text: 攻防演练大量封禁IP地址
  系统层漏洞的挖掘需要很多相对高级的漏洞挖掘方法。
  从实战角度看，以下6种挖掘方法最为实用：代码跟踪、动态调试、Fuzzing技术、补丁对比、软件逆向静态分析、系统安全机制分析。
  代码跟踪是指通过自动化分析工具和人工审查结合 的方式，对程序源代码逐条进行检查分析，发现其中的错误信息、安全隐患和规范性缺陷，以及由这些问题引发的安全漏洞，并提供代码 修订措施和建议。
  2）动态调试。
  动态调试原指程序作者利用集成环境自带的调试器 跟踪程序的运行，来协助解决程序中的错误。
  不过，对于蓝队来说， 动态调试通常是指这样一种分析方法：使用动态调试器（如OllyDbg、 x64Dbg等），为可执行程序设置断点，通过监测目标程序在断点处的输入/输出及运行状态等信息，来反向推测程序的代码结构、运行机制 及处理流程等，进而发现目标程序中的设计缺陷或安全漏洞。
  3）Fuzzing技术。
  Fuzzing技术是一种基于黑盒（或灰盒）的测试 技术，通过自动化生成并执行大量的随机测试用例来触发程序或系统 异常，进而发现产品或协议的未知缺陷或漏洞。
  4）补丁对比。
  每一个安全补丁都会对应一个或多个安全漏洞。
  通过对补丁文件的分析，往往可以还原出相应漏洞的原理或机制。
  而利用还原出来的漏洞，就可以对尚未打上相关补丁的程序或系统实施有效攻击。
  而补丁对比是实战环境下，补丁分析的一种常用的、有效的方式。
  补丁对比是指对原始文件和补丁文件分别进行反汇编，然后对 反汇编后的文件做比较找出其中的差异，从而发现潜在漏洞的一种安全分析方法。
  5）程序逆向静态分析。
  程序逆向静态分析是指对程序实施逆向工程，之后对反编译的源码或二进制代码文件进行分析，进而发现设计 缺陷或安全漏洞的一种安全分析方法。
  对于开放源代码的程序，通过检测程序中不符合安全规则的文件 结构、命名规则、函数、堆栈指针等，就可以发现程序中存在的安全 缺陷。
  被分析目标没有附带源程序时，就需要对程序进行逆向工程， 获取类似于源代码的逆向工程代码，然后再进行检索和分析，这样也可以发现程序中的安全漏洞。
  这就是程序逆向静态分析。
  程序逆向静态分析，也叫反汇编扫描，由于采用了底层的汇编语言进行漏洞分析，理论上可以发现所有计算机可运行的漏洞。
  对于不公开源代码的程序来说，这种方法往往是最有效的发现安全漏洞的办法。
  系统安全机制就是指在操作系统中，利用 某种技术、某些软件来实施一个或多个安全服务的过程，主要包括标识与鉴别机制、访问控制机制、最小特权管理机制、可信通路机制、 安全审计机制，以及存储保护、运行保护机制等。
  系统安全机制分析是指对操作系统的各种安全机制进行分析，进而发现系统设计缺陷或安全漏洞的方法。
  身份隐藏
  为避免自己的真实IP、物理位置、设备特征等信息在远程入侵的过程中被网络安全设备记录，甚至被溯源追踪，攻击者一般都会利用 各种方式来进行身份隐藏。
  在实战攻防演练中，蓝队所采用的身份隐藏技术主要有以下几类：匿名网络、盗取他人ID/账号、使用跳板机、 他人身份冒用和利用代理服务器等。
  匿名网络泛指信息接收者无法对信息发送者进行身份定位与物理位置溯源，或溯源过程极其困难的通信网络。
  这种网络 通常是在现有的互联网环境下，通过使用由特定的通信软件组成的特殊虚拟网络，实现发起者的身份隐藏。
  其中以Tor网络（洋葱网络）为代表的各类暗网是比较常用的匿名网络。
  蓝队的匿名网络能力是指使用匿名网络对目标机构发起攻击，并有效隐藏自己身份或位置信息的能力。
  2）盗取他人ID/账号。
  不过，在 实战攻防演练中，通常不允许随意盗取与目标机构完全无关人员的ID/ 账号。
  蓝队的盗取他人ID/账号能力是指盗取目标机构及其相关机构内部 人员ID/账号，以实现有效攻击和身份隐藏的能力。
  3）使用跳板机。
  使用跳板机是指攻击者并不直接对目标发起攻击，而是利用中间主机作为跳板机，经过预先设定的一系列路径对目标进行攻击的一种攻击方法。
  使用跳板机的原因主要有两方面：一是 受到内网安全规则的限制，目标机器可能直接不可达，必须经过跳板 机才能间接访问；二是使用跳板机，攻击者可以在一定程度上隐藏自己的身份，使系统中留下的操作记录多为跳板机所为，从而增加防守 方溯源分析的难度。
  蓝队使用跳板机的能力是指入侵机构内部网络，获得某些主机控制权限，并以此为跳板，实现内网横向拓展的技术能力。
  他人身份冒用是指通过技术手段欺骗身份识别 系统或安全分析人员，进而冒用他人身份完成登录系统、执行非法操作及投放恶意程序等攻击行为。
  这里所说的他人身份冒用技术不包括 前述的盗取他人ID/账号。
  蓝队的他人身份冒用能力是指使用各种技术手段冒用他人身份入侵特定系统的技术能力。
  在不使用代理服务器的情况下，联网设备会直接与互联网相连，并从运营商那里分配到全网唯一的IP地址； 而在使用代理服务器的情况下，联网设备则首先访问代理服务器，再 通过代理服务器访问互联网。
  代理服务器的设计，最初是为了解决局域网内用户连接互联网的需求而提出的，局域网内的所有计算机都通过代理服务器与互联网上的其他主机进行通信。
  被通信的主机或服务 器只能识别出代理服务器的地址，而无法识别出是局域网内的哪一台 计算机在与自己通信。
  在实战攻防演练中，蓝队使用代理服务器联网，就可以在一定程度上隐藏自己的IP地址和联网身份，增加防守方的溯源难度和IP封禁 难度。
  在某些情况下，攻击者甚至还会设置多级代理服务器，以实现 更深的身份隐藏。
  蓝队的利用代理服务器能力是指在攻击过程中，使用一级或多级 代理服务器实现身份隐藏的能力。
  内网渗透是指在蓝队已经完成边界突破，成功入侵政企机构内部 网络之后，在机构内部网络中实施进一步渗透攻击，逐层突破内部安全防护机制，扩大战果或最终拿下目标系统的攻击过程。
  在实战攻防 演练中，蓝队比较实用的内网渗透能力包括工作组或域环境渗透、内 网权限维持/提权、横向拓展、数据窃取和免杀等。
  1）工作组、域环境渗透。
