<?xml version="1.0" encoding="utf-8" ?><rss version="2.0"><channel><title><![CDATA[b10d9的博客]]></title><description><![CDATA[]]></description><link>https://blog.youkuaiyun.com/b10d9</link><language>zh-cn</language><generator>https://blog.youkuaiyun.com/</generator><copyright><![CDATA[Copyright &copy; b10d9]]></copyright><item><title><![CDATA[等保2.0信息汇总]]></title><link>https://blog.youkuaiyun.com/b10d9/article/details/125187206</link><guid>https://blog.youkuaiyun.com/b10d9/article/details/125187206</guid><author>b10d9</author><pubDate>Thu, 09 Jun 2022 15:26:58 +0800</pubDate><description><![CDATA[等保，即网络安全等级保护制度，在网络安全法中明确要求网络运营者需要按照网络安全等级保护制度，履行相关安全保护义务，保护网络安全。等保在2019年迎来了等保2.0，从等保标准到测评方法都有了较大的升级。等保的升级个人总结主要是两方面原因：1）国家对网络安全重视程度的提升；2）新兴技术的不断发展和应用。        以下几个是相对重要的等保2.0相关的标准。GB/T 22239标准主要包含了等保2.0测评相关指标项。GB/T 28448标准包含对GB/T 22239中的指标内容具体的测评要求和测评流程，相当于]]></description><category></category></item><item><title><![CDATA[安全运维管理]]></title><link>https://blog.youkuaiyun.com/b10d9/article/details/125186547</link><guid>https://blog.youkuaiyun.com/b10d9/article/details/125186547</guid><author>b10d9</author><pubDate>Wed, 08 Jun 2022 16:01:21 +0800</pubDate><description><![CDATA[指标内容如图：指标理解：a）明确责任人或责任部门，相关制度文件中明确指定具体部门或人员负责机房安全，对进出机房管理，定期对机房设施维护管理。b）有相关制度文件中明确对物理访问、物品带进出和环境安全等方面的管理要求。如机房可进出的时间范围、机房进出审批及登记、进入机房需要相关人员陪同、机房巡检及问题反馈等。c）有相关制度文件中明确对重要区域的管理要求，如进入办公区需要授权及人员陪同、敏感信息的文档不允许随意摆放、人员离开要求电脑锁屏等。指标内容如图：指标理解：a）有资产清单文档，记录资产责任部门、重要程度等信]]></description><category></category></item><item><title><![CDATA[安全建设管理]]></title><link>https://blog.youkuaiyun.com/b10d9/article/details/125186518</link><guid>https://blog.youkuaiyun.com/b10d9/article/details/125186518</guid><author>b10d9</author><pubDate>Wed, 08 Jun 2022 16:00:24 +0800</pubDate><description><![CDATA[指标内容如图：指标理解：a）编制相关文档说明系统定级方法及定级理由。b）定级方法和理由经过专家评审。“相关部门和有关安全技术专家”个人理解可以向监管部门、上级单位以及测评单位邀请一些专家，开会评审，并形成评审记录材料。c）通常在评审过程中有最终定级结论，也就经过了批准，最终需要在相关材料中体现“批准”。d）提交备案材料，在公安机关完成备案，获得备案证书和编号。指标内容如图：指标理解：a）基于等保要求进行差距分析，根据差距分析结果，进行补充和调整安全措施。