《入侵生命周期细分实践指南系列》:异常凭证攻击

admin 2022年11月4日10:55:51安全闲碎评论7 views1910字阅读6分22秒阅读模式

美创科技为了更好地进行入侵检测和防御,参照各种安全威胁框架和自身的实践与思考,提出了基于入侵生命周期的攻击管理模型,作为美创新一代安全架构的三大支柱之一。

入侵生命周期v1.0把入侵过程划分为7个阶段:探索发现、入侵和感染、探索感知、传播、持久化、攻击和利用、恢复。入侵生命周期v1.0同样以ATT&CK作为基本战术知识库,匹配到不同的入侵阶段。需要注意的是,并非所有的入侵都会经历这7个阶段,也没有绝对的线性次序。

1)探索发现

在这个阶段中,攻击者会先锁定攻击对象,然后利用某些技术手段,尽可能多地获取目标暴露出来的信息,如通过端口扫描、指纹探测等方式,发现敏感端口及版本信息,进而寻找攻击点,为下一步入侵做准备。

2)入侵和感染

在这个阶段,攻击者会根据“探索发现”阶段所发现的重要信息,来对目标暴露出的攻击面进行攻击尝试,在“探索发现”阶段收集到的信息越多,攻击对象所暴露的攻击面也就越多,攻击更易成功。

3)探索感知

攻击者在成功进入系统内部后,由于是首次进入所以会出现对内部环境不熟悉的情况,这时攻击者的动作一般会是对当前所处环境进行探索,摸清内部大致的网络结构,常常伴随着被入侵本机的敏感信息收集以及对内网大量的端口进行扫描,后续根据攻击者的目的进行下一步操作。

4)传播

在此阶段,攻击者根据上一阶段在内网探索感知收集到的信息,选择特定的攻击手法。如若发现内部是域环境,攻击者可能会尝试先攻破域控服务器,再传播其他机器。若是工作组环境,可能会利用收集到的端口和服务信息,选择特定漏洞进行批量扫描攻击,来尽可能多地继续获得其他计算机的控制权。

5)持久化

攻击者在对资产进行恶意操作后,为了能够减少再次连接的攻击成本,方便下次进入,会进行“留后门”的操作,常见的后门如:建立计划任务,定时连接远程服务器;设置开机启动程序,在每次开机时触发执行特定恶意程序;新建系统管理员账号等。这样便于攻击者下次快速登录并控制该系统。

6)攻击和利用

攻击者在此阶段便会开始对目标资产进行恶意操作,按照攻击者意愿,对能利用的数据进行窃取、利用;对操作系统、敏感文件进行破坏、删除。所有的防御手段都应该极力阻止攻击者进行到这一阶段。

7)恢复

攻击者在执行所有的攻击操作时,往往会在系统上留下大量的行为日志,因此在这一阶段,攻击者会对记录自身痕迹的所有日志进行处理,或删除或混淆,从而消灭证据,逃避追踪。


本系列文章基于美创科技入侵生命周期1.0架构,细分各阶段攻击者的常用攻击手段,并对相关攻击手段的具体实施方式进行逐一剖析,为安全防御建设提供有力知识补充和反制准备。







  异常凭证攻击(攻击和利用)

攻击者可能会搜索受感染的系统以查找和获取不安全存储的凭据。这些凭据可以存储或错放在系统中的许多位置,包括smb共享、纯文本文件(如Bash History)、操作系统或特定应用程序的存储库(例如注册表中的凭据、数据库)中。

从入侵生命周期角度分析,该攻击手法被使用在攻击和利用阶段。

从攻击行为链条的上下文来看,针对不安全凭证输入输出如下


输入:攻击者成功获得一台服务器权限

输出:攻击者在服务器上搜索不安全存储的凭证

针对不安全的凭证,可选择攻击手法如下

1. 攻击者获取一台windows主机管理员以上权限,利用Mimikatz获取在主机凭证

(1)、攻击者获取一台windows主机的管理员权限

《入侵生命周期细分实践指南系列》:异常凭证攻击

(2)、运行Mimikatz

《入侵生命周期细分实践指南系列》:异常凭证攻击

(3)、获取到账户liuxxxxx的ntlm hash和明文密码

《入侵生命周期细分实践指南系列》:异常凭证攻击

2、攻击者通过弱口令登录一台windows主机,在共享文件夹中发现凭证信息

(1)、攻击者通过弱口令登录一台windows主机

《入侵生命周期细分实践指南系列》:异常凭证攻击

(2)、查看共享文件夹

《入侵生命周期细分实践指南系列》:异常凭证攻击

(3)、打开WIN-U47H24IA2Q5主机,发现不需要密码即可进入共享文件夹

《入侵生命周期细分实践指南系列》:异常凭证攻击

(4)、查看信息文件夹,该文件夹中存在文本文件信息.txt

《入侵生命周期细分实践指南系列》:异常凭证攻击

(5)、打开该文本文件,其中存在其他服务器的明文凭证

《入侵生命周期细分实践指南系列》:异常凭证攻击

3、攻击者获得一台linux主机权限,在.bash_history文件中发现凭证信息

(1)、攻击者获得一台linux主机权限

《入侵生命周期细分实践指南系列》:异常凭证攻击

(2)、查看/root/.bash_history文件

《入侵生命周期细分实践指南系列》:异常凭证攻击

(3)、在.bash_history文件中发现存在凭证信息

《入侵生命周期细分实践指南系列》:异常凭证攻击

4、攻击者获得一台linux主机权限,在某目录下发现ssh密钥文件,利用密钥文件登录其他linux主机

(1)、攻击者获得一台linux主机权限

《入侵生命周期细分实践指南系列》:异常凭证攻击

(2)、在服务器上查找密钥文件

《入侵生命周期细分实践指南系列》:异常凭证攻击

(3)、进入查找到的第一个目录下

《入侵生命周期细分实践指南系列》:异常凭证攻击

(4)、查看目录中的文件,发现可能存在ssh私钥id_rsa

《入侵生命周期细分实践指南系列》:异常凭证攻击

(5)、使用该文件登录192.168.254.145

《入侵生命周期细分实践指南系列》:异常凭证攻击

(6)、成功登录

《入侵生命周期细分实践指南系列》:异常凭证攻击

《入侵生命周期细分实践指南系列》:异常凭证攻击

《入侵生命周期细分实践指南系列》:异常凭证攻击

原文始发于微信公众号(第59号):《入侵生命周期细分实践指南系列》:异常凭证攻击

特别标注: 本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微信公众号
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年11月4日10:55:51
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                  《入侵生命周期细分实践指南系列》:异常凭证攻击 http://cn-sec.com/archives/1390370.html

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: