APT攻防整理-攻击方法/工具

攻击步骤

一般步骤
社工
武器制造
武器投递
漏洞利用
安装后门
后渗透
这5个阶段攻击非常隐蔽，可绕过传统安全设备检测
潜伏控制
传统通信方式不会使用，如cc/socket/http(可采用安全隧道拦截数据)
-- 采用隐蔽隧道如ICMP/DNS
横向扩散
清除日志

ICMP攻击

原理 - 绕过WAF(多数防火墙未对ICMP流量做限制)
工具相关 PiX-C2、icmpsh、Nishang结合icmpsh 、ptunnel 、icmpshell	

防御：

DPI深度包解析技术
机器学习 神经网络/贝叶斯算法
互联网出口禁用ICMP协议/只对信任IP地址开启ICMP

DNS攻击

工具
Dnscat2

 DropBox

工具 DropBoxC2C

Gmail  Telegram Twitter

工具
Web Gcat 、 Gdog 、twittor、bt2
、Website Keyword

Powershell工具

PoshC2

Windows Com 攻击

工具
Koadic

WebDAV攻击

工具相关
WebDAVC2

Cobalt Strike的“External C2”接口攻击

Https攻击

工具
ThunderShell
PoshC2

Kernel攻击

工具 Redsails

Website攻击

工具
TrevorC2

WMI攻击

工具
WMImplant、
WmiShell 、 WMIOps

WebSocket攻击

工具
WSC2

Images攻击

Web Interface攻击

工具
Ares

JavaScript攻击

工具
JSRat

真实地址隐藏

工具
Empire2.0、Tor、 VPN

鱼竿 - 后门

CHAOS（基于golang）
https://github.com/tiagorlampert/CHAOS

鱼钩

ngrok
https://ngrok.com/ 

鱼饵

洋葱路由
http://www.theonionrouter.com
匿名网络空间
https://www.upload.ee/

彩蛋

钓鱼exp（word宏/浏览器插件）
匿名邮箱
"http://www.yopmail.com/
https://mytemp.email/"

匿名网上冲浪
洋葱共享
匿名获取美帝电话号码
渗透测试系统和平台

邮件伪造

工具 - Swaks
平台
Kali
使用说明
swaks --to xxxx@xx.com --from xxx@xx.com --ehlo xx.com --body xxxx --header "Subject: xxx

swaks --data ./Desktop/email.txt --to xxxxxxxxx@qq.com --from xxx@admin.com
SPF检测
Windows
nslookup -type=text 域名
Linux
dig -t txt 域名