.png.c9b8f3e9eda461da3c0e9ca5ff8c6888.png)
安全評估的目的是減少組織的總體風險，每一個視角都有其自身的價值。所有這些方法應該組合在一起產生一種有效的安全評估策略，該策略應盡可能覆蓋組織的攻擊面，並識別盡可能多的威脅。這樣，組織就可以最大限度地降低風險。在試圖編寫一份全面的安全評估報告時，並不是所有的初始視角都適用於任何情況。因此，必須超越每種攻擊面和風險評估的價值，並深入研究每種攻擊面和風險評估的其他優點和缺點。這使得評估人員不僅知道哪些視角是最需要的，而且還知道哪些視角在任何給定的評估場景中是最可行的。
引入風險在演練之前的任何安全性評估中，必須完成建立演練範圍和ROE這一極其重要的步驟。在開始評估組織的安全性之前，有嚴格的流程來遵循演練將如何執行的細節。不同的初始視角在理解和同意演練的範圍和規則方面呈現出不同的複雜性。演練範圍和ROE用於幫助組織確定演練可能引入的可接受的風險水平。
這種風險表現在兩個方面。首先，安全評估可能會通過評估活動攻擊重要的設備或服務，從而給組織帶來風險。第二，評估者從給定的角度進行評估所需的訪問可能會增加總體攻擊面或其嚴重程度。
外部視角與風險引入最初由外部視角評估的攻擊面是由專門在互聯網上提供的設備和服務組成的。這意味著設備和服務會遭受攻擊以及面臨大量的流量。然而，嘗試執行網絡掃描和漏洞利用所帶來的額外壓力仍然會使設備崩潰。儘管風險很低，但必須考慮到這一風險來源，因為失去一個面向互聯網的服務可能會影響組織的外部和內部用戶。因為評估人員不需要建立內部訪問來從外部視角進行評估，所以執行此類評估不會增加額外的攻擊面。
DMZ視角和風險引入與外部視角類似，DMZ視角最初側重於用於基於互聯網流量的設備和服務。評估導致的潛在停機所造成的風險同樣很低。評估人員訪問DMZ中的設備時不應帶來額外風險，因為DMZ的目的是將某些設備從網絡的其餘部分分割開來。由於DMZ評估視角從DMZ中的橫向位置而不是從互聯網上測試設備，因此嘗試執行網絡掃描和漏洞利用產生意外後果的可能性稍大一些。設備可能沒有準備好處理這種橫向通信，這可能會導致問題出現。這一視角要求在非軍事區（DMZ）內建立一個存在點，從該點開始評估。儘管這使得評估人員能夠深入組織的一個層次，但風險仍然可以忽略不計。交給評估人員的訪問由於其在非軍事區的性質與內部網絡隔離，因此由於其初始評估向量的額外攻擊面，因此不會造成額外風險。
內部視角和風險引入從內部視角進行的評估能夠立即與不面向互聯網的設備和服務交互。這些設備不太可能應對大量掃描或攻擊嘗試，因此從這個視角評估設備存在一定的風險。與外部用戶相比，此處的拒絕服務更可能導致內部用戶缺乏可用性。此外，此評估導致的停機更有可能影響組織功能。內部視角也增加了攻擊面。隨著一個組織授予必要的訪問權限，或者惡意軟件的成功引入，評估人員從這個視角將其他訪問方式引入到一個組織中。
關鍵視角和風險引入與其他初始視角相比，關鍵視角代表了組織運作能力的高風險水平。開展此類評估的初始原因主要是那些被確定為對組織存在能力極其關鍵的風險項。評估對此類設備造成的任何問題都可能損害組織正常運作的能力。攻擊面增加所造成的風險也相對較高。與內部視角一樣，關鍵視角要求組織引入訪問向量來開始評估。此訪問向量添加到組織中的攻擊面更危險，因為它直接指向高危風險項。評估員使用的訪問向量造成的損害對組織來說是極其危險的。在進行此類評估時應格外小心。
前面我介紹了CAPTR 團隊利用的關鍵初始演練視角以及已經在使用中的已建立視角。對這些初始演練視角如何影響進攻性安全評估的過程和結果進行了深入分析。讀者現在應該對初始化視角以及與關鍵初始化視角相關的好處有了更深入的了解。