  工作组和域环境都是机构内部网络结构 的基本概念。
  工作组通常是指一组相互联结、具有共同业务或行为属性的终端（计算机）集合。
  组内终端权限平等，没有统一的管理员或 管理设备。
  通常来说，工作组的安全能力上限取决于每台终端自身的安全能力。
  域环境则是由域控服务器创建的，具有统一管理和安全策略的联网终端的集合，域控服务器和域管理员账号具有域内最高权限。
  通常来说，域环境的安全性要比工作组高很多，但如果域管理员
  账号设置了弱口令或者域控服务器存在安全漏洞，也有可能导致域控 服务器被攻击者劫持，进而导致域内所有设备全部失陷。
  出于安全管理的需要，大型机构的内部网络一般都会被划分为若干个域环境，不同的域对应不同的业务和终端，执行不同的网络和安全管理策略。
  而在一些网络管理相对比较松散的机构中，内网中也可能只有若干个工作组，而没有域环境。
  蓝队的工作组、域环境渗透能力是指掌握内网环境中工作组或域 环境的运行管理机制，发现其中的设计缺陷或安全漏洞，并加以利用 实施攻击的能力。
  2）内网权限维持/提权。
  攻击者通常是以普通用户的身份接入网络系统或内网环境，要实现攻击就需要提升自身的系统权限，并且使 自身获得的高级系统权限能够维持一定的时间，避免被系统或管理员 降权。
  提升系统权限的操作简称提权，维持系统权限的操作简称权限
  在实战环境下，系统提权的主要方式包括本地提权、利用系统 漏洞提权、利用应用漏洞提权、获取密码/认证提权等。
  蓝队的内网权限维持/提权能力是指在内网环境中，利用各种安全 设计缺陷或安全漏洞，提升自己的系统权限以及维持提权有效性的技术能力。
  3）横向拓展。
  横向拓展通常是指攻击者攻破某台内网终端/主机 设备后，以之为基础，对相同网络环境中的其他设备发起的攻击活动，但也常常被用来泛指攻击者进入内网后的各种攻击活动。
  蓝队的横向拓展能力是泛指以内网突破点为基础，逐步扩大攻击 范围，攻破更多内网设备或办公、业务系统的技术能力。
  4）数据窃取。
  对机密或敏感数据的窃取，是实战攻防演练中最常见的预设目标之一，也是黑客针对政企机构的网络攻击活动的主要目的之一。
  一般来说，机构内部的很多办公系统、业务系统、生产系统 中会有专门的服务器或服务器集群用于存储核心数据，数据服务器的防护一般会比其他网络设备更加严密。
  蓝队的数据窃取能力是指熟练掌握服务器的数据库操作，在内网 中找到机构的核心系统数据服务器，获取服务器访问或管理权限，在 防守方不知情的情况下将数据窃取出来并秘密外传的技术能力。
  5）免杀技术。
  免杀（Anti Anti-Virus）是高级的网络安全对抗 方式，是各种能使木马病毒程序免于被杀毒软件查杀的技术的总称， 可以使攻击者编写的木马病毒程序在目标主机上秘密运行，不被发现。
  免杀技术要求开发人员不仅要具备木马病毒的编写能力，还需要对各种主流安全软件的运行框架、杀毒引擎的工作原理、操作系统的底层机制、应用程序的白利用方式等有非常深入的了解，并能据此编写对抗代码。
  使用免杀技术，对于蓝队人员的基础能力要求非常之高。
  蓝队的免杀技术能力是指编写木马病毒程序实现免杀的技术能力。
  掌握CPU指令集
  CPU指令集，即CPU中用来计算和控制计算机系统的一套指令的集合。
  每一种CPU在设计时都会有一系列与其他硬件电路相配合的指令系统。
  指令系统包括指令格式、寻址方式和数据形式。
  一台计算机的指令系统反映了该计算机的全部功能。
  机器类型不同，其指令集也不同。
  而蓝队人员对CPU指令集的掌握程度，将直接决定蓝队进行系统层 漏洞挖掘与利用的能力水平。
  目前，最为常见的CPU指令集有x86、 MIPS、ARM和PowerPC。
  1）x86。
  x86一般指英特尔x86。
  x86指令集是英特尔为其CPU专门 开发的指令集合。
  2）MIPS。
  MIPS（Microcomputer without Interlocked Pipeline Stages，无互锁流水级微处理器）技术是MIPS公司（著名芯片设计公司）设计开发的一系列精简指令系统计算结构，最早是在20世纪80年代初期由斯坦福大学Hennessy教授领导的研究小组研制出来的。
  MIPS 由于授权费用低，被英特尔外的大多数厂商使用。
  通过分析MIPS指令 集可以找到除英特尔外大多厂商（多见于工作站领域）的软件或系统 运行机制，从而通过指令实现底层攻击。
  3）ARM。
  ARM（Advanced RISC Machines），即ARM处理器，是英国Acorn公司设计的第一款低功耗RISC（Reduced Instruction Set Computer，精简指令集计算机）微处理器。
  ARM指令集可以分为跳转指令、数据处理指令、程序状态寄存器处理指令、加载/存储指令、协处理器指令和异常产生指令六大类。
  4）PowerPC。
  PowerPC（Performance Optimization With Enhanced RISC-Performance Computing）是一种精简指令集架构的中央处理器，其基本的设计源自POWER架构。
  POWER架构是1991年由AIM联盟（Apple、IBM、Motorola）发展出的微处理器架构。
  PowerPC处理器 有广泛的实现范围，从高端服务器CPU（如Power4）到嵌入式CPU市场 （如任天堂游戏机）。
  但自2005年起，苹果旗下电脑产品转用英特尔 CPU。
  高级安全工具
  高级安全工具同样是蓝队的必修课，只不过这些工具对于使用者 有更高的基础技能要求，初学者不易掌握。
  在实战化环境中，最常用的工具有IDA、Ghidra、Binwalk、OllyDbg、Peach Fuzzer等。
  1）IDA。
  IDA是一个专业的反汇编工具，是安全渗透人员进行逆向 安全测试的必备工具，具有静态反汇编和逆向调试等功能，能够帮助 安全测试人员发现代码级别的高危安全漏洞。
  2）Ghidra。
