《入侵生命周期细分实践指南系列》:间接命令执行攻击

admin 2022年9月9日11:13:13安全闲碎评论0 views2113字阅读7分2秒阅读模式

美创科技为了更好地进行入侵检测和防御,参照各种安全威胁框架和自身的实践与思考,提出了基于入侵生命周期的攻击管理模型,作为美创新一代安全架构的三大支柱之一。

入侵生命周期v1.0把入侵过程划分为7个阶段:探索发现、入侵和感染、探索感知、传播、持久化、攻击和利用、恢复。入侵生命周期v1.0同样以ATT&CK作为基本战术知识库,匹配到不同的入侵阶段。需要注意的是,并非所有的入侵都会经历这7个阶段,也没有绝对的线性次序。

1)探索发现

在这个阶段中,攻击者会先锁定攻击对象,然后利用某些技术手段,尽可能多地获取目标暴露出来的信息,如通过端口扫描、指纹探测等方式,发现敏感端口及版本信息,进而寻找攻击点,为下一步入侵做准备。

2)入侵和感染

在这个阶段,攻击者会根据“探索发现”阶段所发现的重要信息,来对目标暴露出的攻击面进行攻击尝试,在“探索发现”阶段收集到的信息越多,攻击对象所暴露的攻击面也就越多,攻击更易成功。

3)探索感知

攻击者在成功进入系统内部后,由于是首次进入所以会出现对内部环境不熟悉的情况,这时攻击者的动作一般会是对当前所处环境进行探索,摸清内部大致的网络结构,常常伴随着被入侵本机的敏感信息收集以及对内网大量的端口进行扫描,后续根据攻击者的目的进行下一步操作。

4)传播

在此阶段,攻击者根据上一阶段在内网探索感知收集到的信息,选择特定的攻击手法。如若发现内部是域环境,攻击者可能会尝试先攻破域控服务器,再传播其他机器。若是工作组环境,可能会利用收集到的端口和服务信息,选择特定漏洞进行批量扫描攻击,来尽可能多地继续获得其他计算机的控制权。

5)持久化

攻击者在对资产进行恶意操作后,为了能够减少再次连接的攻击成本,方便下次进入,会进行“留后门”的操作,常见的后门如:建立计划任务,定时连接远程服务器;设置开机启动程序,在每次开机时触发执行特定恶意程序;新建系统管理员账号等。这样便于攻击者下次快速登录并控制该系统。

6)攻击和利用

攻击者在此阶段便会开始对目标资产进行恶意操作,按照攻击者意愿,对能利用的数据进行窃取、利用;对操作系统、敏感文件进行破坏、删除。所有的防御手段都应该极力阻止攻击者进行到这一阶段。

7)恢复

攻击者在执行所有的攻击操作时,往往会在系统上留下大量的行为日志,因此在这一阶段,攻击者会对记录自身痕迹的所有日志进行处理,或删除或混淆,从而消灭证据,逃避追踪。

本系列文章基于美创科技入侵生命周期1.0架构,细分各阶段攻击者的常用攻击手段,并对相关攻击手段的具体实施方式进行逐一剖析,为安全防御建设提供有力知识补充和反制准备。





间接命令执行攻击(攻击和利用)

间接命令执行指通过各种实用程序来执行命令,且该过程中可能无需调用cmd.exe。在渗透过程中,攻击者可能会利用允许执行命令的实用程序来绕过限制命令行解释器使用的安全限制。例如攻击者可以使用Forfiles、程序兼容性助手 (pcalua.exe)等程序执行命令或文件,且过程中不需要调用cmd.exe,达到了在逃逸检测的同时执行任意命令。

根据攻击者的入侵流程和操作手段,通过间接命令执行可以帮助攻击者绕过相关安全限制,并执行任意命令,以完成各种恶意操作,包括对目标资产进行目录遍历,以及添加恶意账户,或直接对操作系统、敏感文件等进行破坏删除等。因此,从入侵生命周期角度分析,间接命令执行可被攻击者用于攻击和利用阶段和持久化阶段。

从攻击行为链条的上下文来看,针对间接命令执行的行为链条输入输出如下。

输入:forfiles命令、bat文件、pcalua命令等

输出:命令执行结果

针对间接命令执行,目前主要有以下几种常用手段:

1.通过forfiles执行系统命令

(1)直接执行net user命令添加用户,可以发现该添加用户的行为是通过调用cmd.exe实现的。

《入侵生命周期细分实践指南系列》:间接命令执行攻击

《入侵生命周期细分实践指南系列》:间接命令执行攻击

(2)通过forfiles执行net user命令添加用户,可以发现该添加用户的行为是通过调用forfiles.exe实现的,从而绕过了cmd。

forfiles /p c:windowssystem32 /m forfiles.exe /c "net.exe /q user"

《入侵生命周期细分实践指南系列》:间接命令执行攻击

《入侵生命周期细分实践指南系列》:间接命令执行攻击

2.通过批处理文件执行系统命令

(1)将如下内容保存为bat文件:

forfiles /p c:windowssystem32 /m forfiles.exe /c "net.exe /q user test1 111111 /add"

(2)执行bat文件

(3)成功绕过cmd.exe,并通过forfiles.exe执行了系统命令添加了用户

《入侵生命周期细分实践指南系列》:间接命令执行攻击

3.通过程序兼容性助手 (pcalua.exe)执行命令

(1)使用cobaltstrike创建有效负载格式为exe

《入侵生命周期细分实践指南系列》:间接命令执行攻击

《入侵生命周期细分实践指南系列》:间接命令执行攻击

《入侵生命周期细分实践指南系列》:间接命令执行攻击

(2)将有效负载artifact.exe传至被攻击机

(3)将如下内容保存为bat文件:

pcalua -m -a C:UsersdellDesktopaaaartifact.exe

(4)执行bat文件

(5)成功绕过cmd.exe,且通过程序兼容性助手 (pcalua.exe)执行了命令并运行有效负载artifact.exe,最终获得反弹shell

《入侵生命周期细分实践指南系列》:间接命令执行攻击


《入侵生命周期细分实践指南系列》:间接命令执行攻击

《入侵生命周期细分实践指南系列》:间接命令执行攻击

原文始发于微信公众号(第59号):《入侵生命周期细分实践指南系列》:间接命令执行攻击

特别标注: 本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微信公众号
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年9月9日11:13:13
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                  《入侵生命周期细分实践指南系列》:间接命令执行攻击 http://cn-sec.com/archives/1287816.html

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: