第一, 什么是蓝队蓝队一般是指网络实战攻防演习中的攻击一方。蓝队一般会采用针对目标单位的从业人员以及目标系统所在网络内的软件、硬件设备同时执行多角度、全方位、对抗性的混合式模拟攻击手段通过技术手段实现系统提权、控制业务、获取数据等渗透目标来发现系统、技术、人员、管理和基础架构等方面存在的网络安全隐患或薄弱环节。蓝队人员并不是一般意义上的电脑黑客。因为黑客往往以攻破系统获取利益为目标而蓝队则是以发现系统薄弱环节提升系统安全性为目标。此外对于一般的黑客来说只要发现某一种攻击方法可以有效地达成目标通常就没有必要再去尝试其他的攻击方法和途径但蓝队的目标则是要尽可能地找出系统中存在的所有安全问题因此往往会穷尽已知的“所有”方法来完成攻击。换句话说蓝队人员需要的是全面的攻防能力而不仅仅是一两招很牛的黑客技术。蓝队的工作也与业界熟知的渗透测试有所区别。渗透测试通常是按照规范技术流程对目标系统进行的安全性测试而蓝队攻击一般只限定攻击范围和攻击时段对具体的攻击方法则没有太多限制。渗透测试过程一般只要验证漏洞的存在即可而蓝队攻击则要求实际获取系统权限或系统数据。此外渗透测试一般都会明确要求禁止使用社工手段通过对人的诱导、欺骗等方法完成攻击而蓝队则可以在一定范围内使用社工手段。还有一点必须说明:虽然实战攻防演习过程中通常不会严格限定蓝队的攻击手法但所有技术的使用目标的达成也必须严格遵守国家相关的法律和法规。在演习实践中蓝队通常会以3人为一个战斗小组1人为组长。组长通常是蓝队中综合能力最强的人需要较强的组织意识、应变能力和丰富的实战经验。而2名组员则往往需要各有所长具备边界突破、横向移动利用一台受控设备攻击其他相邻设备、情报收集或武器研制等某一方面或几个方面的专长。蓝队工作对其成员的能力要求往往是综合性的、全面性的。蓝队成员不仅要会熟练使用各种黑客工具、分析工具还要熟知目标系统及其安全配置并具备一定的代码开发能力以便应对特殊问题。第二, 蓝队演变趋势“魔高一尺道高一丈”防守能力提升的同时攻击能力也在与时俱进。目前蓝队的工作已经变得非常体系化、职业化和工具化主要变现如下。1 体系化从漏洞准备、工具准备到情报收集、内网渗透等每个人都有明确的分工有组织地形成团队作战能力已经很少有一个人干全套的情况了。2 职业化蓝队人员都来自各组织专职实战演习团队有明确分工和职责具备协同配合的职业操守平时开展专业化训练。3 工具化工具化程序持续提升除了使用常用渗透工具基于开源代码的定制化工具应用增多自动化攻击被大规模应用如采用多IP出口的自动化攻击平台进行作业。从实战对抗的手法来看现如今的蓝队还呈现出社工化、强对抗和迂回攻击的特点。1 社工化利用“人”的弱点实施社会工程学攻击是黑产团伙和高级威胁组织的常用手段如今也被大量引入实战攻防演习当中。除了钓鱼、水坑等传统社工攻击手段外如今的蓝队还会经常通过在线客服、私信好友等多种交互平台进行社工攻击以便更加高效地获取业务信息。社工手段的多变性往往会让防守方防不胜防。2 强对抗利用0Day漏洞、NDay漏洞、免杀技术等方式与防守方进行高强度的技术对抗也是近1-2年来蓝队在实战攻防演习中表现出的明显特点。特别的蓝队人员大多出自安全机构经过专业训练因此往往会比民间黑客更加了解安全软件的防护机制和安全系统的运行原理其使用的对抗技术也往往更具针对性。3 迂回攻击对于防护严密有效监控的目标系统来说正面攻击往往难以奏效。这就迫使蓝队越来越多的采用“曲线救国”的攻击方式将战线拉长从目标系统的同级单位和下级单位入手从供应链及业务合作方下手在防护相对薄弱的关联机构中寻找突破点通过迂回攻击的方式攻破目标系统。