中文
2023-08-06 10:27:25
攤牌了，我是個讓人聞風喪膽的紅隊攻擊者，
我不會告訴你，
每年網絡安全攻防演練，
我們都特別喜歡用這些方式套取你的密碼、控制你的電腦——
在外網防御越來越完善的今天，紅隊攻擊者更喜歡在“人”上找到突破口，通過利用弱口令，釣魚等獲取到的密碼，登錄遠程辦公軟件、郵箱、內部APP等，從而進行下一步的攻擊。
紅隊是用什么方式獲取密碼、又如何利用密碼進行后續攻擊？這過程中，有哪些能防住方式？
本期特別邀請到深信服深藍攻防實驗室攻防滲透專家，將從紅隊視角分享思考：攻擊方在演習中如何攻破密碼以獲取更多權限，并給藍方人員一個大致的思路，以更好地應對防護。（戳此了解→深藍攻防實驗室）
作為紅隊攻擊者，我們如何讓用戶“心甘情愿”地輸入密碼和驗證碼？
坦誠地說，攻擊者能夠主動獲取密碼的渠道一般有：企業中員工使用的相關系統、服務器、知識庫中的記錄、辦公機上的密碼本、各種軟件記錄的密碼（如瀏覽器）。
對于需要用戶登錄的系統，開發者會將用戶的密碼加密后存儲在后臺數據中，我們會在攻下此系統后，從數據庫中獲取密碼并進行解密，或者拿下權限后，在前端記錄用戶輸入的密碼。
攻擊隊如何獲取密碼
以釣魚攻擊手法為例，看紅隊如何一步步讓你“心甘情愿”地輸入密碼和驗證碼。
PROFILE
廣撒網釣魚式攻擊
優點：覆蓋面大，總體成功率高，總有一個會上當
第一步 模擬登錄網站，讓你毫無戒備登錄釣魚網站
我們會制作一個與目標公司系統登錄頁面大致一樣的網站，當你輸入密碼后，我們會立即收到消息提醒通知，然后利用獲取到的密碼登錄移動辦公軟件、VPN等。
模擬釣魚網頁，以假亂真
第二步 心理戰術，愿者上鉤
有了上述攻擊思路后，就差如何把釣魚頁面發送給你了，郵件、招聘網站、客服系統等等都是我們很常用的方式。
雖然郵件網關會有一些關鍵詞檢測或者攔截，但我們會對內容進行充分偽裝，如把具體的內容放入doc中，通過附件的形式進行發送。而郵件的話題內容一般是福利回饋、舉報、求職、社保激活等人人都會關心的話題。
郵件通知
私聊通知
群聊通知
只要釣魚的頁面和文案做得足夠逼真，你在輸入密碼和驗證碼后，也不會覺得異常，當然有一部分有安全意識的人可能會察覺異常，但是可能出于不好意思、怕擔責、不知道怎么處理等原因，就算發現異常了也沒有進一步的處理。
每個人的安全意識不一樣，通過大面積撒網，總有一個上當的，并且大多數受害者自認為只是一個普通員工的崗位，如開發人員、測試、銷售、售后等，覺得自己的密碼泄露了也沒有什么大問題。
而這就是我們的機會！
作為紅隊攻擊者，我們如何利用你的密碼和主機？
當我們成功獲取你的密碼，這意味著：
● 我們可以翻看你的郵箱，找密碼、找到公司辦公等相關有價值信息，進一步了解你公司內部的辦公流程。
● 我們可以使用密碼登錄你的郵件，導出公司所有人的郵箱、姓名、職位、手機，從而挑選出更多有價值的人再次進行釣魚。
● 我們可以使用你的密碼登錄你的移動辦公系統，在群里發病毒木馬文件、釣魚鏈接，從而來控制你的同事。
● 我們可以使用你的密碼登錄你公司的vpn，直接進入公司內網，從而攻擊公司內網中的其他系統。
● 我們還會分析你是否是一個開發或運維人員，如果是，則會利用你的密碼碰撞服務器和業務系統。
大多數員工可能會覺得自己的電腦上沒有什么重要的資料，從而會降低警惕，但我們需要的其實不是他電腦上的資料，而是一個網絡的鏈路，將你的電腦作為跳板機攻擊內網其他主機。
