




版權(quán)說(shuō)明:本文檔由用戶提供并上傳,收益歸屬內(nèi)容提供方,若內(nèi)容存在侵權(quán),請(qǐng)進(jìn)行舉報(bào)或認(rèn)領(lǐng)
文檔簡(jiǎn)介
一概述在攻防演練期間,經(jīng)過信息搜集、打點(diǎn)后,部分攻擊者利用漏洞攻擊、釣魚等方式成功獲得內(nèi)網(wǎng)資產(chǎn)的控制權(quán),為了保證對(duì)失陷資產(chǎn)的持續(xù)控制與后續(xù)擴(kuò)大戰(zhàn)果的需要,攻擊者會(huì)上傳木馬運(yùn)行,在失陷資產(chǎn)與外部控制端之間建立持續(xù)的通信信道。然而,在企業(yè)網(wǎng)絡(luò)邊界上通常部署了大量的網(wǎng)絡(luò)防護(hù)和監(jiān)測(cè)設(shè)備,因此,攻擊者為了躲避流量監(jiān)測(cè)設(shè)備的發(fā)現(xiàn),會(huì)對(duì)其使用的命令與控制信道使用各種隱藏手段,如加密、編碼、偽裝、利用隱蔽隧道等。二攻防演練場(chǎng)景資產(chǎn)失陷后常見加密流量我們可以將攻防演練場(chǎng)景中,內(nèi)部資產(chǎn)失陷后常見的加密流量總結(jié)為兩大類:正向C&C加密通道和反彈C&C加密通道。正向的C&C加密通道,主要是HTTP/HTTPS的Webshell連接和正向HTTP隧道代理;反彈C&C加密通道包括:TLS/SSL木馬回連以及各種隱蔽隧道通信。能夠在內(nèi)外網(wǎng)之間構(gòu)建加密C&C通道的工具有很多,有的工具小巧且專業(yè),能夠搭建某一種加密信道并靈活配置,如:dns2cat,icmptunnel等;有的則具備平臺(tái)級(jí)的強(qiáng)大功能,可以生成具備多種加密隧道的攻擊載荷,如:CobaltStrike,MSF等;另外,還可以組合隧道工具與平臺(tái)級(jí)攻擊載荷在極端條件下實(shí)現(xiàn)命令與控制,如:利用代理轉(zhuǎn)發(fā)工具、隧道工具上線CS等,下面是一些攻擊類型與攻擊工具的梳理:1正向C&C加密通道
·
HTTP/HTTPSWebshell連接通常,針對(duì)Web服務(wù)的漏洞利用成功后,攻擊者會(huì)上傳Webshell,如:冰蝎、哥斯拉、蟻劍等。這些Webshell即能在失陷的Web服務(wù)器與攻擊者之間維持命令執(zhí)行通道,又能用來(lái)上傳具有更強(qiáng)大功能的平臺(tái)級(jí)木馬。隨著Web服務(wù)的全面加密化,Webshell的通信經(jīng)過了HTTPS加密,即使能夠解密HTTPS流量,其HTTP載荷中也會(huì)經(jīng)過二次加密和編碼,盡可能不暴露明文特征,給流量檢測(cè)帶來(lái)很大挑戰(zhàn),去年攻防演練第一天更新上線的冰蝎4.0版本,臨時(shí)增加可自定義的加密通信方式,給防守方帶來(lái)了一波突然襲擊,讓人記憶猶新。
·
HTTP隧道正向代理當(dāng)攻擊者想要訪問的內(nèi)網(wǎng)資產(chǎn)無(wú)法出網(wǎng)時(shí),可以通過在失陷的邊界資產(chǎn)搭建HTTP隧道正向代理的方式,中轉(zhuǎn)訪問內(nèi)網(wǎng)資產(chǎn),常見工具包括reDuh,neo-regeorg等,其原理如下圖:2反彈C&C加密通道
·