  Ghidra P-Code是专为逆向工程设计的寄存器传输语言，能够对 许多不同的处理器进行建模。
  3）Binwalk。
  Binwalk是一个文件扫描、提取、分析工具，可以用来识别文件内包含的内容和代码。
  Binwalk不仅可以对标准格式文件进行分析和提取，还能对非标准格式文件进行分析和提取，包括压缩文件、二进制文件、经过删节的文件、经过变形处理的文件、多种格式 相融合的文件等。
  4）OllyDbg。
  OllyDbg是一款强大的反汇编工具，结合了动态调试 与静态分析等功能。
  它是一个用户模式调试器，可识别系统重复使用的函数并将其参数注释。
  OllyDbg还可以调试多线程 ，从一个 线程切换到另一个线程、挂起、恢复和终止，或改变它们的优先级。
  5）Peach Fuzzer。
  Peach Fuzzer是一款智能模糊测试工具，广泛 用于发现软件中的缺陷和漏洞。
  Peach Fuzzer有两种主要模式：基于 生长的模糊测试和基于变异的模糊测试。
  编写PoC或EXP等高级利用
  前文已经介绍了PoC和EXP的概念，这里不再赘述。
  相较于针对Web 应用和智能硬件/IoT设备编写PoC或EXP，针对各种类型的和安全设备编写PoC或EXP要更加困难。
  高阶能力中，比较受关注的操作 系统平台有Android、iOS、Linux、macOS。
  Android是由谷歌公司和开放手机联盟 领导及开发的操作系统，主要用于移动设备，如 和平板电脑 上。
  iOS是由苹果公司开发的移动 ，主要用于iPhone、iPod touch、iPad上。
  这里iOS平台代码能力代指在 iOS操作系统上找到漏洞并利用漏洞编写PoC或EXP的能力。
  这里 Linux平台代码能力代指在Linux操作系统上找到漏洞并利用漏洞编写 PoC或EXP的能力。
  macOS是由苹果公司开发的 ，主要用于Macintosh系列电脑上。
  macOS的架构与Windows不同，很多针对 Windows的电脑病毒在macOS上都无法攻击成功。
  在实战化环境中，经常会使用的网络 和系统有IP密码 机、安全路由器、线路密码机、防火墙、安全服务器、公开密钥基础 设施（PKI）系统、授权证书（CA）系统、安全操作系统、防病毒软件、网络/系统扫描系统、入侵检测系统、网络安全预警与审计系统 等。
  网络安全设备本身也会存在各种各样的安全漏洞，在近年来的实战攻防演练中，对此类漏洞的利用越来越多。
  这里网络安全设备代指 在各类网络安全设备中找到漏洞并利用漏洞编写PoC或EXP的能力。
  攻击队主要包含行动总指挥、情报搜集人员、武器装备制造人员、打点实施人员、社工钓鱼人员、内网渗透人员等角色。
  随着实战 攻防演练的不断深入，防守队的整体能力持续提升，这就使得攻击队 人员凭个人能力单打独斗取得胜利的希望越来越小。
  而由3～5人组成的攻击小队，通过分工协作高效完成攻击行动的模式越来越成熟。
  是否拥有团队协作的作战经验，团队中各成员分别扮演什么样的角色， 是蓝队实战化能力的重要指标。
  团队作战，成功的关键是协作与配合。
  通常来说，每支攻击队的成员都会有非常明确的分工和角色。
  在实战攻防演练中，攻击队比较 常见的角色分工主要有6种，分别是行动总指挥、情报搜集人员、武器 装备制造人员、打点实施人员、社工钓鱼人员和内网渗透人员。
  1）行动总指挥：通常是攻击队中综合能力最强的人，需要有较强的组织意识、应变能力和丰富的实战经验。
  负责策略制订、任务分发、进度把控等。
  2）情报搜集人员：负责情报侦察和信息搜集，搜集的内容包括但不限于目标系统的组织架构、IT资产、敏感信息泄露、供应商信息 等。
  3）武器装备制造人员：负责漏洞挖掘及工具编写，是攻击队的核心战斗力量，不仅要能找到并利用漏洞，还要力求在不同环境下达到 稳定、深入的漏洞利用。
  4）打点实施人员：负责获取接入点，进行Web渗透等。
  找到薄弱 环节后，利用漏洞或社工等方法，获取外网系统控制权限；之后寻找 和内网连通的通道，建立据点（跳板）。
  5）社工钓鱼人员：负责社工攻击。
  利用人的不足或安全能力不足等弱点，实施社会工程学攻击，通过钓鱼邮件或社交平台等进行诱骗，进而打入内网。
  6）内网渗透人员：负责进入内网后的横向拓展。
  利用情报搜集人员的情报结合其他弱点来进行横向拓展，扩大战果。
  尝试突破核心系统权限，控制核心任务，获取核心数据，最终完成目标突破工作。
  更多相关内容HW2021攻防演练经历碎碎念。
  整个HW中，大家的处理流程应该都差不多吧，第一次参与大型攻防演练，简单梳理一下思路备忘：监控告警---事件分析---事件处置---溯源反制
  事件处置环节：1、及时隔离止损，防止攻击扩散；2、根据分析结果，排查影响范围，识别同类攻击。
  反制溯源环节：1、打击黑产菠菜等，得分为主；2、溯源攻击者，防守得分。
  事件分析就是要弄清楚：谁做了什么事？
  攻击是否成功？
  即使是其他类型的事件或告警，一般也需要拿到相应信息。
  3、 理清事件： 如果源头IP能联系到对应人员，直接进行沟通询问，是快速理清事件的方式。
  如果联系不到人，又是我方可控资产，直接进行快速隔离，上机排查处置。
  3、 攻击确认： 在确认是外部攻击行为后，需要确定攻击是否有效。
  如果是大量扫描等行为，封禁即可；如果尝试高危漏洞利用，在需要确定对应业务系统是否存在相应漏洞，判断漏洞是否攻击成功。
  4、 移交处置： 确认是有效攻击后，需要对相关来源设备（来自内部的攻击需要，比如中毒机器）或目标设备执行上机应急处置流程。
  杀毒、网络隔离、日志分析、网络流量分析等等。
  当怀疑某个主机被入侵了，从哪些方面进行排查呢？
  我想是：【文件--->进程--->内存---流量】的核心思路， 前两者都可能被攻击者修改或消除，而内存和网络行为这个具有必然性！
  应当形成主要攻击场景的排查重点和思路，然后形成自动化脚本、应急处置工具包。