反向紅隊通過CAPTR 團隊所使用的特定範圍的方法論選擇目標，並使用關鍵視角確定最合適的演練起點，即可開始執行評估。反向紅隊演練鏈路是一種從關鍵視角進行評估的獨特方式，它創建了一種報告機制，使用反向風險關係為此類業務提供極高的成本效益。下文將解釋反向演練鏈路的過程，以及它可以產生的好處和結果的表示。
反向紅隊演練鏈路反向紅隊演練鏈路是利用從初始範圍項目中被動收集的本地情報來定義攻擊者可能使用的訪問向量並適當擴展CAPTR團隊範圍的過程。為了提高高風險漏洞利用和訪問路徑的效率，反向紅隊演練鏈路將重點放在圍繞給定機器的可識別通信通道上，而不是圍繞整個網絡。這種方法為了精確目標的選擇和評估而犧牲了評估的目標數量。
本地評估在假定APT最終可以在入侵過程中實現這樣的上下文的情況下，使用提升的權限對作用域關鍵對象進行局部評估。在CAPTR團隊演練窗口開始時，將評估那些允許攻擊者影響洩露對象的機密性、完整性或可用性的本地權限提升漏洞和本地錯誤配置漏洞。此外，該本地上下文用於識別潛在的遠程訪問向量，例如代碼執行漏洞或糟糕的身份驗證配置。通過訪問本地存儲的數據和操作系統功能，CAPTR團隊評估人員可以有效識別攻擊者可用於初始範圍項目的訪問向量，而無需對潛在風險執行盲目的網絡掃描和漏洞利用。
強調此方法優點的最佳方法是通過使用下圖所示網絡的簡單示例。 CAPTR團隊以結果為導向的範圍界定表明，Linux文件服務器對組織構成了致命的危害，將從訪問服務器的關鍵初始角度進行評估。
CAPTR團隊評估方向性
在運行多個態勢感知命令後，評估人員使用本地可用的本機操作系統命令來確定組織中被視為致命危害對象的機器的大部分信息。
評估人員了解到Linux服務器使用的內核版本已過時，易受本地權限提升漏洞的攻擊。在組織中的這樣一台關鍵機器上從非特權用戶過渡到超級用戶的能力構成了極其危險的風險。如果其他評估模型沒有完全且成功地破壞網絡中的設備，導致並包括這台可能深入目標組織的機器，那麼這種風險也將不會在其他評估模型中被發現。 CAPTR團隊立即評估了該高風險項，在建立態勢感知的最初幾分鐘內，就發現了一個關鍵的可報告風險項，甚至沒有進行外部漏洞利用和擴展評估。
初始態勢感知命令通知評估人員，有三台機器與高風險機器通信。有一台計算機，可能是管理員，正在使用SSH遠程訪問和管理該計算機。此信息可在文件系統中找到。與SSH協議相關的日誌和文件位於計算機上的用戶目錄中，執行history 系統命令的結果中可以看到用戶的活動信息，很明顯是網絡管理員的典型活動。如果沒有CAPTR團隊中使用的本地特權視角，這些信息可能永遠不會被發現，如果已經被發現，這意味著典型的紅隊評估將遠程對多個設備執行漏洞利用，並將運行存在潛在危險的內核級權限提升exp，以便獲得與CAPTR 團隊在開始時所使用的方法看到的相同信息的權限。
評估人員通過在本機執行操作系統命令查看已建立連接的網絡信息表明還存在其他兩個通信對象。一個是訪問Linux服務器託管的80端口上的只讀web文件共享，另一個是訪問21端口上的文件傳輸服務器。進一步檢查後，評估人員確定文件傳輸服務器用於將文件放在Linux服務器上，供其他用戶查看和下載。通過進一步的本地情報收集，評估人員還發現，文件傳輸能力不限於特定位置，如web文件共享目錄，遠程文件傳輸可能會覆蓋通過機器調度機制以超級用戶權限執行的多個未受保護的腳本。
目前，尚未進行任何漏洞利用，我們在不到一天的評估時間內已經有以下極有價值的發現可以報告：
◼使用內核漏洞提升本地權限
◼作為超級用戶執行遠程代碼
-作為超級用戶執行的可寫調度作業的權限配置不當
-無約束的文件傳輸服務器
