美创科技为了更好地进行入侵检测和防御，参照各种安全威胁框架和自身的实践与思考，提出了基于入侵生命周期的攻击管理模型，作为美创新一代安全架构的三大支柱之一。
入侵生命周期v1.0把入侵过程划分为7个阶段：探索发现、入侵和感染、探索感知、传播、持久化、攻击和利用、恢复。入侵生命周期v1.0同样以ATT&CK作为基本战术知识库，匹配到不同的入侵阶段。需要注意的是，并非所有的入侵都会经历这7个阶段，也没有绝对的线性次序。
1）探索发现
在这个阶段中，攻击者会先锁定攻击对象，然后利用某些技术手段，尽可能多地获取目标暴露出来的信息，如通过端口扫描、指纹探测等方式，发现敏感端口及版本信息，进而寻找攻击点，为下一步入侵做准备。
2）入侵和感染
在这个阶段，攻击者会根据“探索发现”阶段所发现的重要信息，来对目标暴露出的攻击面进行攻击尝试，在“探索发现”阶段收集到的信息越多，攻击对象所暴露的攻击面也就越多，攻击更易成功。
3）探索感知
攻击者在成功进入系统内部后，由于是首次进入所以会出现对内部环境不熟悉的情况，这时攻击者的动作一般会是对当前所处环境进行探索，摸清内部大致的网络结构，常常伴随着被入侵本机的敏感信息收集以及对内网大量的端口进行扫描，后续根据攻击者的目的进行下一步操作。
4）传播
在此阶段，攻击者根据上一阶段在内网探索感知收集到的信息，选择特定的攻击手法。如若发现内部是域环境，攻击者可能会尝试先攻破域控服务器，再传播其他机器。若是工作组环境，可能会利用收集到的端口和服务信息，选择特定漏洞进行批量扫描攻击，来尽可能多地继续获得其他计算机的控制权。
5）持久化
攻击者在对资产进行恶意操作后，为了能够减少再次连接的攻击成本，方便下次进入，会进行“留后门”的操作，常见的后门如：建立计划任务，定时连接远程服务器；设置开机启动程序，在每次开机时触发执行特定恶意程序；新建系统管理员账号等。这样便于攻击者下次快速登录并控制该系统。
6）攻击和利用
攻击者在此阶段便会开始对目标资产进行恶意操作，按照攻击者意愿，对能利用的数据进行窃取、利用；对操作系统、敏感文件进行破坏、删除。所有的防御手段都应该极力阻止攻击者进行到这一阶段。
7）恢复
攻击者在执行所有的攻击操作时，往往会在系统上留下大量的行为日志，因此在这一阶段，攻击者会对记录自身痕迹的所有日志进行处理，或删除或混淆，从而消灭证据，逃避追踪。
本系列文章基于美创科技入侵生命周期1.0架构，细分各阶段攻击者的常用攻击手段，并对相关攻击手段的具体实施方式进行逐一剖析，为安全防御建设提供有力知识补充和反制准备。
密码过滤器DLL提供了一种实现密码策略和更改通知的方法。攻击者可能会将恶意密码过滤器动态链接库（DLL）注册到身份验证过程中，以在验证用户凭据时获取它们。Windows密码筛选器是域账户和本地账户的密码策略实施机制。筛选器被实现为DLL，其中包含一种根据密码策略验证潜在密码的方法。筛选器DLL可以位于本地计算机上（用于本地账户）和/或域控制器（用于域账户）。在安全账户管理器（SAM）中注册新密码之前，本地安全机构（LSA）要求每个注册过滤器进行验证。在每个注册的过滤器都确认有效之前，任何潜在的更改都不会生效。攻击者可以注册恶意密码过滤器，以从本地计算机和/或整个域中获取凭据。要执行正确的验证，筛选器必须从LSA接收纯文本凭据。每次提出密码请求时，恶意密码过滤器都会接收这些纯文本凭据。
根据攻击者的入侵流程和操作手段，该攻击手法被使用在持久化阶段。
从攻击行为链条的上下文来看，针对密码过滤器DLL的行为链条输入输出如下。
输入：密码变更请求
输出：本地安全机构LSA会调用在系统上注册的密码过滤器。每个密码过滤器都会被调用两次：首先验证新密码，然后在所有过滤器都验证了新密码之后，通知过滤器以进行更改，最后由SAM更改密码。
1. 攻击者构造恶意持久性密码过滤器，并在域控上注册，以在域、本地用户或管理员每次登录或更改密码时获取凭据。
（1）攻击者构造恶意持久性密码过滤器DLL
（2）攻击者将DLL进行注册安装（总共4步）
1）攻击者打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa下的Notification Packages，添加Password Filter DLL的名称，不包括后缀名.dll
2）PS：也可以使用命令行的方式，进行添加：
REG QUERY "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v "Notification Packages"
REG ADD "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v "Notification Packages" /t REG_MULTI_SZ /d "scecli\0Win32Project3" /f
3）攻击者将Password Filter DLL保存在%windir%\system32\目录下
4）攻击者将组策略开启，组策略密码必须符合复杂性要求
5）重启系统，使其生效
（6）注册或修改任意用户密码，加载Password Filter DLL，获取凭据（能够记录所有用户，包括未登录用户）
浙公网安备 33010502006954号 