过程中需要有相关记录文档，如差距分析问题汇总文档、整改]]></description><category></category></item><item><title><![CDATA[安全管理人员]]></title><link>https://blog.youkuaiyun.com/b10d9/article/details/125186499</link><guid>https://blog.youkuaiyun.com/b10d9/article/details/125186499</guid><author>b10d9</author><pubDate>Wed, 08 Jun 2022 15:59:33 +0800</pubDate><description><![CDATA[指标内容如图：指标理解：a）通常都能满足，如人力资源部门负责人员录用。通过访谈形式，询问网络安全主管。b）企业对招聘录用有相关制度流程，测评时会检查相关制度文件。核心目的是确保招聘的人员是能够胜任关键安全岗位职能要求。c）测评时检查保密协议和岗位责任协议相关文档。指标内容如图：指标理解：a）通过访谈询问安全主管是否具备人员离岗的管理措施，做到及时回收权限，并检查历史人员离岗相关证件、设备等返还记录文件。b）检查是否具备人员离职管理制度，检查历史离职人员的离职流程记录文件，检查历史离职人员是否签署了保密协议。]]></description><category></category></item><item><title><![CDATA[安全管理机构]]></title><link>https://blog.youkuaiyun.com/b10d9/article/details/125186469</link><guid>https://blog.youkuaiyun.com/b10d9/article/details/125186469</guid><author>b10d9</author><pubDate>Wed, 08 Jun 2022 15:58:50 +0800</pubDate><description><![CDATA[指标内容如图：指标理解：a）在相关制度文件中，要明确规定具体网络安全岗位责任人是谁，以及他的主要职责。通常网络安全领导小组或委员会，需要公司大领导作为组长，后续工作开展会更容易些（参考国家网络安全领导小组^^）。b）公司组织架构中有安全部门，在相关制度文件中，要明确规定具体网络安全建设负责人、系统负责人、应用负责人等，并明确具体岗位职责。个人理解，在实际测评中，如果企业规模小，没有专门的安全职能部门，应该问题不大，但一定要有具体的责任人。c）在相关制度文件中，明确系统管理员、审计管理员和安全管理员岗位及人员]]></description><category></category></item><item><title><![CDATA[安全管理制度]]></title><link>https://blog.youkuaiyun.com/b10d9/article/details/125186403</link><guid>https://blog.youkuaiyun.com/b10d9/article/details/125186403</guid><author>b10d9</author><pubDate>Wed, 08 Jun 2022 15:57:47 +0800</pubDate><description><![CDATA[指标内容如图：指标理解：        制定网络安全方针及安全策略相关制度文件，高层级的、总体性的描述网络安全工作的目标、范围、原则及框架等信息，内容上通常不需要很复杂。指标内容如图：指标理解：        在测评工程中会基于制度、机构、人员、建设、运维等维度判断管理制度制定是否完整。安全策略、管理制度、操作规程、记录表单是有递进关系的四级文档机构，和ISO 27001相似可以复用的。安全策略指导安全方向，管理制度明确安全流程，操作规程是流程中人员具体操作规范及要求，记录表单记录过程中关键信息。指标内容如]]></description><category></category></item><item><title><![CDATA[安全管理中心指标]]></title><link>https://blog.youkuaiyun.com/b10d9/article/details/125186351</link><guid>https://blog.youkuaiyun.com/b10d9/article/details/125186351</guid><author>b10d9</author><pubDate>Wed, 08 Jun 2022 15:55:24 +0800</pubDate><description><![CDATA[指标内容如图：指标理解：a）启用登录认证对系统管理员的访问进行身份鉴别。系统管理员不能直接操作安全管理中心的系统后台，需要使用特定工具或命令访问安全管理中心。安全管理中心需要具备日志记录功能，能够审计所有系统管理行为。常见的安全管理中心有：云平台控制中心、安全运营中心等。这里和以下两项指标是形成三权分立的，所有对于权限的分配应该是相互独立且不同的。