首页 > 其他分享 >红队打点的思路与信息收集

红队打点的思路与信息收集

时间:2024-09-14 16:54:35浏览次数:7  
标签:打点 企业 运维 收集 FW 区域 办公 服务器 红队

目录

打点思路

核心目的

为权限落点区域做信息收集,收集企业边界区域的信息

  • 边界DMZ区(重点):漏洞、VPN登录、云桌面登录
  • 边界办公区(重点):钓鱼、水坑、投毒
  • 公有云区:漏洞、钓鱼、水坑
  • 边界外联区:漏洞、钓鱼、水坑
  • 边界无线区:近远

区域介绍

区域名称区域简介资产信息平台设备
公有云公有云基础设施,如阿里云和腾讯云的云服务。其上运行着对外的业务,数据可能存储在云上也可能存储在企业本地私有云内。服务器内可能存在运维管理相关信息。内部员工数据、私有云数据库信息、运维管理信息云堡垒机、云端统一管理平台
私有云企业通过虚拟化平台搭建起来的内部私有云环境。vcenter、esxi、深信服虚拟化平台、华为云计算平台等。虚拟化管理控制台
互联网接入区企业通过在互联网接入区部署相关的安全设备和网络设备实现内外网之间的网络连接和安全防护。网络设备、安全设备FW、WAF、IPS、IDS
dmz区企业在dmz区部署面向互联网的各类web、APP、CS等业务服务。该区域内为重点区域。Web端业务服务器、移动端业务服务器、CS端业务服务器、数据缓存服务器服务器防护产品或设备如hids、网页防篡改、API认证网关、FW、蜜罐
办公终端区企业在办公终端区为企业员工的办公区域。部分企业会将办公终端区分为外网终端办公区和内网终端办公区(如物理机为可出网的外网办公终端,通过VDI技术在私有云内创建一个终端区用于不出网的内部办公,在物理机上通过VID客户端接入内网终端办公区),也有一些企业将办公终端区划分为内部员工终端区和外包员工终端区。该区域含有各个部门的办公终端。办公终端网络准入控制、上网行为管理、安全认证网关、av、edr、FW、DLP
无线接入区企业在无线接入区为企业内部移动设备或者笔记本办公接入使用。WI-FI无线准入控制、安全认证网关
内网生产服务区企业在内网生产服务区部署面向企业业务的各类web、APP、CS等业务服务。该区域为重点区域。Web端业务服务器、移动端业务服务器、CS端业务服务器、数据缓存服务器、域控防护、生产域控、财务系统、内部业务系统服务器防护产品或设备如hids、API认证网关、FW、WAF、蜜罐
内网生产服务区企业在内网生产服务区部署面向企业业务的各类web、APP、CS等业务服务。该区域为重点区域。Web端业务服务器、移动端业务服务器、CS端业务服务器、数据缓存服务器、域控防护、生产域控、财务系统、内部业务系统服务器防护产品或设备如hids、API认证网关、FW、WAF、蜜罐
内网办公服务区企业在内网办公服务区部署面向内部员工的各类web、APP、CS等办公服务。该区域为重点区域。Web端业务服务器、移动端业务服务器、CS端业务服务器、数据缓存服务器、办公域控、办公OA、办公邮服、VPN、HR系统、SSO、wiki、共享云盘服务器防护产品或设备如hids、API认证网关、FW、WAF、蜜罐、邮件网关、域控防护
内网数据库区企业在内网数据库区部署面向生产业务的数据库,以承载来自dmz区、内网生产服务区和内网办公服务区诞生的业务数据。该区域为核心区域。数据库、数据库主机、数据库备份主机数据库审计系统、数据防泄漏、服务器防护产品或设备如hids、FW、蜜罐
内网开发测试区企业在内网开发测试区为内部开发测试人员提供业务开发和测试所需的资源环境。开发和测试业务、数据库、服务器主机服务器防护产品或设备如hids、FW
内网核心交换区企业通过路由器、交换机等网络设备在内网核心交换区建立企业内部网络架构。路由器、交换机FW、IDS、全流量探针
运维管理服务区企业在运维管理服务区为运维、网络、安全、等信息化岗位员工提供单独区域用于运维管理。该区域为核心区域。防火墙管控平台、堡垒机、全流量分析平台、HIDS平台、av管控平台、edr管控平台、邮件网关、域控管理平台、运维管理平台、日志采集管理平台、SOC/态势感知、安全评估系统服务器防护产品或设备如hids、FW、WAF、蜜罐
运维管理办公终端区企业在运维管理办公终端区为运维、网络、安全、等信息化岗位员工提供单独区域用于运维管理办公。该区域为核心区域。办公终端网络准入控制、上网行为管理、安全认证网关、av、edr、FW
第三方外联区(上级外联区、供应商外联区、渠道商外联区)企业在第三方外联区为总部、上级单位、监管单位、下级部分、分支机构提供专网接入,为供应商和渠道商提供VPN接入。专网、VPNAPI认证网关、FW、WAF、IPS

