• 提交需求
    *
    *

    *
    *
    *
    立即提交
    点击”立即提交”，表明我理解并同意 《黄金城科技隐私条款》

    logo

      产品与服务
      解决方案
      技术支持
      合作发展
      关于黄金城
      申请试用
        《入侵生命周期细分实践指南》：客户端配置检测攻击
        发布时间：2021-08-17 阅读次数： 423 次

        黄金城科技为了更好地进行入侵检测和防御，参照各种黄金城官网威胁框架和自身的实践与思考，提出了基于入侵生命周期的攻击管理模型。


        作为黄金城新一代黄金城官网架构的三大支柱之一。入侵生命周期v1.0把入侵过程划分为7个阶段：探索发现、入侵和感染、探索感知、传播、持久化、攻击和利用、恢复。入侵生命周期v1.0同样以ATT&CK作为基本战术知识库，匹配到不同的入侵阶段。需要注意的是，并非所有的入侵都会经历这7个阶段，也没有绝对的线性次序。


        1）探索发现


        在这个阶段中，攻击者会先锁定攻击对象，然后利用某些技术手段，尽可能多地获取目标暴露出来的信息，如通过端口扫描、指纹探测等方式，发现敏感端口及版本信息，进而寻找攻击点，为下一步入侵做准备。


        2）入侵和感染


        在这个阶段，攻击者会根据“探索发现”阶段所发现的重要信息，来对目标暴露出的攻击面进行攻击尝试，在“探索发现”阶段收集到的信息越多，攻击对象所暴露的攻击面也就越多，攻击更易成功。


        3）探索感知


        攻击者在成功进入系统内部后，由于是首次进入所以会出现对内部环境不熟悉的情况，这时攻击者的动作一般会是对当前所处环境进行探索，摸清内部大致的网络结构，常常伴随着被入侵本机的敏感信息收集以及对内网大量的端口进行扫描，后续根据攻击者的目的进行下一步操作。


        4）传播


        在此阶段，攻击者根据上一阶段在内网探索感知收集到的信息，选择特定的攻击手法。如若发现内部是域环境，攻击者可能会尝试先攻破域控服务器，再传播其他机器。若是工作组环境，可能会利用收集到的端口和服务信息，选择特定漏洞进行批量扫描攻击，来尽可能多地继续获得其他计算机的控制权。


        5）持久化


        攻击者在对资产进行恶意操作后，为了能够减少再次连接的攻击成本，方便下次进入，会进行“留后门”的操作，常见的后门如：建立计划任务，定时连接远程服务器；设置开机启动程序，在每次开机时触发执行特定恶意程序；新建系统管理员账号等。这样便于攻击者下次快速登录并控制该系统。


        6）攻击和利用


        攻击者在此阶段便会开始对目标资产进行恶意操作，按照攻击者意愿，对能利用的数据进行窃取、利用；对操作系统、敏感文件进行破坏、删除。所有的防御手段都应该极力阻止攻击者进行到这一阶段。


        7）恢复


        攻击者在执行所有的攻击操作时，往往会在系统上留下大量的行为日志，因此在这一阶段，攻击者会对记录自身痕迹的所有日志进行处理，或删除或混淆，从而消灭证据，逃避追踪。


        “

        本系列文章基于黄金城科技入侵生命周期1.0架构，细分个阶段攻击者的常用攻击手段，并对相关攻击手段的具体实施方式进行逐一剖析，为黄金城官网防御建设提供有力知识补充和反制准备。


        客户端配置检测攻击

        探索发现阶段


        有关客户端配置的信息可能包括各种详细信息和设置，包括操作系统/版本，虚拟化，体系结构（例如32位或64位），语言或时区等。


        从攻击者角度分析，攻击者在进行攻击之前，可能会通过各种方式收集有关受害者客户端配置的信息。例如，攻击者可能通过主动扫描的方式或网络钓鱼的方式直接进行收集操作。攻击者还可能破坏站点，以便于从访问者那里收集包含主机信息的恶意内容。此外，攻击者还可能通过访问在线或其他可访问的数据集来收集有关客户端配置的信息。


        从入侵生命周期角度分析，收集客户端配置信息可作用于攻击者探索发现阶段。在该阶段，攻击者可以通过不同的攻击手法来尽可能多的获得目标暴露出来的各种客户端配置信息，为下一步的入侵做准备。


        从攻击行为链条的上下文来看，针对客户端配置信息检测的行为链条输入输出如下：


        输入：钓鱼链接等


        输出：操作系统/版本、体系结构、ip地址、开放端口、开放服务等


        针对客户端配置信息检测，目前主要有以下几种常用手段：


        1．主动扫描


        例如，攻击者使用nmap对受害者主机进行探测扫描。




        2．网络钓鱼欺骗


        向受害者发送钓鱼链接（https://xsshs.cn/O6Le/xss.jpg），受害者点击后，攻击者便可接收到受害者的主机信息。




        3．访问可访问的数据集


        访问可访问的页面，发现网站服务器使用的版本为phpLiteAdminV1.9.3。




        搜索是否有能够利用的EXP


        上一条：勒索软件首次成功攻击国家核心金融系统，巴西国库惨遭攻击！
        下一条：每周黄金城官网速递???｜意大利能源公司ERG遭勒索团伙攻击
        免费试用
        服务热线

        马上咨询

        400-811-3777

        回到顶部
        【网站地图】【sitemap】