第三, 蓝队四板斧——攻击的四个阶段蓝队的攻击并非是天马行空的撞大运而是一个有章可循、科学合理的作战过程。一般来说蓝队的工作可分为四个阶段站前准备、情报收集、建立据点和横向移动。我们也常将这个四个阶段称为蓝队工作的“四板斧”。一、 第一阶段准备收集在一场实战攻防演习作战开始前蓝队人员主要会从以下几个方面进行准备。1 漏洞挖掘漏洞一直是第一攻击力。前期的漏洞挖掘对于打开突破口显得非常重要在实战中漏洞挖掘工作一般会聚焦于互联网边界应用、网络设备、办公应用、运维系统、移动办公、集权管控等方面。此外只是找到漏洞还不够好的漏洞利用方式也是十分重要的。想要在不通环境下达到稳定、深度的漏洞利用这对漏洞挖掘人员来说是一个不小的挑战。2 工具储备工具的目的是为了提升工作效率好的工具往往能事半功倍在实战中蓝队通常需要准备信息收集、钓鱼、远控、WebShell管理、隧道、扫描器、漏洞利用等多种工具。3 战法策略团队作战考虑的是配合因此攻击队成员的分工角色就显得尤为重要小的战役靠个人大的战役一定是靠机制、流程以及团队合作。好的战法策略对于一场大的战役来讲至关重要。4 以赛代练日常的任务中需要挑选出一些具有代表性的任务来对蓝队进行有针对性的训练有利于蓝队队员提高自身的技能。参加各类安全大赛将非常有助于蓝队队员的技术能力提升。二、 第二阶段情报收集当蓝队专家接到目标任务后并不会像渗透测试那样在简单收集数据后直接去尝试各种常见漏洞而是先去做情报侦察和信息收集工作。收集的内容包括目标系统的组织架构、IT资产、敏感信息泄露、供应商信息等各个方面。组织架构包括单位部门划分、人员信息、工作职能、下属单位等IT资产包括域名、IP地址、C段、开放端口、运行服务、Web中间件、Web应用、移动应用、网络架构等敏感信息泄露包括代码泄露、文档信息泄露、邮箱信息泄露、历史漏洞泄露信息等方面供应商信息包括相关合同、系统、软件、硬件、代码、服务、人员等相关信息。掌握了目标企业相关人员信息和组织架构可以快速定位关键人物以便实施鱼叉攻击或确定内网横纵向渗透路径而收集了IT资产信息可以为漏洞发现和利用提供数据支撑掌握企业与供应商合作相关信息可为有针对性开展供应链攻击提供素材。而究竟是要社工钓鱼还是直接利用漏洞攻击抑或是从供应链下手一般取决于安全防护的薄弱环节究竟在哪里以及蓝队对攻击路径的选择。第三阶段建立据点在找到薄弱环节后蓝队专家会尝试利用漏洞或社工等方法去获取外网系统控制权限一般称之为“打点”或撕口子。在这个过程中蓝队专家会尝试绕过WAF、IPS、杀毒软件等防护设备或软件用最少的流量、最小的动作去实现漏洞利用。通过撕开的口子寻找和内网联通的通道再进一步进行深入渗透这个由外到内的过程一般称之为纵向渗透。如果没有找到内外联通的DMZ区Demilitarized Zone隔离区蓝队专家会继续撕口子直到找到接入内网的点为止。当蓝队专家找到合适的口子后便可以把这个点作为从外网进入内网的根据地。通过frp、ewsocks、reGeorg等工具在这个点上建立隧道形成从外网到内网的跳板将它作为实施内网渗透的坚实据点。若权限不足以建立跳板蓝队专家通常会利用系统、程序或服务漏洞进行提权操作以获得更高权限若据点是非稳定的PC机则会进行持久化操作保证PC机重启后据点依然可以在线。第四阶段横向移动进入内网后蓝队专家一般会在本机以及内部网络开展进一步信息收集和情报刺探工作。