打法思路

主要边界

目的:
  • 获取应用服务器权限
  • 获取内部员工信息
  • 寻找应用沟通交流功能
  • 获取应用代码或者供应商信息
  • 获取内网网络访问权限
  • 获取办公终端电脑权限
打法
  • 典型漏洞攻击
  • 0day攻击
  • 移动端攻击
  • 供应链攻击
  • 邮件钓鱼攻击
  • 社工钓鱼攻击
  • 水坑攻击
  • 投毒攻击
  • VPN登录

近源攻击

目的
  • 获取办公端电脑权限
  • 获取内网网络访问权限
  • 获取内网服务器权限
打法
  • U盘投递
  • 办公电脑控制
  • WIFI攻击
  • WIFI仿冒

外联攻击

目的

回归集团网络

打法
  • 控股子公司梳理
  • 下属单位梳理
  • 主要边界技术
  • 近源攻击战术

公有云

目的
  • 获取内部员工数据
  • 获取应用服务器权限
  • 滥用应用沟通交流功能
  • 回归私有云
打法

k8s云安全
典型漏洞攻击
供应链攻击
钓鱼攻击
水坑攻击

内网横向

目的
  • 获取域控
  • 获取靶标
  • 获取堡垒机
  • 获取虚拟化平台
  • 获取服务器管控系统
  • 获取终端管控技术
打法
  • 漏洞攻击
  • 横向移动
  • 域渗透
  • 内网钓鱼
  • 内网水坑
  • 设备功能滥用

信息收集

企业基础信息收集

  • 目标企业信息:目标名称、主域名、出口IP(查备案信息,然后那备案信息反查)
  • 所属行业分类
  • 股权结构信息

企业安全防护收集

  • 供应商关系信息:软件供应链、安全供应厂商
  • 防毒产品
  • EDR产品(终端主机安全防护)
  • NTA产品(网络流量分析)
  • HIDS产品(服务器防护)
  • SOC产品(态势感知)
  • 安全运维
  • 受哪家保护

企业互联网资产信息

  • 互联网资产收集:子域名爆破、空间测绘、端口扫描、web识别
  • 资产和组件识别:web资产、移动端资产、C\S段资产
  • 供应链资产识别:VPN、OA、Mail、云桌面、CRM、SRM等
  • 敏感信息收集:邮箱、账号密码、泄露代码
  • 资产脆弱性识别:供应链资产、框架CMS、组件资产

工具

指纹识别工具:

链接:https://github.com/EdgeSecurityTeam/EHole
链接:https://github.com/s7ckTeam/Glass
链接:https://github.com/4dogs-cn/TXPortMap
链接:https://github.com/gobysec/Goby

Host碰撞工具:

链接:https://github.com/fofapro/Hosts_scan

403 bypass

链接:https://github.com/iamj0ker/bypass-403

标签:打点,企业,运维,收集,FW,区域,办公,服务器,红队
From: https://blog.csdn.net/ubaichu/article/details/142260217

