红蓝对抗之近源渗透

文｜腾讯企业IT部 安全运营中心 yyf

红蓝对抗原本是一个军事概念，指在部队模拟对抗时，专门成立一个扮演假想敌的部队（蓝军）与我方正面部队（红军）进行对抗性演练。在信息安全领域中的红蓝对抗也是类似的思路，一方扮演黑客，另一方扮演防守者进行网络安全攻防演练。在演练过程中，蓝军模拟真实的攻击来评估企业现有防守体系的安全能力，红军对发现的问题做出相应的优化整改。通过周期性的红蓝对抗攻防演习，持续性地提高企业在攻击防护、威胁检测、应急响应方面的能力。

需要注意，国外流行使用Red Team（红队）代表攻击方，Blue Team（蓝队）代表防守方。

在《黑客大揭秘：近源渗透测试》书中，笔者将近源渗透定义为“指测试人员靠近或位于测试目标建筑内部，利用各类无线通信技术、物理接口和智能设备进行渗透测试的方法总称”。

用通俗的话来讲，就是通过乔装、社工等方式实地物理侵入企业办公区域，通过其内部各种潜在攻击面（如Wi-Fi网络、RFID门禁、暴露的有线网口、USB接口等）获得“战果”，最后以隐秘的方式将评估结果带出上报，由此证明企业安全防护存在漏洞。

可以直观地感觉到，近源渗透与传统渗透测试的主要区别体现在对“边界”的理解上。在通过外网网络入口入侵企业这条路上，将面对防火墙、入侵检测等重重防御措施，攻击门槛逐渐变高。而在近源渗透的场景中，由于测试人员位于目标企业附近甚至建筑内部，这些地方往往存在大量被企业忽视的安全盲点。我们可以根据目标的网络状态、现场环境、物理位置等因素灵活地更换渗透测试方式，这也更接近渗透测试的本质。

如果做完整的攻击面分析，近源渗透可以涉及到的测试对象会非常多，包括WiFi、蓝牙、RFID、ZigBee、蜂窝、Ethernet等等各类物联网通信技术，甚至包括智能设备的嵌入式安全。在本文中，笔者将挑选其中较为通用且容易在红蓝对抗中实施的近源渗透技术进行探讨。

在过去很长一段时间里，由于没有明显的竞争对手，人们普遍把无线安全用作Wi-Fi安全的同义词，把无线网络等同于Wi-Fi，下文中笔者将延续使用此习惯。

如今，无线网络已经事实上成为了企业移动化办公的重要基础设施，但由于普遍缺乏有效管理，部署与使用人员的安全意识和专业知识的不足，导致AP分布混乱，设备安全性脆弱，无线网络也越来越多地成为黑客入侵企业内网的突破口。正因为如此，笔者在《近源渗透测试》一书中花了大量笔墨用于描述基于无线网络的安全攻防，无线渗透是目前近源渗透中的主要测试手段。

在笔者之前的工作中，曾对军工、能源、金融、政企、电信等各种类型的行业客户做过大量的无线渗透测试服务，发现各单位对无线安全的建设都处于相对模糊和薄弱的阶段，主要反应在三块：

1. 不知道内部有多少无线热点

企业内部存在的热点，从“是否由AP下发”和“使用目的”的角度，可分为以下几类：

 2. 不知道黑客具体的攻击手法

从无线攻击的目标来看，可以分为三类：

这些目标可能会同时出现，比如先攻击无线终端获取凭据，再使用凭据连入网络。针对相应的目标，黑客会采取对应具体的攻击手法。

3. 不知道如何做无线防护

在不知道前两点的前提下，就不可能做得好防护。

了解内部存在哪些无线热点其实就是在梳理暴露的攻击面，如果对此没有清晰的认识，在这种基础上做的无线安全防护就如同“马其诺防线”一样，一打就穿。

笔者曾受邀对一个大型金融企业做无线安全检测，由于行业的敏感性同时他们高层领导对无线网络不安全有清醒的认识，于是采取了不部署任何无线网络的策略。初看下，连无线网络都没部署，自然就不会面对无线威胁。而事实是，笔者在该企业移动端开发团队所在区域，发现了一个由mac办公机共享出来的私建热点，破解密码连上网络后，就拥有了办公机同样的访问权限，直通内网。这样一个简单的私建热点就把想象中“无懈可击”的无线防护策略打破了。