包括收集当前计算机的网络连接、进程列表、命令执行历史记录、数据库信息、当前用户信息、管理员登录信息、总结密码规律、补丁更新频率等信息同时对内网的其他计算机或服务器的IP、主机名、开放端口、开放服务、开放应用等情况进行情报刺探。再利用内网计算机、服务器不及时修复漏洞、不做安全防护、同口令等弱点来进行横向渗透扩大战果。对于含有域的内网蓝队专家会在扩大战果的同时去寻找域管理员登录的蛛丝马迹。一旦发现某台服务器有域管理员登录就可以利用Mimikatz等工具去尝试获得登录账号密码明文或者用Hashdump工具去导出NTLM哈希继而实现对域控服务器的渗透控制。在内网漫游过程中蓝队专家会重点关注邮件服务器权限、OA系统权限、版本控制服务器权限、集中运维管理平台权限、统一认证系统权限、域控权限等位置尝试突破核心系统权限、控制核心业务、获取核心数据最终完成目标突破工作。第四蓝队也套路——常用的攻击战术在蓝队的实战过程中蓝队专家们逐渐摸出了一些套路、总结了一些经验有后台或登录入口的会尽量尝试通过弱口令等方式进入系统找不到系统漏洞时会尝试社工钓鱼从人开展突破有安全防护设备的会尽量少用或不用扫描器使用EXP力求一击即中针对防守严密的系统会尝试从子公司或供应链来开展工作建立据点过程中会用多种手段多点潜伏防患于未然。蓝队最常用的攻击战术一、 利用弱口令获得权限弱密码、默认密码、通用密码和已泄露密码通常是蓝队专家们关注的重点。实际工作中通过弱口令获得权限的情况占据90%以上。很多企业员工用类似zhangsan、zhangsan001、zhangsan123、zhangsan888这种账号拼音或其简单变形或者123456、888888、生日、身份证后6位、手机号后6位等做密码。导致通过信息收集后生成简单的密码字典进行枚举即可攻陷邮箱、OA等账号。还有很多员工喜欢在多个不同网站上设置同一套密码其密码早已经被泄露并录入到了黑产交易的社工库中或者针对未启用SSO验证的内网业务系统均习惯使用同一套账户密码。这导致从某一途径获取了其账户密码后通过凭证复用的方式可以轻而易举地登录到此员工所使用的其他业务系统中为打开新的攻击面提供了便捷。很多通用系统在安装后会设置默认管理密码然而有些管理员从来没有修改过密码如admin/admin、test/123456、admin/admin888等密码广泛存在于内外网系统后台一旦进入后台系统便有很大可能性获得服务器控制权限同样有很多管理员为了管理方便用同一套密码管理不同服务器。当一台服务器被攻陷并窃取到密码后进而可以扩展至多台服务器甚至造成域控制器沦陷的风险。二、 利用互联网边界渗透内网大部分企业都会有开放于互联网边界的设备或系统如VPN系统、虚拟化桌面系统、邮件服务系统、官方网站等。正是由于这些设备或系统可以从互联网一侧直接访问因此也往往会成为蓝队首先尝试的突破边界的切入点。此类设备或系统通常都会访问内网的重要业务为了避免影响到员工使用很多企业都没有在其传输通道上增加更多的防护手段再加上此类系统多会集成统一登录一旦获得了某个员工的账号密码就可以通过这些系统突破边界直接进入内网中来。譬如开放在内网边界的邮件服务如果缺乏审计也未采用多因子认证员工平时又经常通过邮件传送大量内网的敏感信息。如服务器账户密码、重点人员通讯录等。那么当掌握相关员工的邮箱账号密码后在邮件中所获得的信息会被蓝队下一步工作提供很多方便。三、 利用通用产品组件漏洞信息化的应用提高了工作效率但其存在的安全漏洞也是蓝队人员喜欢的。历年实战攻防演习中经常被利用的通用产品漏洞包括邮件系统漏洞、OA系统漏洞、中间件软件漏洞、数据库漏洞等。