指标涉及的外部产品：1）安全运营中心/态势感知指标内容如图：指标理解：a）启用登录认证对审计管理员的访问进行身份鉴别。同理，审计管理员也不可直接操作系统后台。对审]]></description><category></category></item><item><title><![CDATA[安全计算环境指标]]></title><link>https://blog.youkuaiyun.com/b10d9/article/details/125186323</link><guid>https://blog.youkuaiyun.com/b10d9/article/details/125186323</guid><author>b10d9</author><pubDate>Wed, 08 Jun 2022 15:54:28 +0800</pubDate><description><![CDATA[指标内容如图：指标理解：a）用户需要有唯一性标识，如不可重复的用户名、用户SID；密码启用一定复杂性要求，如大小写字母+数字+特殊字符四选三，长度10位以上，90天定期更换；c）启用加密的访问方式，如https、ssh等。d）启用双因素认证，如密码+动态口令、密码+短信验证、密码+指纹识别等指标涉及的外部产品：无指标内容如图：指标理解：a）根据用户岗位或职级建立不同的账号，账号根据工作所需分配必要的最小化权限，启用三权分立。常见的账号角色有：超级管理员账户、系统管理员账户、系统用户账户、审计管理员账户、审计]]></description><category></category></item><item><title><![CDATA[安全区域边界指标]]></title><link>https://blog.youkuaiyun.com/b10d9/article/details/125186286</link><guid>https://blog.youkuaiyun.com/b10d9/article/details/125186286</guid><author>b10d9</author><pubDate>Wed, 08 Jun 2022 15:53:07 +0800</pubDate><description><![CDATA[指标内容如图：指标理解：a）启用访问控制策略，限制可访问的端口，仅开放必要的端口。常见技术措施有：1）云主机开启安全组策略限制访问源IP、端口及协议；2）负载均衡设备限制可访问的服务器端口；3）通过路由器/交换机/防火墙配置ACL。b）常见的场景：1）私接无线路由或PC开启热点供外部PC连接到内部网络。通过部署上网行为管理等设备检测和限制私接WIFI及热点的情况。2）通过有线网口连接内部网络。对不必要的接入网口进行关闭，通过启用终端接入认证来检测和限制非法终端的接入，如启用802.1x接入认证、终端准入产品]]></description><category></category></item><item><title><![CDATA[安全通信网络指标]]></title><link>https://blog.youkuaiyun.com/b10d9/article/details/125186142</link><guid>https://blog.youkuaiyun.com/b10d9/article/details/125186142</guid><author>b10d9</author><pubDate>Wed, 08 Jun 2022 15:50:58 +0800</pubDate><description><![CDATA[指标内容如图：指标理解：c）网络架构需要划分不同的安全域，并为安全域分配合理的IP地址段。安全域如DMZ区、内网服务器区、用户办公区等。合理的IP段划分也可以在事后快速定位。不应出现单个IP地址段在多个安全域中重复使用，不同安全等级安全域使用相同IP地址段或子网等情况。场景举例：1）重要系统与办公网不使用相同网段；2）互联网系统与内部系统不使用相同网段；d）高安全等级的安全域不应规划在边界处，常见边界有互联网边界、分支单位专网边界等。高安全等级的安全域与其他安全域之间应部署防火墙等设备进行边界隔离。如内网数]]></description><category></category></item><item><title><![CDATA[TA0002 Execution 执行]]></title><link>https://blog.youkuaiyun.com/b10d9/article/details/124656683</link><guid>https://blog.youkuaiyun.com/b10d9/article/details/124656683</guid><author>b10d9</author><pubDate>Sun, 08 May 2022 23:00:51 +0800</pubDate><description><![CDATA[战术目的

