第六十一課：高級持續(xù)滲透-第五季關于后門
專注APT攻擊與防御
https://micropoor.blogspot.com/
這一季依然是一個過渡季,根據(jù)之前的連載中,了解到后門是滲透測試的分水嶺,它分別體現(xiàn)了攻擊者對目標機器的熟知程度,環(huán)境,編程語言,了解對方客戶,以及安全公司的本質概念。也同樣檢測了防御者需要掌握后門的基本查殺,與高難度查殺,了解被入侵環(huán)境,目標機器。以及后門或者病毒可隱藏角落,或樣本取證,內(nèi)存取證等。.對各種平臺查殺熟知,對常見第三方軟件的了解程度。
既然題目以“藝術”為核心,那么怎樣把后門“藝術”行為化呢?依然遵循以往,引入概念,只有概念清晰,本質清晰,對于攻擊者,這樣的后門更具有持久性,潛伏性,鎖定性等。對于防御者,更能熟知反后門對抗,對待常用第三方軟件的檢測方式方法,切斷攻擊者的后滲透攻擊。溯源或取證攻擊者。
在高級持續(xù)滲透測試中,PTES的滲透測試執(zhí)行標準主要分為6段1報。既:
1.前期交互階段
2.情報收集階段
3.威脅建模階段
4.漏洞分析階段
5.滲透攻擊階段
6.后滲透攻擊階段
7.報告編寫
這里要講的不是打破它的流程,而是歸納總結到類,明確了類的方向,對待一個未知的目標網(wǎng)絡環(huán)境,更能清晰的進行攻擊或者對抗。
提權的本質是什么?
信息搜集,搜集目標補丁情況,了解目標第三方利用等。
內(nèi)網(wǎng)滲透的本質是什么?
信息搜集,搜集目標內(nèi)網(wǎng)的組織架構,明確滲透訴求,在滲透過程中,當獲取到內(nèi)網(wǎng)組織架構圖,如魚得水。
滲透與高級持續(xù)滲透的本質區(qū)別是什么?
區(qū)別于“持續(xù)”,可長期根據(jù)攻擊者的訴求來潛伏持久的,具有針對性的信息獲取。
(而在高級持續(xù)滲透它又分為2類,一類持久滲透,一類即時目標滲透)
溯源取證與對抗溯源取證的本質是什么?
信息搜集與對抗信息搜集。
以上4條,清晰的明確了類,以及類方向,在一次完整的實戰(zhàn)過程中,攻擊者與防御者是需要角色對換的,前期,攻擊者信息搜集,防御者對抗信息搜集。而
后滲透,攻擊者對抗信息搜集,防御者信息搜集。而在兩者后的持續(xù)把控權限,是隨機并且無規(guī)律的角色對換過程。主要表現(xiàn)之
一為后門。這一句話也許很難理解,舉例:持續(xù)把控權限過程中,攻擊者需要對抗防御者的信息搜集,而又要根據(jù)對方行為制定了解防御者的相關動作以及熟知目標環(huán)境的信息搜集安全時間。(包括但不限制于如防御者近期對抗查殺動作,防御者的作息規(guī)律,目標環(huán)境的作息規(guī)律等來制定相關計劃)。
而在持續(xù)把控權限的過程中,防御者需要定期不完全依賴安全產(chǎn)品對自身環(huán)境的信息進行搜集(包括但不限制于日志異常,登陸異常,數(shù)據(jù)異常,第三方篡改日常等),一旦發(fā)現(xiàn)被攻擊或者異常,對抗攻擊者搜集,并且搜集攻擊信息,攻擊殘留文件,排查可能淪陷的內(nèi)網(wǎng)群,文件等。
在一次的引用百度百科對APT的解釋:APT是黑客以竊取核心資料為目的,針對客戶所發(fā)動的網(wǎng)絡攻擊和侵襲行為,是一種蓄謀已久的“惡意商業(yè)間諜威
脅”。這種行為往往經(jīng)過長期的經(jīng)營與策劃,并具備高度的隱蔽性。APT的攻擊手法,在于隱匿自己,針對特定對象,長期、有計劃性和組織性地竊取數(shù)據(jù),這種發(fā)生在數(shù)字空間的偷竊資料、搜集情報的行為,就是一種“網(wǎng)絡間諜”的行為。
實戰(zhàn)中的APT又主要分為2大類,一類持久滲透,一類即時目標滲透,主要區(qū)別于高級持續(xù)滲透是6段1報,即時目標滲透是5段1清1報,共同點都是以黑客以竊取核心資料為目的,并且是一種蓄謀已久的長期踩點針對目標監(jiān)視(包括但不限制于服務更新,端口更新,web程序更新,服務器更新等)。不同點主要區(qū)別于即時目標滲透清晰目標網(wǎng)絡構架或是明確訴求,得到目標訴求文件,隨即銷毀自身入侵軌跡。結束任務。而即時目標滲透往往伴隨著傳統(tǒng)的人力情報的配合進行網(wǎng)絡行動。