● 我們會用你的電腦搭建隧道，從而讓其他的攻擊伙伴也能夠在本地訪問到你公司內網的系統，從而攻擊你同事的電腦、公司內網的系統。
通過使用TCP、UDP、ICMP協議搭建反向socks隧道，搭建隧道時還會使用CDN來隱藏我們的攻擊機器，讓自己不是那么容易被發現。通過隧道訪問你公司的網絡后，就能夠找出公司各種系統的更多漏洞，進而一步一步達到完全控制你公司所有人的電腦的目的。
● 我們會通過工具獲取你瀏覽器保存的密碼，碰到公司內部有價值的系統則會登錄上進一步攻擊。
● 我們會把木馬放到更加隱蔽的位置，并設置開機啟動，讓你不是重啟就能脫離我們的控制。
我們會修改木馬的時間戳、圖標、文件名等，看起來就像是一個正常軟件一樣，然后放到正常軟件的目錄，并且針對你機器上的殺軟做免殺，讓你的殺軟檢測不出來我們的木馬，再創建一個計劃任務或者服務，并將計劃任務或服務進行隱藏，從而在你下次開機的時候讓木馬可以再次運行。
來自紅隊攻擊者的「善意提醒」，個人/單位如何防？
# 對個人的建議
攻擊者發送釣魚的話術多變，但大多數與個人的利益相關，這種才會引起你的注意，所以收到福利、不激活就過期、舉報等相關的郵件內容時，要多注意辨別發送者身份的真假，并向主辦單位或負責人核對是否屬實。
另外，基本上不會有通知類型的郵件會在點擊鏈接后讓你輸密碼，只要輸密碼就要看地址欄是否為公司的域名，并注意登錄方式及登錄的頁面之前是否見過。
最安全的方式就是不要點擊郵件中的鏈接登錄任何系統。公司內部的系統登錄一般都會有統一的方式，用自己熟悉的登錄方式去登錄需要登錄的系統。除了密碼之外，不要打開外部郵箱發送給你的附件，不要打開陌生人文件。
# 對單位的建議
（1）執行策略
作為企業單位來說，很難讓每個人都知道.exe是可執行文件，即使是一個科技型公司。所以需要安全運維人員將可以執行的程序加入白名單，非白名單的文件不許執行。
系統存密碼的地方，不能明文、可逆的算法、復雜的低的哈希算法來加密，要用復雜度高的算法來加密，如bcrypt(sha512($pass))。
（2）sms+otp
不論是外部系統還是內部系統，重要系統都加上短信和otp二次認證。
（3）設備認證
對于移動辦公app，賬號在一個新設備上登錄，要求進行人臉識別認證，或者同事確認。對于vpn在新設備上登錄，需要提交申請由上級領導或安全人員確認。
（4）登錄提醒
當賬號登錄成功時，通知賬號所有者，讓賬號所有者第一時間發現異常。
（5）網絡環境檢測
對公網開放的系統，禁止從云服務器的ip登錄。
弱密碼、默認密碼、通用密碼和已泄露密碼通常是歷年攻防演練中的重要突破點，攻擊方會通過各種方式來獲取密碼來登錄重要的系統權限。
數字化高度發達的今天，密碼技術已經滲透到了社會生產生活各個方面，與老百姓的日常生活息息相關。除了攻防演練時期，日常生活中更要加強密碼安全保護，謹防信息泄露。
下期預告
在攻防演練場景中，當目標資產已被重重防護，正面突破的可能性很小，只能采用迂回攻擊，從目標資產的薄弱點——供應鏈發起攻擊。
這也是紅軍極其喜歡突破的點。比如紅軍攻破某大型企業的某供應商，進行代碼滲透和檢視，發現零日漏洞然后突破防守。
攻防演練中為了在短時間內達成拿下目標的目的，主要會采用哪些手法？如何進行內網橫向，獲取目標權限？更重要的是，如何防范？下一期，為你揭曉！