Execution战术目的主要是在目标系统上执行恶意命令。该战术相关技术通常与其他战术技术相互关联。



利用命令和脚本解释器

操作系统通常自带有命令和脚本解释器，如Windows的CMD和powershell，以及跨平台的解释器，如python、JavaScript等。攻击者可以利用这些命令和脚本解释器执行恶意命令、脚本以及二进制文件，达到攻击目的。常见的解释器有：

1）powershell

2）AppleScript

3）Windows command shell

4）unix ]]></description><category></category></item><item><title><![CDATA[TA0001 初始访问 Initial Access]]></title><link>https://blog.youkuaiyun.com/b10d9/article/details/124589002</link><guid>https://blog.youkuaiyun.com/b10d9/article/details/124589002</guid><author>b10d9</author><pubDate>Thu, 05 May 2022 14:59:18 +0800</pubDate><description><![CDATA[战术目标

战术主要是利用各种技术，在目标网络中获得最初的立足点，并确保后续能够通过立足点持续访问目标网络。

水坑攻击 Drive-by Compromise

Drive-by Compromise通常不是直接对目标系统发起攻击，而是通过对用户访问的网站的控制，对网站注入恶意代码，当目标系统的用户访问网站加载运行恶意代码后，获取目标系统的访问或获取系统上的应用访问令牌，如OAuth令牌。典型的有跨站脚本攻击（XSS）。通过水坑攻击，控制内网用户系统，获得最初的立足点。

官方给出的典型Drive-by ]]></description><category></category></item><item><title><![CDATA[TA0042 资源准备 Resource Development]]></title><link>https://blog.youkuaiyun.com/b10d9/article/details/124540702</link><guid>https://blog.youkuaiyun.com/b10d9/article/details/124540702</guid><author>b10d9</author><pubDate>Mon, 02 May 2022 14:31:29 +0800</pubDate><description><![CDATA[战术目标

战术主要目标是构建开展攻击所需的所有资源准备工作。



构建基础设施

通过购买、租用等方式采购物理服务器、云主机、域名、僵尸网络等，构建攻击过程中所需要的基础设施。

1）域名：通过伪造近似企业域名的假域名进行网络钓鱼，提高真实性。在命令控制时，也会用到域名，使失陷主机回连到攻击设备。

2）DNS服务器：攻击者构建自己的DNS服务器用于攻击，如基于DNS的C2通道。

3）VPS：攻击者通过购买公有云VPS，快速构建和销毁基础设施。提升防守者溯源难度。

4）实体服务器：通过实体服务器构建]]></description><category></category></item><item><title><![CDATA[TA0043 侦查 Reconnaissance]]></title><link>https://blog.youkuaiyun.com/b10d9/article/details/124506160</link><guid>https://blog.youkuaiyun.com/b10d9/article/details/124506160</guid><author>b10d9</author><pubDate>Fri, 29 Apr 2022 23:03:48 +0800</pubDate><description><![CDATA[战术目标

通过10种常见技术手段，包含主动和被动信息收集技术，尽可能的收集与目标相关的的信息。

利用收集的信息：

1）为进一步的侦查活动提供支撑；

2）确定目标范围和目标优先级。

3）规划和执行后续初始访问活动；

侦查战术相关技术均和资源开发（Resource Development）和初始访问（Initial Access）战术中的技术相互关联。

技术结构关系



主动扫描 Active Scanning

通过主动扫描的方式，收集目标信息：（子技术）

1）扫描IP段：企业公网IP往往是]]></description><category></category></item><item><title><![CDATA[Active Directory渗透]]></title><link>https://blog.youkuaiyun.com/b10d9/article/details/122883348</link><guid>https://blog.youkuaiyun.com/b10d9/article/details/122883348</guid><author>b10d9</author><pubDate>Fri, 11 Feb 2022 16:42:30 +0800</pubDate><description><![CDATA[概述

以下针对AD域的渗透，均在已控制域内主机，并在此基础上进一步渗透域控或域内其他主机。

获取缓存的凭证

kerberos认证过程中，使用LSASS服务存储密码hash，用于TGT的更新，密码hash存储在LSASS服务对应的内存空间中。

若能够提取密码hash，则可以尝试破解。

由于LSASS服务为系统服务，故提取密码hash的前提是已经具备系统权限。

用到的工具：Mimikatz（https://github.com/gentilkiwi/mimikatz）

详细使用说明：https:/]]></description><category></category></item><item><title><![CDATA[AD认证：Kerberos 和 NTLM]]></title><link>https://blog.youkuaiyun.com/b10d9/article/details/122812870</link><guid>https://blog.youkuaiyun.com/b10d9/article/details/122812870</guid><author>b10d9</author><pubDate>Mon, 07 Feb 2022 18:28:07 +0800</pubDate><description><![CDATA[AD认证主要用到两种协议：Kerberos 和 NTLM

