misonl 红队战术
基于 MITRE ATT&CK 框架的对抗模拟原则。
1. MITRE ATT&CK 攻击阶段
攻击生命周期
侦察（Reconnaissance）-> 初始访问（Initial Access）-> 执行（Execution）-> 持久化（Persistence）
v v v v
权限提升（Priv Esc）-> 防御规避（Defense Evasion）-> 凭据访问（Credential Access）-> 发现（Discovery）
v v v v
横向移动（Lateral Movement）-> 数据收集（Collection）-> 指挥控制（C2）-> 数据泄露（Exfiltration）-> 影响力（Impact）
各阶段目标
| 阶段 | 核心目标 |
|---|---|
| 侦察（Recon） | 映射攻击面 |
| 初始访问 | 获取首个立足点 |
| 执行（Execution） | 在目标上运行代码 |
| 持久化 | 在重启后依然存活 |
| 权限提升 | 获取管理员（Admin）或 Root 权限 |
| 防御规避 | 躲避安全检测 |
| 凭据访问 | 收集并提取各类凭据 |
| 发现（Discovery） | 映射内网环境 |
| 横向移动 | 扩散至其他系统 |
| 数据收集 | 搜集目标敏感数据 |
| 指挥控制（C2） | 维持命令下发通道 |
| 数据泄露（Exfil） | 提取并带出数据 |
2. 侦察准则
被动侦察与主动侦察
| 类型 | 权衡（Trade-off） |
|---|---|
| 被动侦察 | 不与目标直接接触，获取信息有限，但安全性极高 |
| 主动侦察 | 直接接触目标，获取信息多，但暴露风险极高 |
信息搜集重点
| 类别 | 价值所在 |
|---|---|
| 技术栈 | 选择合适的攻击向量 |
| 员工信息 | 用于社会工程学攻击 |
| 网络范围 | 确定扫描范围 |
| 第三方协作 | 开展供应链攻击 |
3. 初始访问向量
选择标准
| 向量 | 适用场景 |
|---|---|
| 网络钓鱼（Phishing） | 针对人员，需要邮件访问权限 |
| 公开漏洞（Exploits） | 暴露在外的易受攻击服务 |
| 合规凭据 | 泄露或被暴力破解的帐号 |
| 供应链攻击 | 通过第三方供应商接入 |
4. 权限提升原则
Windows 平台关注点
| 检查项 | 利用机会 |
|---|---|
| 未加引号的服务路径 | 利用路径写入漏洞 |
| 弱服务权限 | 修改服务执行逻辑 |
| 令牌特权（Token） | 滥用 SeDebug 等特权 |
| 存储的凭据 | 离线或在线提取 |
Linux 平台关注点
| 检查项 | 利用机会 |
|---|---|
| SUID 二进制文件 | 以所有者权限执行 |
| Sudo 配置错误 | 越权命令执行 |
| 内核漏洞 | 执行内核提取（Exploits） |
| 定时任务（Cron） | 修改可写脚本 |
5. 防御规避原则
核心技术
| 技术名 | 目的 |
|---|---|
| LOLBins | 利用系统内置的合法工具 |
| 代码混淆（Obfuscation） | 隐藏恶意代码特征 |
| 时间戳篡改（Timestomping） | 隐藏文件修改痕迹 |
| 日志清理 | 抹除攻击证据 |
运营安全（OpSec）
- 在工作时间内操作，降低异常感。
- 模仿合规的流量模式。
- 使用加密通信频道。
- 与内网正常行为模式融为一体。
6. 横向移动原则
凭据类型
| 类型 | 使用方法 |
|---|---|
| 密码（Password） | 标准认证 |
| 哈希值（Hash） | 哈希传递（Pass-the-hash） |
| 票据（Ticket） | 票据传递（Pass-the-ticket） |
| 证书（Certificate） | 证书级别认证 |
移动路径
- 管理员共享。
- 远程服务（RDP、SSH、WinRM）。
- 内部服务的漏洞利用。
7. 活动目录（Active Directory）攻击
攻击类别
| 攻击方式 | 目标对象 |
|---|---|
| Kerberoasting | 服务账号密码 |
| AS-REP Roasting | 无需预认证的账号 |
| DCSync | 域环境凭据 |
| Golden Ticket | 持久化的域访问权限 |
8. 报告编写准则
攻击叙述
记录完整的攻击链：
- 如何获得后续初始访问权限。
- 使用了哪些具体技术。
- 达成了哪些目标。
- 检测流程在何处失效。
检测缺口
针对每项成功的技术：
- 理论上应该由什么来检测？
- 为什么现有的检测未能生效？
- 如何改进检测逻辑。
9. 伦理红线
始终坚持（Always）
- 保持在授权范围内（Scope）。
- 尽量减小业务影响。
- 如发现真实威胁，立即报告。
- 详尽记录所有操作行为。
严禁行为（Never）
- 破坏生产数据。
- 造成拒绝服务（DoS）（除非有明确授权）。
- 超出概念验证（PoC）所需的访问权限。
- 持有或保留敏感数据。
10. 应避免的反模式
| [FAIL] 禁止（Don't） | [OK] 推荐（Do） |
|---|---|
| 仓促进行漏洞利用 | 遵循科学的方法论 |
| 造成破坏性的损失 | 尽量减小影响范围 |
| 跳过报告编写环节 | 详尽记录归档 |
| 忽视授权范围 | 严格在红线内行动 |
谨记： 红队模拟攻击是为了提升防御能力，而非造成真实伤害。