  有些防御方案，它防了攻击者，但同时也束缚了自己的手脚 在流量中发现攻击，最有效的是WAF和NET APT这类设备，但是他们都无法处理https，如果攻击者攻击这类网站，反而不容易被检测，可能是最大的防御缺陷。
  如果以后搞建设，一定要建议将证书放在Nginx服务器，后端明文流量转发，这样有利于在其后端部署WAF或其他流量检测设备，否则自己被自己的方案搞死了。
  当然，WAF也可以做证书拆卸从而检测HTTPS流量，但是对性能是很大的一个考验。
  1、公司用了某大厂的一套“无边界办公”解决方案，最初的目的是为了保证终端接入的安全。
  如果不安装该软件，设备将无法访问内部网络。
  用了一段时间后发现其本质是 【杀软+VPN】。
  HW中看到的很多告警事件，来源IP都是VPN网关，不能直接获取源IP和其对应的用户。
  必须去查询网络连接日志找出真实源IP，从而找出IP所对应的用户。
  2、之前为了防护DDoS，将一部分业务接入云环境，外部流量先通过云环境，再转发到业务地址。
  然而它的转发没有带X-Forwarded-For字段。
  无法获悉真实攻击者的地址，也无法执行IP封禁，导致大量告警，增大了人员的处理压力。
  3、“核心交换机异常登录事件”：Syslog收集日志时，经过多次转发，最原始参数日志的IP地址丢失导致误判。
  4、“IOA服务器扫描事件”：海外IOA通过加速节点，转发到国内，当海外扫描IOA时，看到的攻击IP其实是加速节点的IP，而非原始攻击IP导致误判。
  这些事件虽然最后都能分析出来，但是都花费了大量的精力和时间，都充分说明“真实来源IP”在事件分析中的重要性，在安全建设过程中需要注意。
  为了能够开始进行事件调查分析， 打通整个网络请求路径是很有必要的 ，尤其涉及各种转发，代理的时候。
  本次HW才接触到HIDS，只能说个大致，如有错误请指出。
  接触后，处理了2个问题：
  1、hids反弹shell规则的白名单存在问题，可能直接反弹外网的记录都被加白了。
  2、通过console 比如bash 执行的可疑命令操作记录功能失效，无任何记录。
  1、公司以前的实现方式，通过一个logger的程序，通过命令行实现日志上报，有2个问题：A、上报的命令行会再次触发以前的报警。
  B、上报程序需要登录后才会执行！
  2、后续采用HIDS的命令行审计功能，它的基本原理是修改bash程序，让bash程序实现命令历史记录上报。
  遇到2个有意思的case：1、通过漏洞直接执行危险命令（whoami、cat /etc/passwd、ifconfig等）没有被检测出来，反而是反弹shell的base64编码行为被检测到。
  2、另外一次检测出webshell，不是因为包含了危险函数，反而是因为这个文件进行了全文Unicode编码。
  这个检测思路，虽说简单粗暴，还真有用。
  1、检测的基本思路类似于静态源码扫描，查的是关键函数和关键命令等。
  绕过思路当然就是尽量避免 start().getInputStream 等关键词的出现，进行一些变形处理。
  2、webshell要执行系统命令，必然要调用linux shell，如上所言，原理是替换了shell程序实现审计的。
  那么我们的绕过思路也就明晰了，常用调用其他不同的shell
  Bourne Shell（/usr/bin/sh或/bin/sh）
  3、HW中发现的一个问题，现在还没弄明白。
  webshell调用sh shell执行系统命令，没有被记录。
  安装厂商的说法，如果/bin/sh是/bin/bash的软链接，应该是可以被记录的，但实际上确实没有被记录。
  截止写这个文章的时候，还没有弄明白。
  1、梭子鱼沙箱检测，附件压缩包加密码可以绕过梭子鱼的检测，中招的一次攻击就采用这个手法。
  2、收件人检测，如果目标收件人中存在一定比例的不存在用户，即可认为是钓鱼邮件，比如有20%不存在。
  3、发件人规则，如果之前未见过这个发件人，也可以进行报警。
  4、钓鱼邮件、攻击者的思路也可以扩展。
  先发钓鱼邮件，然后发“反钓鱼”主题的钓鱼邮件。
  这种可能更容易中招---来自大佬们的思路。
  外部的信息收集，一般难以判断邮箱是否存在，所以这个规则其实是很有用的。
  作为防守方，可以故意散播一些特定的邮箱地址并且进行记录，一旦收件人中存在这些邮箱地址即可报警。
  这些邮箱收到的垃圾邮件、钓鱼邮件，还可以作为分析样板进行分析记录。
  妥妥的一个“邮件蜜罐系统”。
  这次HW中，chrome的RCE是影响挺大，微信存相同问题，内部通讯工具也存相同问题，这是二进制的天地；钓鱼邮件中附件的分析也需要二进制的功底，光靠在线沙箱是不够的，攻击者也在进步，会有防沙箱，防反汇编的措施出现。
  可以预见，如果HW持续开展，以后二进制的需求会有比较大的增加。
  之前了解到的案例，和这次演练中的案例，都告诉我们，攻击者需要尽量少地暴露自己的信息1、不要使用自己的vps、xss平台、dnslog平台、博客服务器去做任何攻击
  2、自己的扫描攻击和脚本不要包含自己的ID
  3、最好能够在进行攻击之前，使用可靠的社工库查一查自己的信息，做到心里有数
  4、最好能利用威胁情报平台，完成一次自己对自己的“溯源”。
  漏洞发现应尽量避免带有攻击性payload，减少探测被发现的可能1、首先考虑流量分析、组件版本分析、错误信息分析等
  2、其次考虑URL类型的探测
  3、最后考虑PoC、EXP类型的探测
  漏洞利用工具应该具备：
  1、代理功能，便于观察攻击请求进行debug；
  2、最好有一定的绕waf、换动态代理服务器等隐藏攻击行为的能力
  3、图形化操作
  5、攻击payload如果能加密进行加密、能对常规payload进行变换的进行变幻
  1、梳理各个组件的漏洞、最好能明晰版本、利用条件等 1、我目前使用dnslog的方法是，将目标站点的ip或域名作为了dnslog的子域名。
  2、这种方式如果被防守方获取到所有的dns流量，那么成功的攻击行为将被完全暴露。
