HW弹药库之红队作战⼿册

• 语言: 中文（简体）
• 格式: .pdf
• 来源: potato.gold

摘要

文档详细介绍了红队在实战中的攻击技术与防御策略，涵盖了入口权限获取、内网探测与提权、横向移动、权限维持、数据回传等关键步骤。内容包括针对不同阶段的攻击手法，如绕过WAF、利用已知漏洞、隧道穿透、域渗透等，同时强调了工具的灵活运用与环境适应。文档还提到了痕迹处理与C2框架的应用，并建议通过深入理解攻击原理来提升防御能力。

AI总结

《HW弹药库之红队作战⼿册》是一份针对红队实战攻击技术的总结与提炼，旨在为攻击与防御双方提供参考，强调攻守兼备的重要性。以下为文档的核心内容总结：

### 1. **分享初衷**
- 提供全面的实战攻击利用技术参考。
- 强调“未知攻焉知防”，攻守结合才能提升技术深度。
- 倡导共享协作，避免恶意传播和商业牟利。

### 2. **丑话说在前面**
- 严禁利用技术从事非法网络入侵、破坏或黑产活动。
- 禁止任何形式的恶意传播和非法利用，后果自负。

### 3. **日常流程简要说明**
- **入口权限获取**：通过侦察、探测、弱口令攻击、漏洞利用等方式获取初始权限。
- **内网搜集与探测**：利用工具（如nisec、masscan）扫描目标存活服务，识别Web程序版本。
- **横向移动与权限维持**：通过隧道、代理、SSH转发等方式实现跨平台横向移动，并利用计划任务、注册表、WMI等技术维持权限。
- **数据回传与痕迹处理**：确保数据回传过程隐蔽，清理日志以避免被发现。

### 4. **核心技术点**
#### 4.1 **入口权限获取**
- **绕过CDN**：获取目标真实IP段。
- **子域爆破与DNS区域传送**：探测目标子域和DNS配置。
- **Web指纹识别与漏洞利用**：识别Web服务版本并利用已知漏洞（如SQL注入、RCE等）。
- **弱口令攻击**：基于搜集的敏感信息生成弱口令字典，尝试登录各类管理后台。
- **WAF绕过**：通过文件上传、SQL注入、Webshell等方式绕过WAF。

#### 4.2 **内网安全**
- **隧道与代理**：利用HTTP、DNS、TCP端口等隧道实现内网穿透。
- **横向移动**：通过SSH、RDP、WMI等方式在内网中横向扩展。
- **域渗透**：利用BloodHound、Pingcastle等工具进行域信息搜集，通过MSTSC、反向渗透等方式突破域内权限。

#### 4.3 **权限维持**
- **Windows系统**：利用计划任务、注册表、WMI等技术实现持久化。
- **Linux系统**：通过SSH替换、计划任务、驱动层远控等方式维持权限。

#### 4.4 **痕迹处理**
- 清理Web日志、数据库日志、系统安全日志等，避免留下攻击痕迹。

### 5. **常用工具与框架**
- **C2框架**：CobaltStrike、Metasploit等，用于二次开发和Payload生成。
- **Webshell管理工具**：用于隐蔽控制目标机器。
- **隧道工具**：如NPS、FRP、SS等，实现流量加密与穿透。

### 6. **防御重点**
- **入口阶段**：前期侦察阶段难以防御，重点在后续阶段加强防护。
- **内网安全**：防范隧道和代理的使用，加强边界设备的配置和监控。
- **权限维持**：通过深度分析攻击行为，识别异常持久化手段。
- **痕迹处理**：建立完善的日志监控和分析机制，及时发现异常行为。

### 7. **总结**
手册全面梳理了红队实战中的关键技术与流程，强调攻击手法的灵活组合与循环利用。对于防御者而言，理解攻击原理并针对性提升技术深度是核心，而非单纯依赖工具防护。手册内容涵盖入口权限获取、内网渗透、权限维持等关键环节，为攻防双方提供了实用参考。