本地情報分析評估還確定了致命風險項的三個一級通信對象。確定這些目標後，CAPTR團隊繼續進行分析，以確定評估這些主機的順序。這種優先順序對報告也很有價值，稍後將在確定哪些環節最危險時進行報告。這些風險鏈由來源、目的地、通信方法和權限構成。設備之間可能有多個風險鏈。例如，如果管理員的計算機可以通過SSH（作為管理用戶）或文件傳輸（作為非特權用戶）訪問關鍵主機（下圖中的Server），這意味著攻擊者需要在該第一層通信上獲得較少的特權才能攻擊關鍵主機。在繼續完成這個示例的過程中，我提供了一些簡單的優先順序和評估決策點。在現實生活中，每種場景都會對任何攻擊性安全評估施加其獨特的屬性，評估人員的決定可能會以不同的方式推進演練。該場景需要先澄清評估流程，但與流程本身不同的是，所包含的風險決策應作為示例而不是指導，因為它們可能因組織而異。
回到我們的例子。通過對演練範圍內致命危害項高危主機的本地評估我們可以確定的風險鏈如下：
10.0.0.2上的超級用戶可以使用SSH協議作為超級用戶訪問10.0.0.1
10.0.0.3上的非特權用戶可以使用FTP作為非特權用戶訪問10.0.0.1
10.0.0.4上的非特權用戶可以使用HTTP作為非特權用戶訪問10.0.0.1（見下圖）
通信鏈路
第一個風險鏈構成了攻擊關鍵主機Server的最大風險，因為它提供了超級用戶對關鍵主機Server的即時交互訪問。任何能夠破壞該第一層通信的攻擊者都會對Linux服務器造成嚴重威脅。 FTP風險鏈排第二，因為它提供了非特權訪問。但是，它還允許將文件移動到服務器，並且，根據我們對存在的已識別本地權限提升漏洞的了解，這是一條潛在的但更複雜的遠程交互路徑。 HTTP風險鍊是最後一個，因為它允許非特權用戶從特權主機下載數據，是只讀的，需要利用額外的漏洞才能攻擊關鍵主機Server。
全系列文章請查看：https://www.4hou.com/member/dwVJ
もリリースします
在繼續分析之前，先解釋一些專有名詞，這些系統非常複雜，在分析時很容易混淆。
暗号化圧縮の比較これは、暗号化と圧縮関数を使用しないFRPクライアント構成ファイルです。 Metasploitは、Socksプロキシを使用して、MS17_010から送信されたデータパケットをスキャンして、特定の攻撃動作を明確に識別できます。ターゲットイントラネットに「状況認識」やトラフィック分析などのセキュリティ機器がある場合、監視され、アクセス許可が失われます。
暗号化と圧縮関数を使用した後、攻撃源アドレスも公開されますが、イントラネットのセキュリティ監視装置を避けて、送信されたデータパケットを区別できません。
コバルトストライク（Socks4a）制御されたターゲットマシンのビーコンに、ソックスエージェントを有効にします。
プロキシピボットを表示メニューバーで、コピープロキシはMetaSploitに接続されているか、関連するセキュリティツールにSocks4aを直接ハングします。
は、オンラインマシンでは利用できません。これはリンクリンクです。メインリンク（ネットワークビーコン）が切断されている限り、それらはすべて切断されます！
操作が成功した後、派生したSMBビーコンの接続状態であるキャラクター∞∞を見ることができます。
は、メインビーコンのリンクホストリンクまたはリンクホストをリンクすることと切断できます。
Linkリスナーオンラインホストでリスナーを作成します。
このタイプのリスナーに対応する実行可能ファイルまたはDLLをエクスポートします。
作成したばかりのリスナーを選択します。
現在のオンラインターゲットマシンに生成されたペイロードをアップロードし、PSEXEC.EXEツールをこちらを使用してください。 （Cobalstrike自体は十分に強力ではありません）