  3、改进方式：使用随机子域名，但是自己要建立 随机串和目标和域名之间的管理关系
  内网看到的请求，多半都是经过多次转发的，而攻击流量最开始就带有一个假的X-Forwardeded-For记录。
  如果防御方没有认真分析，那么是有可能逃避真实原地址被封禁的。
  当然现在攻击队的基础设施也很强大，这个点可能根本用不上。
  80%的事件，查出来是自己人，如果平常能够进行足够的分析和优化，正式HW中就能降低噪音，减少感染！
  有条件的话，日常运营搞起来。
  HW中有2起啼笑皆非的事：网络安全部的同事给公司员工打电话，发消息，被认为是骗子是攻击者；某监控负责人中招钓鱼邮件。
  要的不是告诉他们“你要注意别被骗，别点，别接，别相信”。
  而是要教“如何识别、如何判断”。
  但是人都有惰性，你教了对方不一定听，听了不一定定听进去了，这还真是个难事~
  一个明显的感受，在知道详细原理的情况下，任何的防御都有可能找到缺点。
  攻防中的一个悖论：越是大众化的、流行的手法，越容易被检测，避免检测就要有自己独特的方式。
  但是反过来，越是独特的方式又越容易被定位溯源。
  在 防护期间，工作组每天定时召开防守工作例会，各岗位、各单位汇总 和分析当天攻击事件，对攻击手段、 封禁IP地址 、漏洞隐患、新漏洞 等情况进行通报和处置，形成联防联控机制，只要一点发现问题，就 及时全面整改。
  本文选取了金融单位、集团公司和政府单位三个红队经典防守实例，从防守思路、重点和职责分工等方面，直观展示了如何实操红队 防守各阶段的工作及防守策略、防护手段，给不同组织和业务场景 下，分阶段、有侧重开展红队防守工作提供最佳实践案例。
  领导挂帅，高度重视本实例中红队为某金融单位。
  应对国家网络安全实战攻防演练工作不是网络安全部门一个团队的事情，也不单是 部一个部门的事情，它需要全公司多部门、多组织协同分工、联合作战。
  为加强 公司应对国家网络安全实战攻防演练工作的组织领导，保障这一工作 的稳步开展，该金融单位召开专门会议，成立了国家网络安全实战攻防演练工作领导小组。
  领导小组组长由总裁担任，副组长由IT总监担任，成员包括总部一级部门的负责人以及各子公司的总经理。
  职责明确，全员参战
  该金融单位召开了公司全系统的演练工作动员会，签订了网络安全责任书，落实了安全责任。
  它成立了安全监测组、分析研判组、应急处置组、溯源反制组、协调联络组、后勤保障组等有关工作组，并 实行24小时值班制，以实现对各类的安全监测、分析研判、 溯源反制和应急处置等。
  此外，它还要求各子公司、分公司共同开展 安全防守工作，联防联控，每日报送安全监测情况。
  如发生网络安全 事件或发现网络攻击行为，须通过电话及时报告公司攻防演练工作领导小组。
  全面自查，管控风险
  摸清资产是开展网络安全防控工作的前提。
  为此，须全面开展网络资产排查，梳理实体服务器、虚拟服务器、 、安全设备、 交易类系统、非交易类系统，形成资产台账。
  该金融单位同时梳理了交易类系统、非交易类系统的应用组件资产，并形成应用资产台账。
  相关人员可通过情报系统实时查看这些资产，并评估是否存在应用组件层的漏洞。
  （2）责任到人，落实到位
  该金融单位制订了详细的方案计划。
  通过将方案计划落实到人， 及时更新进度，做到事事有人管。
  工作计划（部分）如表10-1所示。
  表10-1 工作计划（部分）
  （3）查缺补漏，心里有底
  漏洞修复是开展网络安全防控工作的基础。
  该金融单位开展了开源组件扫描、漏洞扫描和渗透测试，建立风险动态管理台账，紧盯问题一对一整改，问题整改完成率高达90%。
  通过内部梳理网络基础设施 服务情况，关闭无用端口，切断不必要的访问渠道，梳理网上交易 区、办公区、 外连区等网络边界运行状况，有效降低了被突破 的风险。
  （4）监控无死角，心里有数
  该金融单位除了在互联网网络边界和内网重要边界部署了防火 墙、云防护、应用防火墙等常规安全防护措施外，为避免缺乏网络性能分析、网络流量溯源分析、横向攻击监测，还部署了全流量威胁感知系统，接入了网上交易、集中交易、办公网、非核心等区域的流量，并为服务器安装了主机监控系统，尽可能做到监控无死角，进一步完善公司的安全防护体系，提升安全防护能力。
  （5）攻防预演，有效验证
  攻防演练是检验网络安全防护能力的重要手段。
  攻防演练前，该 金融单位参考攻防演练规则，开展了为期7天的模拟演练。
  它通过实战 检验安全防护效果和应急处置机制，对存在的不足与问题提前发现、 提前解决，进一步完善了监测、研判、处置等各环节的协同配合能力，验证了当前网络的安全防御体系。
  （6）提升意识，杜绝社工
  为了杜绝社会欺骗利用攻击事件，该金融单位采用了管理手段与 技术手段相结合的方式。
  在管理侧，采用先培训、后考试、再模拟的方式，对员工进行了两轮防邮件钓鱼培训，并在攻防演练期间跟进情报搜集的社工手法，对员工进行邮件警惕通知。
  在技术侧，在备战阶段深入业务需求，到各部门进行详细调研，整理了办公所需的外连资源，在防火墙、上网行为管理等方面制定了严格的访问控制策略。
  除 此之外，还定期组织安全意识培训、安全意识考核，并在各楼层张贴 防钓鱼海报，播放安全意识宣传视频，成功降低了员工被社工钓鱼的风险。
  顽强作战，联防联控
  （1）坚守阵地，稳扎稳打
  公司攻防演练工作组根据该金融单位的安全防御现状，制定了 “防守为主”的作战方针。
  设立攻防演练现场指挥部，负责统一指挥 安全监测组、分析研判组、应急处置组、溯源反制组及其他机动力量。
  各组按预定战术战法，依次进行全网漏洞扫描动作缄默，监测发现快速判断快速处置，对事件分级分类，重点溯源，协同联动，跟踪 到底确保闭环，最后每日研判态势并动态调整策略。
  该金融单位演练 工作组的组织架构如图10-1所示。
  图10-1 组织架构图
  （2）重点防护
  针对核心资产，组建团队进行重点防护和监控。
  根据演练进展精准跟踪资产安全状况，及时进行综合研判分析，采取有针对性的措施 进行处置。
