网络渗透知识体系与概念解读

这是一篇关于网络空间安全中关于网络渗透的知识体系梳理与概念解读。可以快速方便的对网络渗透知识进行系统化的学习

网络渗透

• 网络渗透（Network Penetration）是网络攻防行动中率先开展的、 也是最核心的环节，攻击者综合运用社工和技术手段对特定目标实 施渗透，获得远程目标上的代码执行权，为进一步植入恶意代码为 持久控制目标提供机会。
• 信息收集
  • 信息收集（Reconnaissance）主要是攻击者通 过各种侦查手段，尽可能全面的获取目标的情报信息，以制定有针 对性的行动策略，提高入侵的效率和成功的概率。
  • 社会工程信息收集
  • 网络端口扫描
  • 网站扫描
  • 软件与硬件信息探测
  • 凭证信息收集
  • 间接攻击目标收集
  • 社交网络信息收集
• 定向投递
  • 定向投递（Targeted Delivery）是将攻击者制作 好的恶意程序或代码片段投递到目标系统中的过程。该阶段是攻击 者对目标一种攻击尝试的活动，攻击者会尝试多种投递方式。
  • 给定域名/IP 渗透
  • 鱼叉式钓鱼邮件/短消息
  • 水坑攻击
  • 中间人攻击
  • 可信源/供应链污染
  • 无线接入投递
  • 非法硬件植入与欺骗
• 漏洞利用
  • 漏洞利用（Exploitation）主要是综合运用操作 系统和应用程序等的漏洞触发代码执行。该阶段使得攻击者投递的 恶意程序或代码片段获得执行机会。
  • 固件漏洞利用
  • 操作系统漏洞利用
  • 应用软件漏洞利用
  • 弱口令利用
  • 未授权访问漏洞利用
  • 漏洞利用套件Exploit Kit
  • 重放攻击
  • 账户仿冒
  • 文件上传漏洞
  • 文件包含漏洞
  • 命令注入
  • SQL 注入
• 代码执行
  • 代码执行（Execution）即攻击者投递的恶意程 序或代码片段在目标系统上执行的过程。该阶段使得攻击者可获得 目标系统的临时或持久控制权限。
  • 进程注入执行
  • 文件劫持执行
  • 反弹 Shell 执行
  • 远程服务调用
  • 远程命令执行
  • Webshell 执行
• 驻留与持久化
  • 驻留与持久化（Presence and Persistence） 即系统重启后如何让恶意代码自身再次获得执行权而不引起明显异 常，实现尽可能长时间生存。当然，也有极少量的恶意代码仅存在 于内存之中，断电或重启则会消失。这类恶意代码或者依托快速自 动传播能力实现总体规模平衡（如红色代码蠕虫），或者一次性完成 特定任务，避免持久化带来的异常。
  • 基于操作系统机制自启动
  • 基于注册表启动与驻留
  • 基于驱动程序启动与驻留
  • 基于系统服务启动与驻留
  • 基于文件感染/替换启动与驻留
  • 基于隐蔽账号持久化
  • 基于后门（Backdoor）持久化
  • MBR/BIOS/UEFI/Hypervisor 级驻留
• 权限提升
  • 权限提升（Privilege Escalation）是攻击者为了能够在受害主机或网络中获得更多资源时，采取的一种攻击技术， 目的是获得管理员权限或系统的执行权限。
  • 高权限的应用软件漏洞利用
  • 固件漏洞利用提权
  • 合法进程注入提权
  • 利用操作系统漏洞提权
  • 操作系统安全机制绕过
  • 利用数据库提权
  • 利用域控提权
  • 利用合法证书提权
  • 利用操作系统后门提权
  • 管理员密码爆破
• 横向移动/内网渗透
  • 横向移动/内网渗透（Lateral Movement）是攻击者进入目标网络后，在目标内网扩散，以获得更 高级别目标的执行权限或获取更多有价值的数据。
  • 失陷主机信息收集
  • 端口转发
  • 域控渗透
  • 移动存储介质传播
  • 网络设备渗透
  • 摄像头/视频系统渗透
  • 安全设备渗透
  • 办公网络渗透
  • 内网邮件渗透
  • 内部公共资源污染
  • 同步数据污染
• 痕迹清理
  • 痕迹清理（Trace Erasing）是攻击者为了避免 攻击痕迹被电子取证所采取的对抗动作。攻击者需要尽可能的切断 取证链，使得攻击现场难以还原。
  • 系统/网络/应用日志混淆
  • 系统/网络/应用日志删除
  • 系统/网络/应用日志修改
  • 数据恢复技术对抗
  • 系统还原机制利用
  • 安全审计设备干扰与停用