做好HW红队，先做好这项工作 （NISP/CISP原创）

（NISP/CISP原创）

按照红队的标准工作全流程，为期一周的HW红队实战该如何安排呢？

周一、周二：分组做资产（信息）收集。

周三：复盘收集方法。

周四、周五：开始对指定资产进行漏洞排查。

周六、周日：渗透深入、权限维持与报告撰写。经过前几日的信息收集、漏洞排查和初步利用，周末的工作将更加深入和系统，主要聚焦于深度渗透、成果巩固和最终报告。

资产收集为什么重要？

在实战中，有的同学出现畏难情绪，通过资产收集难以发现漏洞，无法开展后续工作，担心此次HW没有收获。可实际恰恰相反，也许这正是你最大的收获！

资产收集是红队工作的第一步，也被誉为红队工作中最重要的一步。之所以如此，是因为它直接决定了整个攻击行动的成败上限！如果把一次红队行动比作一次军事攻击：漏洞利用、横向移动就是 “炮弹”和“战术”，而资产收集则是 “绘制敌方地图和情报网络”。没有精准、详尽的地图，再强的兵力和武器也可能打错方向，徒劳无功！

这项工作的技巧和思路，需要在实战中领会。

1. 攻击面的基石：无资产，无攻击

红队攻击的前提是找到“门”在哪里。一个单位的所有互联网资产（网站、API、服务器、APP、第三方服务、云平台等）就是这些“门”。

如果找不到门：即使你拥有世界上最厉害的漏洞利用技术（如0day），你也无处施展。你的所有后续技术（渗透、提权、横向移动）都失去了目标和起点。

暴露的资产就是暴露的风险：很多企业可能并不知道自己有多少资产暴露在公网上，一个被遗忘的测试服务器、一个未及时下线的子公司网站、一个配置错误的云存储桶，都可能成为红队一击致命的突破口。

资产收集的广度与深度，直接定义了整个攻击活动可能性的边界。

2. 决定攻击路径的效率与隐蔽性

直接攻击核心业务系统（如官网主站）通常防守最严密，红队的精髓在于 “迂回攻击”。

寻找薄弱环节：通过全面的资产收集，红队的目标是发现那些不受关注、疏于管理的资产。例如：为某个促销活动临时搭建的微网站、分公司或子部门的门户、合作伙伴的接入系统、员工的个人博客或技术文档中无意泄露的内部信息。

“破其一点，全线溃败”：从这些防守薄弱点切入，获取一个初始立足点，再逐步向内网核心区域渗透。这种路径远比正面硬刚高效和隐蔽。而所有这些路径的发现，都依赖于初期的资产收集。

3. 节省资源，精准打击

红队行动通常有时间限制，漫无目的地扫描整个互联网IP段是低效且容易被发现的。

精准定位：通过高效的资产收集（例如根据企业名称、备案号、证书信息、源代码特征等进行关联），可以快速绘制出属于目标企业的精准数字资产地图。

目标优先级排序：收集到的资产可以进一步分析，快速筛选出可能使用老旧框架、存在已知漏洞组件的系统，优先进行测试，从而大大提高发现漏洞的成功率，将宝贵的时间用在“刀刃”上。

4. 信息收集本身就能发现漏洞

高级的资产收集不仅仅是找到域名和IP，它还包括：

目录扫描：发现备份文件、管理员页面、未引用的目录。

GitHub监控：发现员工误上传的源代码、API密钥、数据库密码、配置文件。

子域名枚举：发现大量的测试、开发、临时环境。

证书透明日志查询：发现甚至企业自身都还未意识到的newly issued域名。

这些活动本身就是在挖掘漏洞。很多时候，红队可能在资产收集阶段就直接找到了可直接利用的敏感信息泄露（如数据库密码），无需进行复杂的漏洞利用就直接“通关”了。

可以说，资产收集的深度，决定了红队攻击的深度；资产收集的广度，决定了红队攻击的广度。 它是整个红队工作的战略基础，是所有战术执行的先决条件。