  特别是对参加攻防演练的目标系统部署专人盯护，确保靶 标系统能够安全运行。
  （3）联防联控
  通过日例会机制，每天总结防守得失，分析研判每日态势，动态 调整防守策略和防守重点，调配机动力量，确保演练目标安全。
  1）责任分工清晰。
  为解决过往编制报告工作分散研判专家过多时间与精力的问题，单独设置了报告编制岗位，从而充分解放研判专家，使研判专家能够更加专注于事件分析与技术研判工作，极大地提高作战效率。
  2）监测研判协同。
  改变过往安全监测人员与分析研判人员无法及时沟通，导致安全事件信息传递不及时、信息传递有损失的情况。
  该 金融单位采用内部即时通信工具，按照不同事件类型进行职责分工分组，达到安全事件信息高效传递、准确研判，并通过威胁运营平台进行事件上报工作，安全监测人员发现疑似攻击成功事件时，可以直接 反馈给研判专家，由研判专家进行分析，确保每个事件有人跟进，完成闭环。
  3）情报协同。
  该金融单位建立情报组，积极搜集民间、同行业、 国家监管机构的威胁情报，对搜集的情报信息进行甄别并评估加固工作，及时对子公司进行通告预警，从而在很大程度上预防未知风险导致的入侵行为。
  明确核心，总结经验本案例中红队为某集团公司，下辖多个二级企业，网络环境庞大 且复杂，可利用的攻击点众多，主要体现在：集团网络和所有二级企业、外部业务单位互联互通；各二级企业具有各自的互联网出口，且 出口部署有向外部提供服务的应用系统；各级单位还迁移了大量系统 至集团公有云上，防护点分散且复杂。
  经过研究，集团决定采取分级防护策略，确认本次演练的防护核心为集团的目标系统，一级防护系统为集团公有云、关基系统和工控系统，二级防护为下级企业重点系统和互联网暴露系统，三级防护为其他一般系统。
  形成分级防护，争取阵地不失（见图10-2）。
  图10-2 分级防护策略图
  在确定防护策略后，集团进行了以下工作：首先，充分总结往年 攻防演练时容易出问题的薄弱环节，学习攻击方常用的攻击手段，组织“网络安全周”活动；其次，梳理监控盲点、隐蔽路径、老旧资产、口令安全、重点应用和安全设备漏洞等重点薄弱环节，并开展整体安全加固工作；最后，通过“网络安全周”活动提高所有员工的网络安全意识。
  重点梳理工作如下：
  网络架构梳理（可能的攻击路径有互联网、外连专线、VPN、 物理攻击）；
  关基系统、工控系统梳理；
  重要系统确认，重要系统资产梳理；
  所有Web页面、VPN、API、App梳理；
  集权系统梳理；
  在野托管系统梳理。
  合理规划，全面自查
  集团总部成立实战攻防演练领导小组，负责整体工作的重大决策，统一领导和指挥调度。
  同时成立行动指挥部，负责 保障 的工作部署、监督检查与应急调度。
  指挥部下设工作组，负责演练的组织协调、技术支撑等工作。
  要求各二级单位成立工作小组，并制订 安全防护工作计划，确立工作红线。
  整体工作包括筹备、 、评估加固、防护值守和总结五个 阶段，根据组织分工，各岗位分别开展相关工作（见。
  防护工作阶段规划
  安全检查阶段是整体防护工作的基础，需要进行全面的风险隐患 识别和治理，主要包括 新增资产排查、新增网络链路评估、内 网安全检查、专项安全检查等工作。
  通过安全检查，集团共发现安全 隐患11类，修复各类应用系统和操作系统、中间件等的中高危漏洞 2650余个，优化安全策略534条，整改弱口令等账户问题940余个。
  通过上述措施，集团掌握了自身安全状况，做到对潜在的安全隐患心中有数，并及时进行修复和加固。
  通过 暴露信息清查，集团发现了原来未掌握的暴露在互联网上的网站、邮箱、源代码、文件和社交软件群等，通过及时清查和处理，很大程度上降低了互联网暴露信息被蓝队利用的风险（见图10- 4）。
  纵深防御，全面监控
  在安全防护体系方面，依据纵深防御的理念，在集团所有互联网 边界统一接入云WAF安全防护，首先清洗和拦截无效攻击流量。
  在集团 和下级防护单位边界部署防火墙、WAF等安全防护设备，合理配置安全 策略，形成互联网边界防御纵深。
  集团内外 通过网闸隔离，外部业务网根据业务实际情况划分和优化安全域，并在各安全域之间通过防火墙等措施实行严格的访问控制，有效避免跨安全域横向和纵向 渗透攻击。
  所有服务器和用户终端均部署系统级防护软件，强化最后 一道防线的防护力度。
  集团云部署云防护软件，防护基于云特性的内存、逃逸等攻击，形成立体、无死角的安全防护体系。
  在各个网络区域均部署流量探针、蜜罐系统，集团云、 部署监控软件。
  邮件服务器部署防钓鱼软件、沙箱等社工监控软件，实现纵向、横向的全面安全监控。
  同时结合集团大数据威胁特征库对监控流量进行快速、精准、有效的告警，形成全面、精准、无死角的安全监控系统。
  联动处置，及时整改
  实战攻防演练期间，防护、监控、研判、应急等小组按照领导小组的统一部署，坚守各自岗位，持续应对各类攻击。
  监控小组通过网络威胁监控、云监控、主机监控、蜜罐等监控系统，对网络、社工和 外部通道开展全天候的安全监测、发现、分析和预警。
  研判小组对各类攻击事件快速进行综合研判。
  应急小组针对发现的问题启动应急处置流程，快速处置各类攻击事件，消除 行为。
  基础保障小组 每天对防护设备、安全监控设备进行规则策略调整和规则库升级。
  在 防护期间，工作组每天定时召开防守工作例会，各岗位、各单位汇总 和分析当天攻击事件，对攻击手段、封禁IP地址、漏洞隐患、新漏洞 等情况进行通报和处置，形成联防联控机制，只要一点发现问题，就 及时全面整改。
  领导小组每天总结经验，及时对相应工作进行调整， 为高效应对攻击行为做好保障。
  通过上述工作，集团整体防护和监控系统得以安全有效运行。
  攻防演练期间，共发现230万余次网络扫描、代码执行、SQL注入、路径穿越、后门程序连接尝试、目录遍历、敏感信息探测、命令 执行和木马上传等攻击行为，被攻击的对象涉及各级单位的各类应用 系统共133个。