在即時目標滲透測試中,主要分為5段1清1報。既:
1.前期交互階段
2.情報收集階段
3.威脅建模階段
4.漏洞分析階段
5.滲透攻擊階段
6.清理攻擊痕跡
7.報告編寫
持久滲透以時間換空間為核心的滲透,以最小化被發(fā)現(xiàn),長期把控權限為主的滲透測試。
即時目標滲透則相反,放大已知條件,關聯(lián)已知線索,來快速入侵,以達到訴求。
為了更好的解釋APT即時目標滲透,舉例某實戰(zhàn)作為demo(由于是為了更好的解釋即時目標滲透,所以過程略過),大部分圖打碼,見諒。
任務背景:
任務訴求:需要得知周某某的今年采購的其中一個項目具體信息。
已知條件:該成員是xxx某大型公司。負責XXXX的采購人員。配合人力得知姓名,電話,身份證,照片等。
任務時間:一周之內(nèi)
制定計劃:找到開發(fā)公司,獲取源碼,代碼審計,得到shell,拿到服務器,
得到域控(或者終端管理)。得到個人機。下載任務文件。
任務過程:得知該XXX公司xxxx網(wǎng)站是某公司出品,得到某公司對外宣傳網(wǎng)站,并且得到該開發(fā)公司服務器權限,下載源碼模板。源碼審計過程略過。得到webshell
提權略過。得到服務器權限。
內(nèi)網(wǎng)滲透略過,配合人力情報,大致清楚目標內(nèi)網(wǎng)架構。直奔內(nèi)網(wǎng)終端管理系統(tǒng)。
查看在線機器,查找目標人物。
任務推送執(zhí)行:
目標回鏈:
目標桌面截圖:確定為目標人物
下載任務文件后,清理入侵痕跡。任務完成。
那么持久滲透,即時目標滲透的主要表現(xiàn)區(qū)別即為后持續(xù)滲透,無后門的安裝,無再次連接目標。以及傳統(tǒng)人力情報的配合。
那么在demo中,如果需要長期跟蹤,并且對方的內(nèi)網(wǎng)中有多款安全產(chǎn)品,那么就要為它來制定一款針對該目標的后門。在傳統(tǒng)后門中,大多數(shù)只考慮目標機系統(tǒng)環(huán)境,那么題目為“后門”的藝術,在今天強大的安全產(chǎn)品中對抗升級中,后門也開始加入了人性化因素。以及傳統(tǒng)后門的特性變更:如無進程,無服務,無端口,無自啟,無文件等,來附屬在第三方上。根據(jù)目標環(huán)境的人為特點,上線時間,操作時間。來制定一次后門的喚醒時間。需要了解目標經(jīng)常使用的第三方軟件,來制定后門類型。(參考第一季)。如何把后門定制到更貼近目標,來對抗反病毒,反后門查殺。利用人為化來啟動,或者第三方喚醒,這應該是值得攻擊者思考的問題。而明確了類與類的方向,如何阻斷攻擊者的信息搜集,并且加大攻擊者的暴露蹤跡,減少非必要的第三方,這應該是指的防御者思考的問題。
后門在對抗升級中,越貼近目標的后門越隱蔽,越貼近人性化的后門越持久,而由于目前存儲條件等因素,還不能夠全流量的全部記錄,而是全流量的部分流量記錄。導致不能完全依賴安全產(chǎn)品,并且在實戰(zhàn)中,往往并不是每一臺機器(包括但不限制于服務器,個人機,辦公及)都遵循安全標準。尤其是在當今VPN辦公普遍的情況下,家用個人機為突破點的例子層出不窮。其他非人為因素等。導致了當下的安全再次回歸到安全的初衷:人。是的,人是安全的尺度。
/*段子*/
可能某老夫跳出來,大喊,后門的人性化制作就這一個也能算藝術?
在現(xiàn)實中,我很喜歡問別人三個問題:
1.你用過最糟糕的后門是什么樣的?
2.你用過最精彩的后門是什么樣的?
3.你最理想的后門是什么樣的?
問題1.能大致分析出對方的入行時間。
問題2.能大致的判斷出對方目前的技術水平。
問題3.能直接判斷出對方對技術的追求是怎樣的心態(tài)。
后門是一種藝術。
在文章的結尾處,我想貼幾個圖。
當初:多么簡單的知識,都會找到你想要的教程。多么復雜的知識都會找到相關的文章。
.現(xiàn)在:想學習的人,找不到入門的知識,與可以建立興趣的文章。想分享的人卻又膽戰(zhàn)心驚。
來自知乎某大V的回憶當初:
黑吧的logo還是曾經(jīng)的那個logo,聯(lián)盟的國徽還是那個國徽,只是人的心變了。
附錄:
PTES中文版
http://netsec.ccert.edu.cn/hacking/files/2011/07/PTES_MindMap_CN1.pdf
Micropoor
?