TLS/SSL木馬回連出入企業(yè)網(wǎng)絡(luò)邊界最常見的加密協(xié)議是TLS/SSL,其廣泛應(yīng)用于Web服務(wù)、郵件服務(wù)、文件傳輸、移動(dòng)APP等應(yīng)用領(lǐng)域,可以保護(hù)用戶通信數(shù)據(jù)的機(jī)密性和完整性。因此,大量攻擊者同樣通過TLS/SSL構(gòu)建自己的惡意C&C加密通信信道,特別是網(wǎng)絡(luò)邊界設(shè)備通常不對(duì)出網(wǎng)的TLS/SSL流量做攔截,失陷資產(chǎn)上的木馬可以通過這種方式將自己的流量混在大量訪問網(wǎng)絡(luò)正常應(yīng)用的TLS/SSL加密流量中,神不知鬼不覺的與外網(wǎng)控制端維持C&C通信,這類工具或木馬比較常見的像CobaltStrike、Sliver等,高水平的攻擊者還會(huì)使用諸如:域前置、CDN、云函數(shù)等C&C隱匿技術(shù),進(jìn)一步隱藏自己的流量和控制端信息。攻擊者在構(gòu)建真實(shí)的TLS/SSL加密C&C信道時(shí),由于SSL證書的購(gòu)買和認(rèn)證需要填寫真實(shí)身份信息,且價(jià)格不低,導(dǎo)致攻擊者會(huì)傾向于使用免費(fèi)或自簽名證書,從而為檢測(cè)提供線索。于是,有些攻擊者使用FakeTLS或ShadowTLS的技術(shù),利用知名網(wǎng)站的證書將其木馬C&C通信的流量偽裝成與白站的通信,再將自己實(shí)現(xiàn)的加密通信協(xié)議隱藏在TLS/SSL加密載荷中,從而做到逃避檢測(cè)?!?/p>
隱蔽隧道在2022年攻防演練中,我們發(fā)現(xiàn)多起利用DNS隧道和ICMP隧道作為隱蔽信道的加密C&C通信事件,是最有代表性的隱蔽隧道通信方式。DNS隧道DNS是互聯(lián)網(wǎng)上重要的域名服務(wù),主要用于域名與IP地址的相互轉(zhuǎn)換,因此,在企業(yè)網(wǎng)絡(luò)中DNS流量通常不會(huì)被防火墻、入侵檢測(cè)系統(tǒng)、安全軟件等一般安全策略阻擋。攻擊者利用這一特點(diǎn)使用DNS協(xié)議作為內(nèi)外網(wǎng)之間通信的隱蔽信道,在攻防演練場(chǎng)景下常見的DNS隧道原理大致如下圖所示:攻擊者攻陷內(nèi)網(wǎng)資產(chǎn)后,植入木馬,木馬使用DNS協(xié)議中的子域名加密編碼隱藏信息,并發(fā)出DNS請(qǐng)求查詢;內(nèi)網(wǎng)DNS服務(wù)器將查詢轉(zhuǎn)發(fā)到互聯(lián)網(wǎng)DNS服務(wù)器,通常網(wǎng)絡(luò)監(jiān)測(cè)設(shè)備捕獲的是位于這一段鏈路上的流量;外網(wǎng)DNS服務(wù)器經(jīng)過遞歸查詢重定向到偽造的DNS服務(wù)器,解析隱蔽傳輸?shù)男畔⒑罄肈NS響應(yīng)包返回控制命令;DNS響應(yīng)包穿透網(wǎng)絡(luò)邊界最終返回到內(nèi)網(wǎng)受控資產(chǎn);受控資產(chǎn)上的木馬解析響應(yīng)包中的控制命令,繼續(xù)后續(xù)攻擊動(dòng)作。ICMP隧道類似的,ICMP協(xié)議作為網(wǎng)絡(luò)中傳遞控制信息的常見重要協(xié)議,往往限制較少或不加限制,所以攻擊方在攻入內(nèi)網(wǎng)后也可能使用ICMP協(xié)議的載荷數(shù)據(jù)(Data)部分隱蔽的進(jìn)行控制指令或竊密數(shù)據(jù)的傳輸,這些被傳輸?shù)膬?nèi)容大多數(shù)進(jìn)行了加密保護(hù)。如下圖所示,利用ICMP回顯請(qǐng)求和響應(yīng)包(PING)載荷隱蔽實(shí)現(xiàn)C&C通信。其他隧道除此以外,利用應(yīng)用層常見協(xié)議HTTP、SSH的隱蔽隧道,利用TCP、UDP載荷實(shí)現(xiàn)自定義協(xié)議的TCP、UDP隧道,或者支持多種隧道通信的各種代理轉(zhuǎn)發(fā)工具,也是攻擊者較常使用的隱蔽C&C通信手段,他們?cè)诓煌木W(wǎng)絡(luò)環(huán)境下,都具有穿透網(wǎng)絡(luò)邊界隱蔽傳輸數(shù)據(jù)的能力。在某些內(nèi)網(wǎng)目標(biāo)不能出網(wǎng)的環(huán)境,攻擊者還可以組合使用各種隱蔽隧道、代理轉(zhuǎn)發(fā)手段,來(lái)間接上線CS、MSF木馬,實(shí)現(xiàn)遠(yuǎn)程控制。