APT攻击包括7个阶段：侦查跟踪、武器构建、载荷投递、漏洞利用、安装植入、命令与控制以及目标达成。攻击者通过收集情报，制作针对性恶意软件，利用各种方法如鱼叉攻击、水坑攻击等投放载荷，然后控制目标系统，最终实现信息窃取等目的。
根据美国国防承包商洛克希德·马丁公司提出的网络杀伤链模型，APT攻击主要由7个阶段组成，分别为侦查跟踪、武器构建、载荷投递、漏洞利用、安装植入、命令与控制、目标达成。
’
阶段1-侦查跟踪：
侦查跟踪指攻击者在选定好攻击目标后，收集跟目标有关的情报信息的过程。情报可从目标综合信息、员工信息、网络架构信息、安全防御等方面进行收集。
阶段2-武器构建：
攻击者根据侦查跟踪所获取的情报，针对性地制作恶意软件。可通过0day漏洞制作含有shellcode的pdf和word文档。
阶段3-载荷投递：
载荷投递可分为鱼叉攻击、水坑攻击、零日漏洞、U盘等载体进行投递攻击。
鱼叉攻击：精心制造邮件并投递，包含恶意url或恶意附件。
水坑攻击：先攻击目标经常访问的站点，在站点上部署恶意代码，待目标访问时自动下载恶意软件。
零日漏洞：通过零日漏洞直接攻击目标服务器，迫使下载恶意软件。
U盘投递：通常用于攻击隔离互联网的目标。
阶段4-漏洞利用：
漏洞利用是在shellcode被投递后，启动shellcode的阶段。通常会利用漏洞运行起来。
阶段5-安装植入：
当shellcode运行后，可从远程C2服务器下载木马，设置后门，实现对目标的长期监听。
阶段6-命令与控制：
木马会回连C2服务器，建立C2信道。
寻址：此处木马会通过DNS请求查询C2服务器IP。
通信：C2信道可以是DNS隐蔽信道（特征可见参考），也可以是Https加密信道。木马会接收到攻击者的指令并作出响应。
心跳：木马会周期性发送心跳包向C2服务器报告目标情况。为了躲避检测，心跳包的周期和包大小可能会频繁变化。
阶段7-目标达成：
APT攻击中，木马的目标多为信息窃取。此阶段的流量有以下特征：
1. 上行流量远大于下行流量
2. 上行流量大于下行流量的时间占比非常高
参考
什么是高级持续性威胁（APT）？有哪些特点和典型案例？ - 华为
3088
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