  前言 当前行业内组织的 “红蓝对抗演习” 在检验企业安全的同时也在...作为本系列的第一篇文章，将以一次公司红蓝对抗实战演练 平台的渗透，引出一系列的知识点及渗透时的一些小Tips，希望能够对读者有所帮助。
  本文仅做
  当前行业内组织的 “红蓝对抗演习” 在检验企业安全的同时也在磨练技术人员的技术水平，在近几年的演习中可以发现攻防双方的水准都有了极大的提升，本文将以红队的视角去阐述技术思想。
  与常规的渗透测试相比，红队攻防更多的是渗透思想上的差异，而我个人的理解认为 “隐蔽”、“持久化”是最重要的思想，如何做到快速、高效的拿下目标，隐蔽、持久的进一步操作，也正是核心的差异所在。
  作为本系列的第一篇文章，将以一次公司红蓝对抗实战演练平台的渗透，引出一系列的知识点及渗透时的一些小Tips，希望能够对读者有所帮助。
  本文仅做安全研究作用，切勿违法乱纪 。
  拿到一个目标，我们首先要做的就是快速的对目标进行信息收集。
  对相关的功能点进行测试、熟悉网站的业务流程，这是非常重要的一个环节。
  应对不同的渗透场景，可以将这个环节仔细或简略去做。
  这里建议在打点的时候下挂代理，选择SSR的负载均衡模式，防止被封禁IP、IP定位到真实位置，尤其是企业专线，例如埃文科技、IPIP对于企业专线的定位非常准确。
  使用Kunyu快速对该站点进行信息收集，可能大家会想空间测绘去做信息收集是否会有一定的不准确性？
  是的，对于一些新增的资产可能未必会及时更新上去。
  但是通常对于一些成熟的业务站点，并不会去频繁的对站点进行变动端口服务等操作，所以在快速打点时这样的方式无疑大大提高了效率，同时也避免了主动扫描可能造成的影响。
  如上图，通过 Title 不难判断出不同端口相关的业务，首先来看第一个。
  Eureka 是 Netflix 开源的一款提供服务注册和发现的产品，可以与Spring boot构建的微服务很容易的整合起来。
  这里我们发现该服务直接暴露在公网中可未授权访问，于是我们快速对其进行信息收集分析。heapdump 返回一个GZip压缩的hprof堆转储文件
  那么上面说到通过/jolokia端点可以进行RCE，现在我们转变战略，先拿SHELL再进行审计。
  这里我们利用的是jolokia Realm JNDI RCE漏洞，基础理论知识这里不再赘述，感兴趣的同学可以看下面的文章，很详细的把Spring Boot的各类安全问题都进行了梳理，但是我们这里的利用会有点不同寻常。
  目标使用了jolokia-core依赖（版本要求暂未知）并且环境中存在相关 MBean
  目标可以请求攻击者的服务器（请求可出外网）
  普通 JNDI 注入受目标 JDK 版本影响，jdk <6u141/7u131/8u121(RMI)，但相关环境可绕过
  这里如何判断什么时候用哪一种利用方式其实很简单，访问 /jolokia/list 接口，查看是否存在 type=MBeanFactory 和 createJNDIRealm 关键词。
  其他的利用方式也是同理，去查看相匹配的关键字，如果有那么基本就是可用的。
  首先我们跟着上面链接所指出的利用方式走一遍，但是出现了一个很有意思的问题： marshalsec 接收到了目标请求，并且请求到了 JNDIObject.class，但是没有正常反弹回来shell，如下图 ：
  根据经验，我首先意识到这种情况下只能是目标主机执行了命令请求到了架设的RMI服务，但是命令执行了却未成功。
  那么，在Github上找另一份可以执行指定命令的EXP，进行高版本JDK的JNDI注入。
  通过which python命令发现目标主机有python2环境，可以提升至完全交互式Shell，防止意外掉线，当然这里一定要注意，像这一类的反弹shell我们一定要用反向代理之类的手段隐匿真实 IP，并对Netcat进行流量加密，隐匿效果如下：
  可以看到显示的仅是我们的代理地址，并且网络连接为代理服务器的IP及端口，与实际本地监听端口不同，而流量加密可以帮助我们执行的命令不会被态感设备捕获到，这也是红队攻防基础建设的一环，非常重要。
  其中包含了不少内网其他主机的登录凭证接口管理平台、消息推送平台等服务的Toekn，这里发现redis的密码为 XXRedis639020XX 这时，立马发现了他的命名规则是根据redis的端口来设置的，其中前后缀不变，仅改变中间的端口号，这里我们直接拿下了当前服务器多个redis数据库。
  这时不要为了方便而这么做，非常容易暴露，这时可以做一些sudo提权或者SUID文件等操作间接的使用root权限，如下图(反面例子)：当然，红队攻防不仅仅是一个人战斗，所以在拿到shell后可以上线到自己C2上，Linux上线CobaltStrike的方式可以使用CrossC2插件进行，这里仅作安全研究，所以不做此操作。
  对于一些新晋红队的同学，我建议首先做好基础建设，比如免杀、隐匿、工具特征改造、匿名虚拟服务器、邮箱、手机号、身份信息等，最好在纯净的虚拟机中进行渗透操作（别搁虚拟机里看什么腾讯视频）。
  如果被蜜罐抓到ID，那么基本上被溯源出来的概率就很高了，你可能还在愉快的渗透着，突然告诉你出局了。
  感谢各位读者的支持，本篇文章，从红队的视角剖析了渗透的思路，对一些需要注意的细节进行了着重讲解。
  渗透的过程不是关键，重要的是其中的思路，所以本文有一些利用细节都给省略了，仅以辅助去讲解，我认为这种结合实际的讲解是非常必要的，如果仅仅只去讲思路，也不行。
  最后，祝各位心想事成，美梦成真！
  本项目集成了全网优秀的开源 攻防 武器项目，包含信息收集工具（自动化利用工具、资产发现工具、目录扫描工具、子域名收集工具、指纹识别工具、端口扫描工具、各种插件...etc...），漏洞利用工具（各大CMS利用工具、...学校战队的几个人简单尝试了一下bugku的线上awd 攻防 赛，做个记录。
  1.服务器运维 下载Web源码：xftp连接192-168-1-247.pvp254.bugku.cn/，在/var/www/html目录下有网站源代码.