从无线攻击的目标来思考，会发现获取无线网络访问权限仅是其中之一。我知道现在的企业级AP基本都自带了钓鱼热点防护功能，那员工拿到公共场所使用怎么防钓鱼热点呢。移动化办公是不可逆的浪潮，我们就得假设员工一定会在钓鱼热点环境下办公，基于这种假设提出的防护策略才能扛得住真实攻击。

对于另外一个目的“破坏无线基础设施”可以想象这样一个场景：由于移动化办公的普及，大家都习惯使用笔记本设备来干活，假设在关键时期攻击者在目标团队工位偷偷放置一个无差别全阻断的盒子进行Wi-Fi Deauth攻击，让受害者的运营能力在短时间内极具降低。那么是否能结合AP日志建立一套及时发现Wi-Fi Deauth攻击，物理定位，现场排查可疑人员/设备的机制？在极端情况下，这些笔记本是否可以快速通过网线接入网络恢复办公能力？

企业无线安全体系建设是一个包含技术与管理的庞大话题，为了不过于偏离主题这里仅作举例不再近一步展开。虽然这部分内容是以防守方视角写的，但了解到防守方的痛点与难点后，可以为攻击测试方向指明道路。“道”清晰了，“器”和“术”的积累只是时间问题。

HID（human interface device）指键盘、鼠标与游戏标杆等这类用于为计算机提供数据输入的人机交互设备。攻击者可以将特殊的USB设备模拟成为键盘，一旦连接上计算机就执行预定的恶意操作，这便是HID攻击。

在过去十年间，出现了Teensy、USB Rubber Ducker、BadUSB、BashBunny、WHID等等不同形式、各具特色的HID攻击设备，它们通过DEFCON、BlackHat等安全会议和新闻媒体向外宣传，无论是业内、业外都对这种攻击手法具有一定了解和防范意识。笔者将介绍两种较为有隐蔽性的HID攻击手段，以贴近在真实环境下的攻击场景。

1. 利用Android设备执行HID攻击

这种方式的优势是显而易见的，可以便捷地在手机上切换和修改攻击指令，自带电源免去了从插入到发动攻击前这段不短的初始化时间，极大提高了攻击隐蔽性。当然，这对Android设备有一定的要求，需要root同时内核要打入USB HID补丁

(https://github.com/pelya/android-keyboard-gadget)。

笔者喜欢使用Kali Linux Nethunter来部署该攻击工具。NetHunter是一个基于Android的开源渗透测试平台，由 Kali Linux 社区与 Offensive Security 共同创建，系统中包含大量 Kali Linux 中的渗透测试工具，还支持 802.11帧注入、HID 攻击、MANA恶意热点攻击等。利用其中的DuckHunter HID工具，编写好USB Rubber Ducky格式的脚本后，将该Android设备与目标计算机相连，随后便会模拟成键盘进行输入。

从插入电脑到恶意操作执行完所需时间不过几秒，这可以帮助你给那些离开工位不锁屏的同事好好上一课。

2. USBNinja

前面把Android手机改造成了HID攻击设备，而USBNinja更加过分，伪装成一条数据线。

它拥有与普通数据线一致的外观，并且可以像正常数据线一样进行充电和传输数据。而一旦接收到遥控器或手机APP的指令时，它就会执行预设好的攻击指令，模拟键盘输入或鼠标点击进行攻击。

在最近更新的USBNinja Pro版本中进行了近一步加强，所有配置过程可在手机APP上进行，同时拥有更快的USB2.0打字速度、自毁模式清除固件、自动检测大写锁定、支持BLE5.0等新功能，还增加了键盘、鼠标等新外形。

Pro版的USBNinja数据线售价为468元，虽然价格较贵，还是推荐蓝军同学们至少购买一套以用作向老板们进行风险演示或员工安全意识教育的工具。我们也许会怀疑U盘、怀疑手机，但实在很难对一根能充电的数据线产生怀疑。

LockPicking指开锁的艺术。在DEFCON大会上历来就有一个LockPicking Village展区来教参会者开锁技巧，尽管撬锁经常被与犯罪联系起来，但开锁技巧也可以被当做一项有用的生活技巧来学习，更或者仅仅作为一种爱好。在全球大多数的城市中，只要不将它用作犯罪目的，学习开锁技术都是可行且合法的。

2017年，在笔者和小伙伴们组织的DC010深圳站沙龙上，便将LockPicking Village第一次引进到国内，现在已经成为DEFCON GROUP国内各本地化社区的热门演示项目。LockPicking Village的目的在于让我们了解到不同锁类的安全性，以便在今后的生活中挑选购买安全性更高的锁具。