三總結(jié)隨著近年來(lái),加密流量在攻防對(duì)抗中的使用頻率越來(lái)越高,針對(duì)攻防演練場(chǎng)景下的加密流量威脅,特別是資產(chǎn)失陷后的加密C&C通信的檢測(cè),可以說(shuō)是守護(hù)企業(yè)網(wǎng)絡(luò)的最后一道防線。觀成科技多年來(lái)專注于加密流量威脅檢測(cè)技術(shù)研究,形成了一套綜合利用多模型機(jī)器學(xué)習(xí)、指紋檢測(cè)、行為檢測(cè)、
溫馨提示
- 1. 本站所有資源如無(wú)特殊說(shuō)明,都需要本地電腦安裝OFFICE2007和PDF閱讀器。圖紙軟件為CAD,CAXA,PROE,UG,SolidWorks等.壓縮文件請(qǐng)下載最新的WinRAR軟件解壓。
- 2. 本站的文檔不包含任何第三方提供的附件圖紙等,如果需要附件,請(qǐng)聯(lián)系上傳者。文件的所有權(quán)益歸上傳用戶所有。
- 3. 本站RAR壓縮包中若帶圖紙,網(wǎng)頁(yè)內(nèi)容里面會(huì)有圖紙預(yù)覽,若沒有圖紙預(yù)覽就沒有圖紙。
- 4. 未經(jīng)權(quán)益所有人同意不得將文件中的內(nèi)容挪作商業(yè)或盈利用途。
- 5. 人人文庫(kù)網(wǎng)僅提供信息存儲(chǔ)空間,僅對(duì)用戶上傳內(nèi)容的表現(xiàn)方式做保護(hù)處理,對(duì)用戶上傳分享的文檔內(nèi)容本身不做任何修改或編輯,并不能對(duì)任何下載內(nèi)容負(fù)責(zé)。
- 6. 下載文件中如有侵權(quán)或不適當(dāng)內(nèi)容,請(qǐng)與我們聯(lián)系,我們立即糾正。
- 7. 本站不保證下載資源的準(zhǔn)確性、安全性和完整性, 同時(shí)也不承擔(dān)用戶因使用這些下載資源對(duì)自己和他人造成任何形式的傷害或損失。
最新文檔
- 房屋合同范本照片
- 鈦白粉相關(guān)行業(yè)投資規(guī)劃報(bào)告
- 2025年紡織機(jī)械齒輪行業(yè)深度研究分析報(bào)告
- 塑料托盤項(xiàng)目投資策劃方案范文
- 生豬標(biāo)準(zhǔn)化養(yǎng)殖基地建設(shè)項(xiàng)目可行性研究報(bào)告
- 2025年度房地產(chǎn)項(xiàng)目合作居間合同
- 2025年度異地安置房購(gòu)置及產(chǎn)權(quán)過戶合同
- 2025年度店鋪裝修工程工期與費(fèi)用控制合同
- 2025年洗護(hù)項(xiàng)目投資分析及可行性報(bào)告
- 數(shù)學(xué)好玩《編碼》(教學(xué)設(shè)計(jì))-2024-2025學(xué)年北師大版數(shù)學(xué)四年級(jí)上冊(cè)
- 部編版語(yǔ)文二年級(jí)上冊(cè)第1單元核心素養(yǎng)教案
- (完整版)污水管道施工方案
- 發(fā)展?jié)h語(yǔ)初級(jí)口語(yǔ)I-第18課課件
- GB/T 43200-2023機(jī)器人一體化關(guān)節(jié)性能及試驗(yàn)方法
- XX森林康養(yǎng)度假建設(shè)項(xiàng)目可行性研究報(bào)告
- 小學(xué)奧數(shù)七大模塊思維導(dǎo)圖課件
- 火力發(fā)電廠OVATION 與西門子控制系統(tǒng)之間通訊實(shí)現(xiàn)
- 我長(zhǎng)大以后【經(jīng)典繪本】
- 2023學(xué)年完整公開課版閘閥
- 中國(guó)濕疹診療指南
- 國(guó)家電網(wǎng)有限公司電網(wǎng)數(shù)字化項(xiàng)目工作量度量規(guī)范應(yīng)用指南(2020版)
評(píng)論
0/150
提交評(píng)論