 径 获 取 的 只 占 一 小 部 分 ， 当 然 边 界 防 护 设 备 中 也 能 收 集 资 产 信 息 ， 只 能 作 为 查 缺 补 漏 。 供 应 商 、 服 务 方 、 分 公 司 等 和 我 方 有 流 量 交 互 的 也 要 重 点 收 集 关 注 ， 资 产 收 集 完 成 ， 要 全 面 分 析 ， 哪 些 是 存 活 的 ， 哪 些 是 可 以 下 线 的 ， 哪 些 和 靶 标 有 业 务 交 互 需 要 重 点 防 范 的 ， 这 些 理 清 楚 了 才 会 知 道 自 己 排 查 加 固 、 防 护 监 控 的 重 点 在 哪 里 。 收 集 完 资 产 ， 要 根 据 已 收 集 的 资 产 进 行 漏 洞 排 查 和 加 固 ， 内 外 网 主 机 、 应 用 、 设 备 、 中 间 件 、 第 三 方 框 架 组 件 等 需 要 进 行 多 轮 ， 多 人 次 的 漏 洞 排 查 和 基 线 加 固 ， 合 作 方 、 分 公 司 等 的 安 全 若 是 无 法 排 查 ， 能 关 停 的 关 停 ， 不 能 关 停 的 边 界 一 定 要 有 安 全 防 护 监 控 措 施 ； 各 主 机 、 应 用 服 务 、 系 统 、 设 备 、 中 间 件 等 的 弱 口 令 在 业 界 曾 造 成 数 不 胜 数 的 血 案 ， 尤 其 注 意 排 查 企 业 特 征 弱 口 令 ， 因 为 攻 方 会 根 据 企 业 、 员 工 的 属 性 构 建 特 定 的 字 典 来 攻 击 ； 对 互 联 网 各 类 代 码 托 管 平 台 ， 办 公 网 各 类 共 享 资 源 ， 测 试 生 产 网 各 类 敏 感 信 息 进 行 全 面 的 排 查 和 收 拢 ， 因 为 横 向 渗 透 的 时 候 这 些 敏 感 信 息 对 攻 方 的 价 值 很 大 ； 最 后 对 于 安 全 监 控 、 防 护 、 策 略 一 定 要 进 行 校 验 ， 监 控 能 力 一 定 要 到 位 ， 蜜 网 一 定 要 健 全 ， 同 时 对 异 常 的 进 程 、 链 接 、 账 号 、 s h e l l 、 木 马 等 最 好 做 到 全 方 位 实 时 的 监 测 ， 每 日 批 量 化 的 对 关 键 主 机 做 批 量 入 侵 痕 迹 排 查 。 各 类 异 常 日 志 的 审 计 ， 收 紧 各 类 V P N 、 堡 垒 机 等 的 账 号 权 限 。 大 多 数 公 司 对 内 网 、 测 试 、 生 产 网 的 各 类 设 备 服 务 的 安 全 加 固 存 在 不 足 和 滞 后 ， 平 时 可 能 将 安 全 力 量 主 要 保 障 互 联 网 上 各 业 务 系 统 的 安 全 运 行 ， 这 就 为 攻 方 的 内 网 横 向 渗 透 带 来 了 极 大 的 便 利 ， 内 网 加 固 的 好 ， 靶 标 藏 的 好 ， 是 能 让 守 方 多 坚 持 一 段 时 间 乃 至 最 终 不 被 攻 破 ， 内 网 除 了 各 类 服 务 常 见 的 弱 密 码 、 未 授 权 类 漏 洞 之 外 ， 一 定 关 注 M S 1 7 - 0 1 0 、 S S h 漏 洞 、 S 2 、 W e b l o g i c 反 序 列 化 、 T N S 劫 持 等 漏 洞 ， 攻 方 进 了 内 网 会 优 先 找 这 一 类 的 漏 洞 ， 一 旦 发 现 就 是 血 案 。 系 统 好 防 人 难 防 ， 血 肉 之 躯 五 欲 六 尘 面 对 疏 忽 懈 怠 糖 衣 炮 弹 会 爆 露 出 弱 点 ， 反 社 工 、 反 侦 察 、 安 全 意 识 培 训 、 安 全 管 理 办 法 的 落 实 都 能 进 一 步 增 加 攻 方 渗 透 的 难 度 ， 通 过 健 全 高 效 的 监 控 设 备 ， 发 现 入 侵 痕 迹 ， 及 时 阻 断 攻 击 并 有 效 反 击 ， 拼 体 力 、 精 力 的 同 时 ， 考 验 的 是 精 湛 的 溯 源 技 术 和 敏 锐 的 洞 察 力 ， 攻 防 对 抗 ， 想 加 分 需 要 抓 到 攻 方 的 的 真 实 i p 和 证 据 ， 没 有 哪 个 攻 方 会 毫 无 伪 装 用 真 实 i p 来 让 你 抓 到 加 分 ， 都 是 层 层 代 理 层 安 全 加 安 全 加   . 安 世 加   专 注 于 信 息 安 全 业 ， 通 过 互 联 平 台 、 线 下 沙 、 培 训 、 峰 会 、 才 招 聘 等 多 种 形 式 ， 培 养 安 全 才 ， 提 升 业 的 整 体 素 质 ， 助 推 安 全 态 圈 的 健 康 发 展 。
