14、网络渗透与威胁狩猎实验室搭建全攻略

网络渗透与威胁狩猎实验室搭建全攻略

1. 网络渗透中的关键技术

在网络渗透过程中，命令与控制（C2）以及 shellcode 加载器是红队和道德黑客需要掌握的关键工具。C2 产品能让我们远程控制主机并更轻松地执行后渗透任务，加载器则帮助我们将 C2 代理部署到目标系统。以下是一些关键的网络渗透技术：
- 网络规避 ：建立 C2 通道后，需要在网络层面规避检测，主要涉及两个方面：
- IDS/IPS 与代理检测 ：多数组织内部不解密 TLS 数据，但可能对流出组织的 TLS 数据进行解密。因此，我们有多个区域可进行加密和规避操作。
- 加密技术 ：常见的 C2 规避加密技术有两种：
- 基于 TLS 的规避 ：使用 TLS 加密，未进行 TLS 检查的区域无法查看流量内容，工具只能获取通信频率和目标地址。尽可能使用 TLS 加密有助于保护 C2 流量的完整性，隐藏通信结构和内容。
- C2 协议内加密 ：若不确定是否存在 TLS 检查，建议在 C2 协议内部使用加密。并非所有内容都能加密，如 HTTP 头部无法加密，但内容主体和 cookie 等区域可以加密，这能使即使 TLS 被拦截，C2 系统中来回传输的内容也不那么容易被识别。选择加密方案时，应避免使用如 XOR 这种易受已知明文攻击的简单加密方式，推荐使用 AES 或 RC4 等更安全的加密方案。
- 替代协议 ：不同协议的分析难度不同，混合使用协议可以迷惑防御者。例如：