  一实战对抗中的攻击套路实战对抗的典型场景—— 攻防演练 ，有两个显著特点：▶ 短期的高强度网络对抗▶有条件限定的模拟 攻防演练 虽然只是模拟的攻防演练 ，但也是在一定条件下无限接近于真实的攻击场...导读：全球每年都会有大量的爆炸性的数据泄漏事件发生，但是今年的数据泄漏事件特别多，此起彼伏，而且数据泄漏的规模和造成的破坏性影响，一次比一次大。
  根据Identify Theft Research Center中心的数据显示，与2021...IT资产包括域名、 IP地址 、C段、开放端口、运行服务、Web中间件、Web应用、移动应用、网络架构等；敏感信息泄露包括代码泄露、文档信息泄露、邮箱信息泄露、历史漏洞泄露信息等方面；供应商信息包括相关合同、系统、...为避免自己的真实 IP 、物理位置、设备特征等信息在远程入侵的过程中被网络...在实战 攻防演练 中，蓝队所采用的身份隐藏技术主要有以下几类：匿名网络、盗取他人ID/账号、使用跳板机、 他人身份冒用和利用代理服务器等。
  自2016年以来，在国家相关网络安全监管机构的有力推动下，网络实战 攻防 演习工作日益得到重视，目前具有涉及行业范围广， 演练 周期长，活动规模大等特点。
  （一）XX平台系统此次 攻防 演习过程中，存在问题如下: （二）公司存在的问题 下一步工作 （一）基础运维方面 （二）安全防护方面 （三）安全监测方面 （四）应急处置方面 XXX客户2020年护网行动总结报告 ...对于攻击特定企业权威DNS的场景，可以将源地址设置为各大ISP DNS服务器的 ip地址 以突破白名单限制，将查询的内容改为针对目标企业的域名做随机化处理，当查询无法命中缓存时，服务器负载会进一步增大。
  DNS不只在UDP-...安全自查 在护网工作开展前期将现有应用系统资产清单梳理完成，内容包括系统名称、访问地址、 IP地址 、开发语言、操作系统版本、数据库类型、中间件版本，特别是集权类系统（OA、邮件、堡垒机），便于 攻防演练 进行...对于攻击特定企业权威DNS的场景，可以将源地址设置为各大ISP DNS服务器的 ip地址 以突破白名单限制，将查询的内容改为针对目标企业的域名做随机化处理，当查询无法命中缓存时，服务器负载会进一步增大。
  DNS不只在UDP-...经过研究，集团决定采取分级防护策略，确认本次 演练 的防护核心为集团的目标系统，一级防护系统为集团公有云、关基系统和工控系统，二级防护为下级企业重点系统和互联网暴露系统，三级防护为其他一般系统。
  实战 攻防演练 期间，防护、监控、研判、应急等小组按照领导小组的统一部署，坚守各自岗位，持续应对各类攻击。
  监控小组通过网络威胁监控、云监控、主机监控、蜜罐等监控系统，对网络、社工和 外部通道开展全天候的...T级 攻防 ：大规模DDOS防御架构 DDOS分类 在讲防御之前简单介绍一下各类攻击，因为DDOS是一类攻击而并不是一种攻击，并且DDOS的防御是一个可以做到相对自动化但做不到绝对自动化的过程，很多演进的攻击方式...个人强烈感觉面试因人而异，对于简历上有具体项目经历的同学，个人感觉面试官会着重让你介绍自己的项目，包括但不限于介绍一次真实 攻防 /渗透/挖洞/CTF/代码审计的经历 =>因此对于自己的项目，面试前建议做一次...防守方需根据攻击者的思路、想法、打法，结合 各单位实际网络环境、运营管理情况，建立全方位的纵深安全监控、 防护体系，才能在 攻防 过程中从被动防御转变为溯源反制。
  本章将要讲述的内容为奇安信防守经验和技术...参考文章 浅谈大规模红蓝对抗攻与防 红蓝对抗之域名搜集方法总结 网络空间安全时代的红...源头之战，不断升级的攻防 对抗技术 —— 软件供应链攻击防御探索 以攻促防：企业蓝军建设思考 红蓝对抗之Windows内网渗透 ...shiro漏洞了解吗，讲一下原理 在linux下，现在有一个拥有大量ip地址 的txt文本文档，但是里面有很多重复的，如何快速去重？
  在内网渗透中，通过钓鱼邮件获取到主机权限，但是发现内网拦截了tcp的出网流量，聊一下这...某高校客户 攻防演练 溯源得分： 某高校客户云蜜罐溯源发现 攻防演练 期间攻击者 IP 攻击60多个，其中18个 IP 近期被创宇安全智脑打上了“恶意”