这些漏洞被利用后可以使攻击方快速获取大量账户权限进而控制目标系统。而作为防守方漏洞往往很难被发现相关活动常常被当作正常业务访问而被忽略。四、 利用安全产品0Day漏洞安全产品自身也无法避免0Day攻击安全产品也是一行行代码构成也是包含了操作系统、数据库、各类组件等组合而成的产品。历年攻防实战演习中被发现和利用的各类安全产品的0Day漏洞主要涉及安全网关、身份与访问管理、安全管理、终端安全等类型安全产品。这些安全产品的漏洞一旦被利用可以使攻击者突破网络边界获取控制权限进入网络获取用户账户信息并快速拿下相关设备和网络的控制权限。安全产品的0Day漏洞常常是蓝队最好的攻击利器。五、 利用人心弱点社工钓鱼利用人的安全意识不足或安全能力不足实施社会工程学攻击通过钓鱼邮件或社交平台进行诱骗是蓝队专家经常使用的社工手段。在很多情况下“搞人”要比“搞系统”容易得多。钓鱼邮件是最经常被使用的攻击手段之一。蓝队专家常常会首先通过社工钓鱼或漏洞利用等手段盗取某些安全意识不足的员工邮箱账号再通过盗取的邮箱向该单位的其他员工或系统管理员发送钓鱼邮件骗取账号密码或投放木马程序。由于钓鱼邮件来自内部邮箱“可信度”极高所以即便是安全意识较强的IT人员或管理员也很容易被诱骗点开邮件中的钓鱼链接或木马附件进而导致关键终端被控甚至整个网络沦陷。冒充客户进行虚假投诉也是一种常用的社工手法攻击方会通过单人或多人配合的方式通过在线客服平台、社交软件平台等向客户人员进行虚假的问题反馈或投诉设局诱使或迫使客服人员接受经过精心设计的带毒文件或带毒压缩包。一旦客户人员的心理防线被突破打开了带毒文件或压缩包客服人员的电脑就会成为攻击队打入内网的一个“立足点”。除了客服人员外很多非技术类岗位的工作人员也很容易成为社工攻击的“外围目标”。例如如给法务人员发律师函给人力资源人员发简历给销售人员发送采购需求等都是比较常用的社工方法。而且往往“百试百灵”。六、 利用供应链隐蔽攻击供应链攻击是迂回攻击的典型方式。攻击方会从IT设备及软件服务商、安全服务商、办公及生产服务商等供应链入手寻找软件、设备及系统漏洞发现人员及管理薄弱点并实施攻击。常见的系统突破口包括邮件系统、OA系统、安全设备、社交软件等常见的突破方式包括软件漏洞管理员弱口令等。利用供应链攻击可以实现第三方软件系统的恶意更新第三方服务后台的秘密操控以及物理边界的防御突破如受控的供应商驻场人员设备被接入内网等多种复杂的攻击目标。七、 利用下属单位迂回攻击在有红队防守的实战攻防演习中有时总部的系统防守会较为严密蓝队很难正面突破很难直接撬开进入内网的大门。此时尝试绕过正面防御通过攻击防守相对薄弱的下属单位再迂回攻入总部的目标系统就是一种很“明智”的策略。蓝队大量实战中发现绝大部分企业机构其下属单位之间的内部网络下属单位与集团总部之间的内部网络均未进行有效隔离。很多部委单位、大型央企均习惯于使用单独架设一条专用网络来打通各地区之间的内网连接但同时又普遍忽视了不通区域网络之间必要的隔离管控措施缺乏足够有效的网络访问控制。这就导致蓝队一旦突破了子公司或分公司的防线便可以通过内网横向渗透直接攻击到集团总部或是漫游整个企业内网进而攻击任意系统。例如A子公司位于深圳B子公司位于广州而总部位于北京。当A子公司或B子公司被突破后就可以毫无阻拦地进入到总部网络中来。事实上A子公司与B子公司可能仅需要访问北京总部的部分业务系统同时A与B则可能完全不需要有任何业务上的往来。