层 肉 鸡 ， 各 种 肉 鸡 对 你 一 顿 猛 攻 ， 调 虎 离 山 伪 装 攻 击 ， 真 实 的 攻 击 一 击 致 命 ， 拿 下 靶 标 。 应 急 响 应 与 溯 源 分 析 应 急 响 应 与 溯 源 分 析 0 3 监 控 设 备 发 现 异 常 告 警 后 ，   先 确 认 是 否 是 攻 击 以 及 是 否 攻 击 成 功 ， 根 据 对 业 务 影 响 程 度 ， 快 速 断 网 ， 结 合 攻 击 异 常 的 时 间 、 排 查 恶 意 文 件 首 次 出 现 的 目 录 、 尤 其 详 细 关 注 系 统 、 应 用 、 安 全 设 备 日 志 排 查 出 漏 洞 被 利 用 的 位 置 ， 尽 快 修 复 漏 洞 ， 排 查 边 界 控 制 设 备 确 定 漏 洞 对 网 络 区 域 之 间 的 影 响 范 围 ， 处 于 影 响 范 围 中 的 主 机 、 应 用 要 进 行 及 时 的 补 救 加 固 及 入 侵 检 测 。 遏 止 了 攻 击 ， 想 加 分 就 需 要 进 行 取 证 ， 自 己 安 全 设 备 记 录 的 攻 方 i p 等 信 息 基 本 不 是 组 织 方 下 发 的 i p ， 因 此 若 是 可 以 溯 源 拿 下 攻 方 部 分 服 务 器 ， 对 于 取 证 有 很 大 的 帮 助 作 用 ， 下 述 记 录 一 次 内 部 演 习 中 的 反 击 过 程 。 拿 到 攻 方 I P ， 根 据 上 述 攻 击 思 路 ， 寻 找 漏 洞 ， 有 的 攻 击 者 会 把 自 己 的 服 务 器 加 固 的 很 牢 固 ， 有 的 则 不 然 ， 存 在 疏 忽 的 话 攻 方 的 机 器 也 会 被 拿 下 ， 如 某 如 某 x x . 6 0 . 2   I P 对 守 方 发 起 攻 击 被 发 现 ， 分 析 一 下 ： 对 守 方 发 起 攻 击 被 发 现 ， 分 析 一 下 ： 然 后 利 用 一 个 上 传 漏 洞 ， 拿 s h e l l 根 据 异 常 进 程 ， 发 现 是 p o w e r s h e l l 的 进 程 在 批 量 扫 描 8 0 端 口 在 m y s q l 服 务 的 配 置 文 件 中 找 到 r o o t 密 码 ， 尝 试 r o o t 提 权 ， 但 是 被 降 权 继 续 提 权 时 ， 引 起 了 攻 击 者 的 警 觉 迅 速 关 闭 了 服 务 器
此 事 本 以 为 到 此 结 束 ， 结 果 此 事 本 以 为 到 此 结 束 ， 结 果 5 天 后 攻 方 又 来 了 天 后 攻 方 又 来 了 这 次 利 用 其 部 署 的 p h p m y a d m i n 存 在 的 一 个 漏 洞 ， 继 续 拿 下 主 机 ， 发 现 还 是 p o w e r s h e l l . e x e 在 搞 事 情 捕 获 p i d 为   5 0 1 2 网 络 数 据 包 与 日 志 系 统 告 警 做 对 比 ， 发 现 U A 标 识 会 随 机 变 化 通 过 分 析 异 常 进 程 的 数 据 包 ， 发 现 执 行 了 一 条   b a s e 6 4 加 密 的 p o w e r s h e l l 命 令
解 密 后 发 现 这 条 命 令 指 向 了 另 一 个 X X . X X . 1 5 7 . 1 6 3 的 地 址 ， 这 条 命 令 的 作 用 ， 疑 似 是 在 向 这 个 U R L 地 址 上 传 数 据 ， 访 问 该 地 址 显 示 4 0 4 该 4 0 4 页 面 是 攻 击 者 伪 造 的 ， 需 要 特 定 U A 才 能 显 示 真 实 页 面 。 访 问 X X . X X . 1 5 7 . 1 6 3 的 根 目 录 ， 发 现 是 一 个 正 常 的 业 务 系 统 ， 初 步 判 断 该 系 统 为 攻 方 的 攻 击 跳 板 。 最 后 留 下 后 门 脚 本 持 续 监 视 攻 方 与 1 6 3 以 及 我 方 之 间 的 流 量 来 往 。 上 述 仅 是 一 次 团 队 内 部 组 织 的 攻 防 演 习 的 一 些 记 录 和 总 结 ， 希 望 这 些 总 结 建 议 可 以 对 广 大 参 与 红 蓝 对 抗 的 安 全 爱 好 者 提 供 一 些 思 路 和 帮 助 。 注 ： 团 队 内 部 攻 防 ， 相 互 授 权 可 以 互 攻 、 互 守 ， 本 文 所 有 涉 及 攻 防 操 作 均 已 得 到 授 权 注 ： 团 队 内 部 攻 防 ， 相 互 授 权 可 以 互 攻 、 互 守 ， 本 文 所 有 涉 及 攻 防 操 作 均 已 得 到 授 权


回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:41 , Processed in 0.445173 second(s), 29 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表