该篇主要介绍横向移动中常用的技术和工具
1. 利用远程服务
利用之前收集到的主机上的服务信息和版本号,搜索或挖掘是否存在可用的漏洞,利用漏洞访问失陷主机连接的其他主机。常见的服务有 SMB,RDP,MYSQL,web服务器等
2. 内部钓鱼
内部钓鱼可以利用组织间的相互信任,成功率更高,比如收到某个同事发送携带恶意附件或恶意链接的工作邮件,通常很难怀疑邮件是否有恶意行为。通过点击恶意链接,可能授予了某个内网子系统的访问权限,携带的恶意附件有可能是个键盘监听器,也有可能是创建用户或修改密码策略的程序。攻击者还可能利用公司内部的IM通信工具发送恶意程序和链接
3. 横向工具转移
可以使用系统内置的命令,传输恶意工具和文件。 scp, rsync, curl, sftp,ftp,windows文件共享等
4. 远程服务会话劫持
4.1 SSH劫持
通过破坏SSH代理本身或访问代理的套接字来劫持SSH会话,该会话是之前就存在的,不会创建新的会话
4.2 RDP劫持
c:\windows\system32\tscon.exe [session number to be stolen]
5. 远程服务
5.1 远程桌面协议
使用远程桌面服务登录失陷主机
5.2 SMB/Windows Admin Shares
使用SMB/Windows Admin Shares,访问操作远程主机文件
5.3 分布式组件对象模型
DCOM是windows封装的一套交互框架,可以被各种编程语言使用,也可以在办公软件的宏中使用
5.4 SSH
5.5 VNC
5.6 windows远程管理
winrm
5.7 云服务
5.8 直连云vm
6. 通过可移动介质进行复制
通过usb连接感染主机
7. 软件开发工具
利用CI|CD类服务实现横向移动,利用企业内部的软件开发工具,如代码管理,资源管理等工具
8. 受污染的共享内容
修改共享网络路径中的文件