【霄享·安全】红蓝对抗中的那些事：攻击篇——2023年4月刊（总第38期）

在电影《让子弹飞》中，有这么一个人，名叫黄四郎。这个人的家是一座碉楼，远来的客人见了这碉楼，如此形容:“竹林掩映，碉楼耸立，易守难攻，万夫莫开。

即使如此，在这个平行时空里故事的结局依旧凄惨：碉楼被攻，黄家五代家业皆被瓜分殆尽。

在我们所处的这个时空中，如果想要保存一样东西，那该怎么办呢？或许可以将东西放在保险箱里，然后把保险箱存放在一个装了防盗门的房间里，再在门口装几个摄像头，放上一只六亲不认的大狗。

当这件事延伸到互联网，就会变的有意思起来。

我们所处的时代，也是一个互联网愈发普及的年代。在这个网络世界里，我们该如何保证自身的网络安全呢？

正文篇

互联网给人们生活和工作带来的便利，不用多说，大家都能感受到，那是空前绝后的。但事情总是有两面性的，空前便利的同时，也带来了空前的风险。

那么这种风险具体又是什么呢？我们不妨举个例子吧。

在2018年，facebook发生数据泄露事件，当时该公司市值蒸发了三百多亿，给公司带来的后果，堪称是灾难性的。

这个时候，有人会问：“那么我们有没有什么好的办法，来阻止这种风险呢？”

这个当然是有的。无论是安装防火墙，或是态势感知等安全产品，都能有效阻挡大部分风险。

但随之而来就有一个大问题出现，这些安全产品的价格并不便宜，如果该企业的领导足够重视网络安全，那还好说，但如果领导并不了解网络安全的重要性呢？

记得我爸曾和我说：“儿砸，你说你干的活，我也看不到你到底干了啥，感觉‘虚’的很。”

我想安全人员给领导们的感觉也大概是如此了。

所以，这里领导们大概会想：我给你安全投了这么多资金，但是年底了，无事发生，我也没有看到任何成果。我这钱到底是发挥作用了还是打水漂了呢？

但也有另一种情况：公司出了很大的安全问题，领导们想：我给你投了这么多钱，合着一点用没有。我这钱到底有没有发挥作用？

那么有意思的就来了，有没有一种方法，能够既在让领导们看到成果的同时，又不会对企业造成影响呢？

答案当然是有的，这也就是我们接下来要说的：红蓝对抗！

关于红蓝对抗，一些过于官方的解释，这里就不多说了。简单的可以理解为，红队（攻击方）模拟黑客攻击蓝队（防守方），尝试找到网络系统的漏洞和弱点并利用，进入蓝队的网络系统，获取敏感信息或控制网络。而蓝队的任务是保护网络系统的安全和完整性，防止被红队攻击和入侵。

当最后总结的时候，所有的成果都展现在领导面前，那么安全人员就能让领导们知道，安全到底干了些啥。

难道红蓝对抗的意义，只是为了让领导们知道安全到底干了什么吗？

当然不是。红蓝对抗，是通过模拟真实的攻击和防御情境，来测试安全防御措施的有效性和弱点，以及能够高效迅速的帮助企业提高其网络安全水平。

那么接下来我们详细说说，关于红队做的事情吧。

攻击篇

《孙子兵法》说过：“知己知彼，百战不殆；不知彼而知己，一胜一负；不知彼，不知己，每战必殆。”

如果在红蓝对抗中，蓝队知道了红队的情报，虽然不能说是百战百胜，但至少防守起来会舒服很多。

正好在刚刚过去的三月下旬，由上汽集团网络安全应急响应中心牵头组织五家企业，并邀请了五支来自业内顶尖的专业红队，其中不乏国家护网和磐石行动的前三队伍，举办了一场红蓝演练。此次红蓝演练，完全以国家型护网的方式，从多个角度，对这五家企业进行攻击。

