國家級網絡攻防演練已經進行了七年，攻防雙方的對抗日益激烈，技戰術水平也得到了極大的提升。除了“正”面常規技戰術對抗之外，攻擊隊還采用了各種新穎的變形繞過攻擊手段，包括利用0day漏洞和免殺工具等，不斷嘗試突破防御，出“奇”不窮。

當前，攻防演練正朝著系統化、規范化的方向發展。從早期針對門戶和信息系統的對抗，到現在針對網絡基礎設施和供應鏈環境的對抗，范圍不斷擴大，演練規則也在不斷完善。攻防演練的目標也從實際作戰要求出發，考察攻防雙方的能力。

• 戰術謀劃：全局掌控、分工協作、虛實結合、供應鏈利用、迂回突破等能力

• 技戰水平：工具準備、0day儲備、社工分析、免殺木馬、資產弱點收集等能力

• 隱匿技能：載荷隱蔽、駐點隱蔽、工具隱蔽性、C2隱蔽性、痕跡清除、潛伏擴散等能力

• 業務理解水平：業務網絡刻畫、關鍵系統識別、脆弱性識別等能力

• 監測發現：發現攻擊及時、監測手段多樣、覆蓋攻擊完整等能力

• 分析研判：排查資產準確、分析影響范圍及危害迅速、職責明確、工具專業等能力

• 通報預警：通報告警準確、合理、有效，通報機制和流程規范等能力

• 應急響應：應急預案完備，阻斷、根除威脅準確且及時等能力

• 協同聯動：聯動處置有效的能力，包括單位各部門之間、與下屬單位、供應鏈廠商等的聯動

• 追根溯源：還原攻擊路徑、具備攻擊畫像、攻擊溯源反制等能力

在演練中，攻擊方會根據收集的信息針對防守方的弱點發起攻擊。典型的攻擊入口包括：對外暴露的門戶/業務組件漏洞、OA漏洞、API接口未授權訪問、VPN等運維或安全產品、下屬單位或云SaaS服務或供應鏈三方業務的網絡側反向侵入。無論是通過上述方式突破邊界，還是通過社工手段釣魚郵件突破邊界，攻擊方會采取各種方法隱匿攻擊載荷內容和遠程控制過程。隨著對抗不斷向真實作戰情況看齊，為了繞過安全防御系統，攻擊方會使用更新穎的變形繞過、加密免殺等隱匿攻擊技術，這讓防守方頭痛不已。

攻擊方會使用各種技術手段將數據隱藏在常規網絡流量中，繞過安全設備和檢測，實現邊界突破、遠程控制、內網穿透和橫向移動，以達到目標。

針對Web應用的攻擊是主要威脅來源，如Web框架/組件、Web管理平臺和應用接口等一直是主要的攻擊入口。在攻防演練中，攻防對抗更為激烈。當正面攻擊手段無法應對防御時，攻擊者會采用出其不意的變形逃逸方式突破防御，最終“瞞”過安全防御系統拿下目標。

攻擊者會針對通信內容加密或通道使用SSL/TLS加密，又或者針對載荷進行編碼：

編碼前：

編碼后：

突破邊界后，攻擊方會采用多種C&C隱藏技術和通信隱匿技術“暗”中對抗檢測審查和流量分析，控制失陷主機。攻擊方通常使用各種協議、端口、加密算法和隧道等方式進行偽裝，逃過安全設備的檢測。在近幾年攻防演練中，攻擊方經常利用云函數等正常的云SaaS服務來逃避安全檢測。

在攻防演練中，最典型工具要數CobaltStrike，該工具隱匿方式多樣、對抗手段豐富，集成了豐富的流量監測和內存逃逸技術，具有靈活的C2 profile配置能力用來對抗檢測。例如可以通過C2 profile配置C2通信心跳及其抖動、通信內容數據加密和URL偽裝等方式來逃避檢測。僅利用特征指紋的單一傳統防御難以應對這類攻擊。

set sleeptime "5000";
set jitter "100";
set maxdns "255";
set useragent "Mozilla/5.0 (compatible; MSIE 8.0; Windows NT 6.1; Trident/5.0)";
http-get {
set uri "/image/";
client {
header "Accept" "text/html,application/xhtml+xml,application/xml;q=0.9,*/*l;q=0.8";
header "Referer" "http://www.xxxx.com";
header "Pragma" "no-cache";
header "Cache-Control" "no-cache";
metadata {
netbios;
append "-.jpg";
uri-append;
}
}

攻擊方在拿到駐點機器后，通常會“借”用該機器作為跳板，通過內網穿透工具，實現外網到內網的跨邊界跳轉訪問。攻擊方可以借助代理轉發等方式對內網目標進行訪問或將目標內網IP映射到外網，為進一步從外到內滲透拓展提供便利。典型的內網穿透工具有frp，這是一個專注于內網穿透的代理轉發應用，支持TCP、UDP、HTTP、HTTPS等多種協議，并支持加密配置以保障自身通信安全。frp可將通信內容加密傳輸，繞過防護監測，諸如此類的工具還有ngrok、reGeorg等。

# frpc.ini

[ssh]type =tcp

local_port =22

remote_port =6666

use_encryption =true

use_compression =true

攻擊方在攻入目標網絡后，通常會抓住參演單位多方協防漏洞、內網防護措施不到位、疲于應對海量告警和滿天傳言的可乘之隙，從中“摸”魚，利用跳板機器，通過偵察、憑證竊取、遠程服務、哈希傳遞等技術手段進行橫向移動，取得目標。

例如，攻擊隊會利用工具如fscan對內網其他機器進行信息刺探，利用內網機器的安全漏洞、弱口令和系統錯誤配置等問題來進行橫向滲透，擴大戰果。攻擊方甚至會在內網不斷破解獲取帳號憑據，以滾雪球的方式濫用賬號憑證進行橫向移動，重點破解OA系統、域控服務器、運維管理平臺、統一認證系統和郵件服務器等權限，最終控制業務系統和網絡設施，拿下靶標系統并獲取核心數據。

守方通常會采用縱深防御策略來建設自身的安全防御體系，但是在面對如上所述的復雜隱匿攻擊手段時，還要具備持續檢測和主動行為識別能力，不然防守將會功虧一簣。因此，提高網絡可見性，在早期階段識別和阻止攻擊成為關鍵。在本系列后續文章中，我們將會逐一介紹在攻防演練中攻擊方如何施計隱行蹤，我們又當如何破其法。