美创科技为了更好地进行入侵检测和防御，参照各种安全威胁框架和自身的实践与思考，提出了基于入侵生命周期的攻击管理模型，作为美创新一代安全架构的三大支柱之一。
入侵生命周期v1.0把入侵过程划分为7个阶段：探索发现、入侵和感染、探索感知、传播、持久化、攻击和利用、恢复。入侵生命周期v1.0同样以ATT&CK作为基本战术知识库，匹配到不同的入侵阶段。需要注意的是，并非所有的入侵都会经历这7个阶段，也没有绝对的线性次序。
1）探索发现
在这个阶段中，攻击者会先锁定攻击对象，然后利用某些技术手段，尽可能多地获取目标暴露出来的信息，如通过端口扫描、指纹探测等方式，发现敏感端口及版本信息，进而寻找攻击点，为下一步入侵做准备。
2）入侵和感染
在这个阶段，攻击者会根据“探索发现”阶段所发现的重要信息，来对目标暴露出的攻击面进行攻击尝试，在“探索发现”阶段收集到的信息越多，攻击对象所暴露的攻击面也就越多，攻击更易成功。
3）探索感知
攻击者在成功进入系统内部后，由于是首次进入所以会出现对内部环境不熟悉的情况，这时攻击者的动作一般会是对当前所处环境进行探索，摸清内部大致的网络结构，常常伴随着被入侵本机的敏感信息收集以及对内网大量的端口进行扫描，后续根据攻击者的目的进行下一步操作。
4）传播
在此阶段，攻击者根据上一阶段在内网探索感知收集到的信息，选择特定的攻击手法。如若发现内部是域环境，攻击者可能会尝试先攻破域控服务器，再传播其他机器。若是工作组环境，可能会利用收集到的端口和服务信息，选择特定漏洞进行批量扫描攻击，来尽可能多地继续获得其他计算机的控制权。
5）持久化
攻击者在对资产进行恶意操作后，为了能够减少再次连接的攻击成本，方便下次进入，会进行“留后门”的操作，常见的后门如：建立计划任务，定时连接远程服务器；设置开机启动程序，在每次开机时触发执行特定恶意程序；新建系统管理员账号等。这样便于攻击者下次快速登录并控制该系统。
6）攻击和利用
攻击者在此阶段便会开始对目标资产进行恶意操作，按照攻击者意愿，对能利用的数据进行窃取、利用；对操作系统、敏感文件进行破坏、删除。所有的防御手段都应该极力阻止攻击者进行到这一阶段。
7）恢复
本系列文章基于美创科技入侵生命周期1.0架构，细分各阶段攻击者的常用攻击手段，并对相关攻击手段的具体实施方式进行逐一剖析，为安全防御建设提供有力知识补充和反制准备。
攻击者可能会在受感染环境中的系统之间传输工具或其他文件。文件复制也可以在内部受害者系统之间横向执行，文件可能会从一个系统复制到另一个系统，以在横向移动过程中暂存攻击工具或其他文件。攻击者可能会在内部受害系统之间横向复制文件，以支持使用固有文件共享协议的横向移动，例如通过 SMB 将文件共享到连接的网络共享，或使用SMB/Windows 管理共享或远程桌面协议的经过身份验证的连接。还可以使用 scp、rsync 和 sftp 等本机工具在 Mac 和 Linux 上复制文件。恶意软件也可能会使用 SMB 和其他文件共享协议在企业内部网络中横向移动。
从入侵生命周期角度分析,该攻击手法被使用在攻击和利用阶段。
从攻击行为链条的上下文来看，针对容器逃逸输入输出如下
输入：攻击者控制了内部网络中多台主机
1、攻击者利用smb在windows服务器之间共享攻击工具或传播恶意软件
(1)、攻击者获得了两台windows服务器权限，利用smb在两台服务器之间传输攻击工具
(2)、右击需要共享的文件夹，选择属性栏，点击共享按钮
(3)、选择everyone，点击共享
(4)、再点击高级共享，勾选共享此文件夹，点击确定
(5)、登录另一台windows服务器，打开一个文件夹，在文件目录栏其中输入\ip地址
(6)、输入账号密码后即可查看共享文件
2、攻击者利用rsync在linux服务器之间共享攻击工具或传播恶意软件
(1)、在一台linux服务器上新建一个目录
(2)、将攻击文件夹拷贝到该目录下
(3)、利用rsync将/tmp/test/attack/传输到远程linux服务器下/tmp/test1目录
(4)、输入远程服务器的密码
(5)、成功传输到远程服务器
3、攻击者利用sftp在linux服务器之间共享攻击工具或传播恶意软件
(1)、利用sftp连接到远程服务器
(2)、输入密码(ssh密码)后成功连接
(3)、sftp连接后允许使用ls、pwd、cd、put、get等命令
(4)、首先创造一个同名目录
(5)、之后利用put -r 攻击工具目录命令将工具上传到目标服务器、
(6)、成功上传
(7)、也可通过get命令传输攻击工具文件夹
原文始发于微信公众号（第59号）：《入侵生命周期细分实践指南系列》：横向工具传输攻击
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论