之所以在这里提到锁具安全，是因为笔者在各种企业内部看到太多敏感区域的门锁仅使用了A级或B级的锁芯，这两种安全等级的锁芯极易被撬开。比如笔者曾在某一企业内发现，所有楼层的弱电井门使用的都是A级锁，利用单勾形式的便携工具即可轻松打开，而门后便是多台交换机和服务器设备，风险可想而知。

这里的潜入是指在未授权情况下进入目标区域，同样是个与Cyber Security无关却很有趣的话题。考虑到话题敏感性，以下内容读者请认为是虚构，如有雷同纯属巧合。

这些案例都反应出一个共同点，正门是严格审核的区域，但对于员工通道、消防通道、货梯、地下车库等“隐藏入口”，往往就处于安保薄弱区域。对于近源渗透人员，能越近一步地进入目标内部，意味着发现问题的可能性越大。

近源渗透并不是一个新出现的概念，以前也有“抵近攻击”、“物理渗透”等说法，但相比于10 年前，近源渗透的测试对象增加了更多无线通信方面的技术。这是因为随着物联网 （IoT）的蓬勃发展，企业内部出现了各种形式的智能设备，如蓝牙键盘鼠标、无线打印机、智能照明、智能摄像头、智能电视、智能音箱等等，这个名单在持续增长。甚至在电梯、自动售货机、中央空调或其他基础设施中，也配套使用了物联网技术，它们通过 Wi-Fi、蓝牙、ZigBee、NFC 或其他无线技术进行通信。

对于企业而言，物联网设备的特性给企业带来了严重的安全挑战。各式各样的设备外观，配备各式各样的传感器组件，采用不同的无线通信技术，运行于不同的操作系统和CPU架构中。它们大部分都没有固定的安全配置，没有用户交互界面，也无法安装安全软件或代理以便于管控。传统的安全实践，如防火墙、反恶意软件或其他安全解决方案在面临来自物联网的安全威胁时是不够的，IT 管理人员甚至只能发现企业内 40%的设备，像员工带来的智能设备等都处于企业管理视野的盲区，更无从谈起如何保护它们，而它们可能已经通过某种形式接入了企业内网。

对于潜在的攻击者来说，以这些物联网设备作为渗透切入点是十分具有想象空间的：

可以预见，越来越多的公司和团队会希望红蓝对抗等攻防演习活动能覆盖到企业的物联网环境，挖掘近源环境下的潜在安全威胁。这些新的需求依旧需要常规的安全服务团队来满足，实际上这就要求我们的渗透测试从业人员掌握更多的近源渗透技术以应对相关的攻防需求。

对于更广泛的信息安全研究人员，近源渗透也将是无线通信安全、物联网安全、物理安全、社会工程学等安全领域将攻防理论进行落地实践的最佳场景。

前不久，笔者从之前以安全研究为主的工作，转向加入到腾讯企业IT部·安全运营中心这个更贴近业务的安全团队，其中的主要动机之一便是希望自己在无线安全、物联网安全上积累的攻防理念可以有机会在TOP规模的互联网办公场景中进行落地。

腾讯企业IT部肩负着为腾讯内部所有员工提供安全、稳定、高效的办公基础设施的使命，安全运营中心作为其中的安全保障团队，也希望能在即将来临的万物互联、智能办公的浪潮中，保护员工和办公基础设施免受来自各种场景的安全威胁，助力办公安全能力的持续提升。

从笔者个人观点来看，各类无线网络因其本身的移动性和灵活性，无线覆盖区域内的任何用户都有可能接入或监听数据，基于无线层面的身份认证最终都有可能被绕过。无线通信技术在企业中的流行将不可避免地瓦解传统基于网络边界的授信策略，以近源渗透场景可能涉及的种种攻击途径为例，可以发现：要想更好地应对来自全方位的安全威胁，需要做到“确认用户身份”、“控制设备网络权限”、“确认设备安全配置”、“确认应用软件安全状态”、“通信链路全加密”等一系列管控措施。

实际上这就是零信任安全体系的标配。当我初来腾讯，头几件让我惊讶的事就是零信任在腾讯内部已经处于全面落地实践的阶段，为需要接入内网的各类平台设备都赋予了在用户身份、网络权限、安全状态等方面的管控能力。有机会在之后的文章和大家聊聊，如何用零信任安全的思路去解决企业无线安全中“钓鱼热点”、“私建热点”等安全顽疾。