NTLM



认证过程如下：


	client本地生成NTLM hash，值为用户密码的hash值。
	
	
	client发送用户名给应用服务器。
	
	
	应用服务器随机生成一个值给client，这个值通常叫nonce或challenge。
	
	
	client用NTLM hash对nonce进行加密，并发送给应用服务器。
	
	
	应用服务器收到后，连同用户名和nonce一并发送给AD服务器。
	
	
	AD根据该用户的密码生成NTLM]]></description><category></category></item><item><title><![CDATA[AD枚举（含简单脚本）]]></title><link>https://blog.youkuaiyun.com/b10d9/article/details/122807875</link><guid>https://blog.youkuaiyun.com/b10d9/article/details/122807875</guid><author>b10d9</author><pubDate>Mon, 07 Feb 2022 14:07:48 +0800</pubDate><description><![CDATA[利用net命令查询用户及组信息

net user  #查询本地用户

net user /domian  #查询域用户

net user USERNAME /domain  #指定查询某域用户

net group /domain  #查询域用户组

利用powershell查询用户及组信息

利用powershell脚本，查询域控信息。

LDAP路径格式：LDAP://HostName[:PortNumber][/DistinguishedName]

第一部分：先获取LDAP路径信...]]></description><category></category></item><item><title><![CDATA[提权：Windows Services （upnphost and SSDPSRV）]]></title><link>https://blog.youkuaiyun.com/b10d9/article/details/122736331</link><guid>https://blog.youkuaiyun.com/b10d9/article/details/122736331</guid><author>b10d9</author><pubDate>Fri, 28 Jan 2022 20:50:48 +0800</pubDate><description><![CDATA[提权方法：Windows Services （upnphost and SSDPSRV）

参考连接：Windows XP SP0/SP1 权限升级到系统教程 (sohvaxus.github.io)

漏洞检测工具：accesschk.exe

下载连接：这里 (archive.org)旧版或这里 (xor.cat)旧版或live.sysinternals.com - /新版

旧版有一个“/accepteula”参数，可以在命令行执行的时候接受EULA，新版删除了这个参数，需要用到这个参数时，用旧版。
]]></description><category></category></item><item><title><![CDATA[JuicyPotato提权]]></title><link>https://blog.youkuaiyun.com/b10d9/article/details/122721702</link><guid>https://blog.youkuaiyun.com/b10d9/article/details/122721702</guid><author>b10d9</author><pubDate>Thu, 27 Jan 2022 18:09:01 +0800</pubDate><description><![CDATA[需要了解的几个知识点

BITS服务是什么
BITS是一个与网络传输相关的系统服务。可用于上传下载文件到HTTP或SMB服务器，Windows更新也用到了BITS，BITS可以实现网络重连或系统重启后，续传文件。

BITS是与.NET/C/C++开发相关的COM接口。BITS是一种COM服务。

BITS会监听本地6666端口。

RottenPotatoNG是什么
基于BITS服务进行提权工具。

当具备SeImpersonate和SeAssignPrimaryToken权限时，禁用BITS服务，并占用]]></description><category></category></item><item><title><![CDATA[log4j RCE 漏洞]]></title><link>https://blog.youkuaiyun.com/b10d9/article/details/122027303</link><guid>https://blog.youkuaiyun.com/b10d9/article/details/122027303</guid><author>b10d9</author><pubDate>Sun, 19 Dec 2021 18:15:59 +0800</pubDate><description><![CDATA[漏洞概述

记录本次log4j可以远程命令执行的漏洞。


	CVE-2021-44228(log4shell)：受影响版本：2.0-beta9（2013年9月发布）-2.14.1（2021年3月发布）
	
	
	CVE-2021-45046：受影响版本： 2.0-beta9 to 2.15.0, excluding 2.12.2
	
log4j是一款基于java的日志工具，是Apache logging server的一部分，是使用非常广泛的一种java日志框架，所以受影响范围极广。

漏洞原理

本次漏]]></description><category></category></item></channel></rss>