相关文章

  • ATT&CK红队评估(红日靶场5)
    ‍靶机介绍此次靶场虚拟机共用两个,一个外网一个内网,用来练习红队相关内容和方向,主要包括常规信息收集、Web攻防、代码审计、漏洞利用、内网渗透以及域渗透等相关内容学习,此靶场主要用来学习,请大家遵守网络网络安全法。‍‍注意:Win7双网卡模拟内外网‍......
  • Datadog 监控最佳实践 | 收集正确的数据
    本文是Datadog“高效监控”系列的第一篇,后面还会有第二篇《针对重要事项发出警报》和《调查性能问题》。监控数据有多种形式-一些系统不断地输出数据,而另一些系统仅在罕见事件发生时才产生数据。有些数据主要用于识别发现问题、有些数据主要用于调查问题。更宽泛地说,监控数据是......
  • ATT&CK红队评估(红日靶场4)
    靶场介绍本次靶场渗透反序列化漏洞、命令执行漏洞、Tomcat漏洞、MS系列漏洞、端口转发漏洞、以及域渗透等多种组合漏洞,希望大家多多利用。环境搭建机器密码WEB主机ubuntu:ubuntuWIN7主机douser:Dotest123(DC)WIN2008主机administrator:Test2008网络配置111......
  • 使用Graylog分布式日志收集
    Graylog是一个开源的日志管理和分析平台,允许你集中收集、存储和分析日志数据。为了实现分布式日志收集,你需要将Graylog部署在多个节点上,并设置适当的配置以处理来自不同来源的日志数据。下面是如何实现Graylog的分布式日志收集的步骤:1.环境准备必备软件Graylog:日志管理和分析......
  • 【Azure Cloud Service】在Azure云服务中收集CPU监控指标和IIS进程的DUMP方法
    问题描述在使用CloudService服务时,发现服务的CPU占用很高,在业务请求并不大的情况下,需要直到到底是什么进程占用了大量的CPU资源,已经如何获取IIS进程(w3wp.exe)的DUMP文件? 问题解答一:收集云服务中CPU的性能数据远程登录(RDP)到云服务的实例上,使用管理员身份运行以下命令:Lo......
  • C++题目收集2
    这是本专栏的的第二篇收录集,我们一起来看一看那些有意思的题目,拓宽自己的思路。本期的题目有一些难,所以数目少一点。题目一:约瑟夫环#include<iostream>#include<vector>intjosephus(intn,intm){std::vector<int>people(n);for(inti=0;i<n;++i)......
  • [开题报告]flask框架基于Web安全的大学数学错题收集系统(python+程序+论文)
    本系统(程序+源码+数据库+调试部署+开发环境)带论文文档1万字以上,文末可获取,系统界面在最后面。系统程序文件列表开题报告内容研究背景在高等教育体系中,数学作为一门基础且重要的学科,其学习成效直接影响学生的专业素养与后续课程的掌握程度。然而,大学生在学习数学过程中普遍......
  • CCPC 中国大学生程序设计竞赛 信息全收集
    前言本页面为子页面,更多信息请参阅主页面,GitHub仓库。最后更新:2024.09.092020-2024疫情及疫情后2024.9-2025赛季10th简称官方名称举办时间承办评价补题链接网络预选赛The2024CCPCOnlineContest2024-09-08在线-PTA知乎GYM哈尔滨2024-10-20东......
  • 工具分享 | RequestTemplate - 一款两端并用的红队渗透工具以及甲方自查工具,其在内网
    0x00工具介绍RequestTemplate是一款两端并用的红队渗透工具以及甲方自查工具,其在内网渗透过程中有着不可替代的作用。客户端使用Golang以其精巧、快速的特点打造而成,快速发现内网中脆弱的一环。复现端使用Java以其生态稳定、跨平台、UI精美的特点打造而成,最小的发包量和平......
  • 代码随想录训练营第24天|回溯过程收集
    93.复原IP地址classSolution{public:vector<vector<string>>result;vector<string>path;boolcheck(string&sub){if(sub.length()>1&&sub[0]=='0')returnfalse;try{......