ATT&CK系列之横向移动篇

该篇主要介绍横向移动中常用的技术和工具

1. 利用远程服务

利用之前收集到的主机上的服务信息和版本号，搜索或挖掘是否存在可用的漏洞，利用漏洞访问失陷主机连接的其他主机。常见的服务有 SMB，RDP，MYSQL，web服务器等

2. 内部钓鱼

内部钓鱼可以利用组织间的相互信任，成功率更高，比如收到某个同事发送携带恶意附件或恶意链接的工作邮件，通常很难怀疑邮件是否有恶意行为。通过点击恶意链接，可能授予了某个内网子系统的访问权限，携带的恶意附件有可能是个键盘监听器，也有可能是创建用户或修改密码策略的程序。攻击者还可能利用公司内部的IM通信工具发送恶意程序和链接

3. 横向工具转移

可以使用系统内置的命令，传输恶意工具和文件。 scp, rsync, curl, sftp，ftp，windows文件共享等

4. 远程服务会话劫持

4.1 SSH劫持

通过破坏SSH代理本身或访问代理的套接字来劫持SSH会话，该会话是之前就存在的，不会创建新的会话

4.2 RDP劫持

c:\windows\system32\tscon.exe [session number to be stolen]

5.  远程服务

5.1 远程桌面协议

使用远程桌面服务登录失陷主机

5.2 SMB/Windows Admin Shares

使用SMB/Windows Admin Shares，访问操作远程主机文件

5.3 分布式组件对象模型

DCOM是windows封装的一套交互框架，可以被各种编程语言使用，也可以在办公软件的宏中使用

5.4 SSH

5.5 VNC

5.6 windows远程管理

winrm 

5.7 云服务

5.8 直连云vm

6. 通过可移动介质进行复制

通过usb连接感染主机

7. 软件开发工具

利用CI|CD类服务实现横向移动，利用企业内部的软件开发工具，如代码管理，资源管理等工具

8. 受污染的共享内容

修改共享网络路径中的文件

9. 使用可替代的身份验证凭证

9.1 应用访问token

9.2 利用密码hash

9.3 利用密码票据

9.4 web应用session和cookie