那么从安全角度看就应该严格限制A与B之间的网络访问。但实际情况常常是一条专线内网通往全国各地一处沦陷处处沦陷。八、 秘密渗透不同于民间黑客或黑产团队蓝队工作一般不会大规模使用漏洞扫描器因为扫描器活动特征明显很容易暴露自己。例如目前主流的WAF、IPS等防护设备都有识别漏洞扫描器的能力一旦发现后可能第一时间触发报警或阻断IP。因此信息收集和情报刺探是蓝队工作的基础。在数据积累的基础上针对性地根据特定系统、特定平台、特定应用、特定版本去寻找与之对应的漏洞编写可以绕过防护设备的EXP来实施攻击操作可以达到隐蔽攻一击即中的目的。如果目标系统的防御纵深不够或使用安全设备的能力不足当面对这种有针对性攻击时往往就很难及时发现和阻止攻击行为。在攻防演习的实战中常常使用蓝队获取到目标资料或数据后被攻击单位尚未感知到入侵行为。如果参与演习的安全人员本身的技术能力也比较薄弱无法实现对攻击行为的发现、识别无法给出有效的攻击阻断、漏洞溯源及系统修复策略则在攻击发生的很长一段时间内防守一方可能都不会对蓝队的隐蔽攻击采取有效的应对措施。九、 多点潜伏蓝队专家在工作中通常不会仅仅站在一个据点上去去开展渗透工作而是会采取不同的Webshell使用不同的后门程序利用不同的协议来建立不同特征的据点。事实上大部分应急响应过程并没有溯源攻击源头也未必能分析完整攻击路径。在防护设备告警时很多防守方队员会仅仅只处理告警设备中对应告警IP的服务器而忽略了对攻击链的梳理从而导致尽管处理了告警但仍未能将蓝队排除在内网之外。而蓝队则可以通过多个潜伏据点实现快速“死灰复燃”。如果某些防守方成员专业程度不高安全意识不足还有可能在蓝队的“伏击”之下暴露更多敏感信息。例如在针对Windows服务器应急运维的过程中有防守方队员会直接将自己的磁盘通过远程桌面共享挂载到被告警的服务器上。这样反而可以给秘密潜伏的蓝队进一步攻击防守方成员的机会。网络安全学习路线学习资源网络安全学习路线这是一份网络安全从零基础到进阶的学习路线大纲全览小伙伴们记得点个收藏阶段一基础入门该阶段学完即可年薪15w网络安全导论渗透测试基础网络基础操作系统基础Web安全基础数据库基础编程基础CTF基础阶段二技术进阶到了这一步你才算入门该阶段学完年薪25w弱口令与口令爆破XSS漏洞CSRF漏洞SSRF漏洞XXE漏洞SQL注入任意文件操作漏洞业务逻辑漏洞阶段三高阶提升该阶段学完即可年薪30w反序列化漏洞RCE综合靶场实操项目内网渗透流量分析日志分析恶意代码分析应急响应实战训练阶段四蓝队课程攻防兼备年薪收入可以达到40w蓝队基础蓝队进阶该部分主攻蓝队的防御即更容易被大家理解的网络安全工程师。阶段五面试指南阶段六升级内容需要上述路线图对应的网络安全配套视频、源码以及更多网络安全相关书籍面试题等内容同学们可以扫描下方二维码获取哦学习教程第一阶段零基础入门系列教程第二阶段学习书籍第三阶段实战文档尾言最后我其实要给部分人泼冷水因为说实话上面讲到的资料包获取没有任何的门槛。但是我觉得很多人拿到了却并不会去学习。大部分人的问题看似是“如何行动”其实是“无法开始”。几乎任何一个领域都是这样所谓“万事开头难”绝大多数人都卡在第一步还没开始就自己把自己淘汰出局了。如果你真的确信自己喜欢网络安全/黑客技术马上行动起来比一切都重要。特别声明此教程为纯技术分享本书的目的决不是为那些怀有不良动机的人提供及技术支持也不承担因为技术被滥用所产生的连带责任本书的目的在于最大限度地唤醒大家对网络安全的重视并采取相应的安全措施从而减少由网络安全而带来的经济损失。