ビーコンのPSEXECツールを使用して、ネットワークを離れない、自動的に実行し、オンラインになるターゲットマシンにペイロードをアップロードします。
1 |ビーコンシェルNetstat -Ano | FindStr 4444
SSH login1 |ビーコンSSH 192.168.144.174:22ルート管理
Linuxターゲットマシンのネットワーク接続ステータスを確認します。これは、以前に起動したWindowsホストに確立された接続です。
Metasploitを使用してRegeorg Socks Proxyをハングして、MS17_010によって送信されたデータパケットをスキャンします。
neo-regeorg（暗号化）1 | python neoreg.py -kテスト@123 -l 0.0.0.0 -p 10081 -u http://192.168.144.211/neo -tunnel.aspx
Ice Scorpion（Open Socks5）Ice Scorpionのパケットトランスミッションは暗号化されており、ソックスプロキシ機能もありますが、送信プロセス中にパケット損失があります。ここでは、Metasploitを使用してMS17_010の脆弱性を検出しますが、結果は存在しないことを示しています。プロキシ検出が設定されていない場合、実際の脆弱性が存在します。
Reduh（シングルポート転送）ターゲットサーバーミドルウェアおよびその他のサービスのサービスバージョンが低い場合、RegeorgまたはIce Scorpion Horseが正常に解決できない場合、他のHTTPプロキシスクリプトを使用する必要があります。これは、実際の戦いで遭遇する環境です。
ここで例として、Reduhを取り上げます。指定されたポート（グラフィカル接続操作は該当しない）のみを転送しますが、最初にMSFvenomを使用してフォワードシェルペイロードを生成し、次にReduhシングルポート転送を組み合わせてMetasploitを起動し、最後にSocks4Aモジュールを使用してプロキシを開きます。以下の特定のプロセスを見てみましょう。
のエンコード時間の数を指定します。ペイロードをターゲットサーバーにアップロードして実行します。
metasploitは、転送を聞いた後のアドレスとポートです。
Reduhserverがターゲットマシンに送信された後、Reduhclientを使用して接続し、リバウンドポートを局所的に回転させます。
は、メタプロイトに浸透するか、Socks4aをオンにして、他のセキュリティツールをマウントして浸透を継続することができます。
に注意してください。なぜペイロードにメータープレターの代わりにシェルが必要なのか。 MeterPreterは、送信中に多数のデータパケットを占める高レベルのペイロードです。このシングルポート転送は、まったく安定していません。 MeterPreterは「小さな水道管」をより不安定にします！
プロキシファイアがFRPで確立された後、外部ネットワークソックスとイントラネットソックスの2つのプロキシングをプロキシファイアと組み合わせて追加し、プロキシチェーンを作成します。 （プロキシ注文に注意してください）
プロキシルールを設定し、対応するプロキシを選択します。
2番目の層エージェントが成功し、イントラネット分離マシン445検出が開かれました。
ProxyChainsコマンドラインプロキシアーティファクトプロキシチャインは、第2層プロキシとソックスのパスワードを設定します。 （プロキシ注文に注意してください）
.
