ATT&CK系列之侦测篇

侦测阶段主要任务是收集受害者相关信息，为后续行动做准备。根据ATT&CK中定义，结合工作中遇到的问题，记录成这篇文章。

1.主动扫描

1.1 ip段扫描

        使用工具收集受害者使用的IP段信息，常用的工具有nmap，Angry IP Scanner，Advanced IP Scanner，Fping等。还可以使用网上的在线扫描工具。

        扫描ip段就是判断指定ip是否被使用，建议切换多种不同的协议扫描（比如有的主机会关闭ICMP协议），提高收集信息的准确性。

        正在实现一个自定义的扫描工具,写完后会开源出来：yindeyue/安全工具 (gitee.com)

1.2 漏洞扫描

        常见的漏洞扫描工具有Nessus,AWVS,zap等。

        漏洞利用的大致流程：

        1.发现漏洞，可以自己挖掘，也可以通过公开的漏洞披露网站获取

        2.复现漏洞

        3.利用漏洞

        常见漏洞披露网站 

国家信息安全漏洞库 (cnnvd.org.cn)https://www.cnnvd.org.cn/home/childHome
国家信息安全漏洞共享平台 (cnvd.org.cn)https://www.cnvd.org.cn/

Exploit Database(exploit-db.com)https://www.exploit-db.com/
CVE - CVE (mitre.org)https://cve.mitre.org/       漏洞数据库https://vuldb.com/

1.3 字典扫描

        使用公共字典，或自定义字典爆破扫描目标网站，确定网页访问路径。从中寻找没有权限控制的网址，后台管理系统网址，服务器配置文件访问地址，数据库操作相关访问地址等其他敏感访问路径

        常用工具 burpsuite DirBuster Webdirscan等        

2.收集受害者主机信息

2.1 硬件信息 

收集cpu相关信息，比如指令集，cpu位数，核数，虚拟化配置，cpu特性等信息。这些信息会影响到可执行文件的编码方式，可执行文件的加载方式

收集内存，硬盘，和其他内置或外接硬件信息，可用来搜索相关漏洞信息

2.2 软件信息

主要收集软件名称，软件安装位置，软件版本，软件依赖组件等信息。根据这些信息可以搜索是否有相关漏洞可以直接利用。根据收集到的信息复现软件执行环境，分析软件大致运行流程后可初步确定是否有dll劫持，白利用，权限提升等潜在逻辑bug。针对相同软件依赖组件的分析和利用，可以应用到很多软件中，从而实现事半功倍的效果。

2.3 固件信息

固件信息可用来搜索固件相关漏洞

2.4 客户端信息

主要收集操作系统版本，补丁，操作系统默认语言，时区等信息。不同操作系统的可执行文件需要单独编写。很多提权漏洞都可以通过系统补丁解决。很多时效性，或与时间相关的操作，都需要我们提前确定主机默认的时区。

3. 收集受害者身份信息

3.1 凭证信息

收集用户名，密码，web中使用的cookies,多因子授权信息，一次性密码，token等信息。这些信息可用来权限提升。我们可以使用搜索引擎，应用程序dump，代码托管平台等方式收集上述信息。

3.2 邮箱地址

可通过简历，搜索引擎，个人博客，公司网站等方式收集邮箱相关信息，

3.3 员工姓名

可通过图片，社交媒体等方式收集员工相关信息，结合收集到的邮箱地址等信息，可实现定向，成功率更高的钓鱼攻击。

4. 收集受害者网络信息

4.1 域名信息

可使用WHOIS等工具收集域名相关信息，如域名过期时间，子域名列表，域名注册邮箱等信息。可用来做url地址欺骗，钓鱼。

4.2 DNS信息

收集邮件服务器，CNAME，A，SPR等记录信息，DNS地址。可用来完善攻击点

4.3 网络连接的二方和三方信息

收集可以与受害者网络相连的其他组织。分析网络连接方式可能发现身份冒充，权限绕过的利用点

4.4 网络拓扑信息

收集子网划分，网关信息，堡垒机，vpn等信息，为后期横向移动做准备

4.5 Ip地址

收集ip地址相关信息

4.6 网络安全设备信息

收集防火墙，数据监测，代理或堡垒机，NIDS，IDS,IPS等设备信息。利用已知漏洞。分析绕过原理

5. 收集受害者组织信息

5.1 地址信息

收集公司办公地址信息

5.2 经营信息

收集公司经营内容，合作方等信息

5.3 业务信息

收集公司业务的消息，可以通过业务的数据大致推测出对应的服务器配置和可能的技术架构

5.4 角色信息

收集公司不同角色的信息，从而制定定制化的钓鱼，如针对hr可冒充面试者

6. 钓鱼信息

发送钓鱼邮件，携带恶意链接，恶意附件等。后续会在专门的钓鱼系列文章中详细介绍钓鱼常用工具，钓鱼常用技术

7. 闭源信息搜索

使用一些企业提供的威胁情报中心收集数据，如奇安信威胁情报中心，绿盟情报中心，360情报中心

8. 开放信息搜索

使用公开的信息，比如dns服务器，cdns,whois,数字证书

9. 开放网站信息

使用社交媒体，搜索引擎，代码托管平台

10. 受害者自建网站

浏览企业自建网站，小程序，app等