那么接下来，本红队小菜鸟就来说说红蓝对抗中，红队的那些操作。

一般来说呢，红队攻击大概可以分为事前、事中、事后三个阶段，这么说可能显得过于笼统，所以也可以说：前期准备阶段、对抗实施阶段、总结汇报阶段。

这个阶段大概包含了对红蓝对抗规则、攻击范围、攻击时间等方案的了解及确定。

这一阶段，就是重头戏了。在这个阶段，红队将对蓝队展开全面进攻，手段包括但不限于：漏洞挖掘、钓鱼、社工等等。

一切目的都围绕着拿下蓝队靶标。

接下来详细说说这一阶段红队的操作：

●资产收集：红队会对目标进行信息收集工作，比如网站备案、IP、开放端口，子域名这些信息。具体内容，可查看之前本菜鸟写的。

●社工钓鱼：这个阶段，当然也少不了对目标进行钓鱼社工等操作，获取目标账户的邮箱账号密码，以及获取该目标的vpn账号等其他信息。

●信息泄露：信息收集阶段，还有个一非常好的方法，那就是通过信息的泄露获取敏感信息，从而获得重大突破。

信息收集完成，接下来就是利用收集到的信息，进行下一步渗透。其目的就是为了突破到蓝队的内网环境。

了解了这个目的，那么接下来就要想办法实现：

● 站点突破：利用之前收集到蓝队的网络资产，进行渗透测试，并且利用漏洞，如：0day，nday以及cve等方法，getshell，然后进行内网突破。

● 社工钓鱼：在信息收集过程中，红队通过社工钓鱼，收集到一些信息，如：发送钓鱼邮件，一旦有员工上当一旦钓鱼成功，，轻则被拿下邮箱账号密码，获取公司内部信息；重则被红队获取主机权限，从而突破内网。

●敏感信息泄露：在上个阶段收集到蓝队暴露在公网上的资产信息，比如，通过查找github、码云以及文库、网盘、在线文档编辑工具等公共平台，发现目标企业是否存在敏感信息泄露。这些信息，往往有可能存在一些账户密码等重要内容，一旦暴露，红队就可以利用这些信息，攻击蓝队系统。

敏感信息泄露到公网环境，一旦被红队发现并利用其泄露的信息，后果可能难以想象，比如：

当我们突破到了内网，接下来就要对内网下手了。

进入内网后，我们同样要对内网进行一波信息收集，收集的内网信息包括内网网段、存活主机、开放端口、操作系统等信息。

然后需要查看内网是否存在可利用的主机漏洞或者其他内网服务的漏洞，其目的是为了控制更多主机，获取主机最高权限，并获取管理员信息，从而获取域凭证，进而获取域控权限，甚至拿下整个内网权限。

自此，红队的目的就达成了，红蓝对抗也算结束了。

说了以上这么多，那么有没有完整攻击链的例子呢？当然是有的，以下是某次红蓝演练，红队完整的攻击链路：

事情到了这一步，就要把红蓝对抗的成果告诉总结出来，汇报战果，然后进行对此次红蓝对抗进行复盘，详细讲述攻防过程及入侵路径，讨论攻击手段和技巧、攻击成果，结合实际情况提出优化建议，固化红蓝对抗成果。最后总结红蓝对抗过程成果，提供安全建议。

在红蓝对抗中，红队需谨记，红蓝对抗只是演练，所以需要注意的是，在攻击过程中应该遵守一定的法律和道德准则，确保攻击行为的合法性与合理性。红队攻击的主要目的是为了测试目标系统的安全性，并帮助蓝队改进防御措施，而不是为了进行非法或有害的攻击行为。

总结篇

总的来说，红蓝对抗演练是一种模拟攻击与防御的训练活动，旨在帮助企业或组织提高网络安全防护能力和应急响应能力。

其实就我浅薄得见识来说，不管是黑客入侵还是红蓝对抗，除了需要掌握各种工具方法外，还需要很多灵光乍现的思路。有些时候，清奇的思路带来的收获，可能是意想不到的。

兵法有云：“出其不意，攻其不备”，大概在黑客世界里也是适用的。在防守方想不到的地方下手，也许才能得到最大的攻击成就。

帆一尚行是上汽集团为数字化转型而设立的创新平台，以“消融产业边界，释放数据价值”为己任，聚焦安全云、自动驾驶云、智能制造及产业互联网技术领域，赋能行业数字化转型，加速产业数字化、数字产业化进程，积极推动社会数字经济发展。作为一家发展多元化业务的科技公司，帆一尚行为企业、开发者和政府机构等提供安全、可靠的数据计算与处理能力、专属云产品与服务。

帆一尚行安全团队通过产品+服务的形式，为企业提供一站式的网络安全解决方案。安全团队具备深入的安全技术知识和实践经验，在企业合规咨询、安全建设、安全攻防和应急响应方面有着丰富的经验。帆一将企业安全能力和帆一云安全能力进行融合，以双向协同的模式，为企业提供高效、常态化的安全服务。

红蓝对抗演练，通过模拟真实黑客攻击，可做到对企业进行全场景，多样化的攻击，以体现出企业人员、网络、应用、物理安全控制和防护体系在真实攻击时的防御水平。从而最有效的发现组织内部的风险点。有助于找出企业信息安全中最脆弱的环节，提升企业安全能力的建设；同时提高公司安全成熟度及其检测和响应攻击的能力。