《攻防实战策略剖析与对抗博弈》潘立亚.pdf

《《攻防实战策略剖析与对抗博弈》潘立亚.pdf》由会员分享，可在线阅读，更多相关《《攻防实战策略剖析与对抗博弈》潘立亚.pdf（18页珍藏版）》请在三个皮匠报告上搜索。

1、攻防实战策略剖析与对抗博弈潘立亚-深蓝攻防实验室创始人兼负责人深蓝攻防实验室深信服深蓝攻防实验室创始人&负责人，拥有10余年攻防渗透经验，连续六年参加大型攻防演习活动，所带团队均取得最佳攻击团队战绩。曾在阿里峰会、OWASP、WOT、xKungfoo、ADconf等峰会分享攻防相关议题。一带一路高峰论坛安全保障先进个人、第一届超级CSO研修班特聘导师。潘立亚深信服专门进行攻防研究与红队实战的团队。研究对象包括：红蓝对抗、渗透攻击链、通用漏洞分析与挖掘、武器开发等。作为攻击队参加各种实战攻防演练，在国家级攻防、省级攻防、行业攻防、企业攻防等各类演习中表现突出，名列前茅（2021国家级攻防排名第五

2、；2022国家级攻防排名第四；实战top2）。2020年在北京、浙江、安徽、黑龙江、江西、青海、广西、海南、内蒙、天津、广东 11个省级攻防取得冠军的成绩，前三排名占比80%。2021年，省级HW冠军10个：上海、浙江、山东、安徽、江西、广西、黑龙江、青海、深圳（副省级）、湖北，亚军：内蒙、云南、湖南，季军：辽宁、四川、江苏。深蓝攻防实验室目 录01实战攻击手法归纳03进攻体系新范式02应用链vs攻击面04端与流量防护逃逸实战典型攻击案例QYS 0day社工钓鱼浏览器密码知识库SSO邮箱组织架构精准钓鱼域内主机域控权限终端下发管理员主机权限登录堡垒机控制托管主机靶标权限横向移动OA新据点业务分

3、析探测重要系统重要数据卒流量对抗卒端侧对抗2023实战攻击归纳0day储备立体化 漏洞攻击体系化、IT业务串（SSO IAM OA ERP CRM PM pan Sign Dev.）漏洞组合巧妙化（告警无害化）社工钓鱼精准化 社工钓鱼人性化&需求吻合化，管理员系列精准化供应链攻击具象化 大小供应链，大行业通用型、厂商推送类 行业属性类、数科运维建设类、软开通用类.武器装备定制化 无特征、躲避监控、攻击效率、模拟白名单内网攻击集权化 管理集权：堡垒机、AD域控、EDR总控、K8s.；后利用 内容集权：知识库、OA、邮箱、网盘存储.；后利用横向移动无感化 集权产品后利用管理员化，设备研究底层化 加

4、密流量、认证优先、狡兔三窟关基业务熟练化 逻辑结构、曲线救国、跑马圈地等实战进攻能力模型IT建设应用链&攻击面分析正常的一个业务流程处理应用-登录-认证/校验-数据库-业务数据OA/CMS-login-SSO/MFA-DLP-crypto【端点、落网、边界、应用】正向思维 Bypass看到什么应用打什么应用？打穿打透、卷地式包围特定应用对应的攻击手法-后利用体系化前提：有大量储备；缺点：浪费子弹逆向思维（业务视角）靶标是什么？（e.g.构建机）这个目标的路径上有哪些可能的业务应用优点：相对精细后利用-体系化各应用类型、维权后的下一步，例如nacos、集权进攻体系新泛式（端&流量）整体攻击链-端

5、侧攻击链-端侧防御原理=逃逸方案攻击者会产生各类行为动作，其中90%的行为动作在端上进行端侧安全逃逸手法归纳1.API重写动态加载2.免杀壳伪造入口点3.SMC4.细粒度分段加密5.尽可能降低“危险值”6.静态文件逃逸1.shellcode内存加密/自解密运行2.线程堆栈欺骗3.干扰语义分析引擎4.虚拟机壳内存特征逃逸1.syscall2.脱钩3.反射DLL注入4.进程注入进程行为逃逸1.R3 高权限句柄2.R3 DOS漏洞3.R0 白签名驱动4.R0 白签名驱动任意地址写漏洞5.巧妙利用虚拟化 WCIFEDR致盲静态逃逸-细粒度分段加密静态，对抗信息熵，对需要保护的代码/数据片段进行加密，以

6、破坏可读性。同时还不能显著增加信息熵【概率】。方法：每隔480字节加密48字节，在破坏加密区域代码可读性的同时，不会显著增加信息熵。OEP解密功能代码还原加密部分OEP解密功能代码内存特征逃逸-线程堆栈欺骗KernelBase!SleepEx 和 ntdll.dll!NtDelayExecution 是beacon处于睡眠状态的标志0 x22d6bd5bd51，堆栈遍历尚未解析此地址的符号-虚拟内存【此地无银三百两】利用对Sleep的hook，在shellcode进入休眠状态后将线程的返回地址改成0，然后在hook