业务链攻击 hongzh0 发布于：2025年02月01日 更新于：2025年02月01日 rt

外网突破

OA/CMS/业务系统/安全设备/0day

内网攻击

域内攻击

域漏洞

netlogon、CVE-2022-2693、NTMLRelay、GPP、DNSAdmins

域凭据攻击

heapdump、黄金票据、SMB relay、Kerberos委派、Kerberos攻击

横向移动

ssh、rdp、psexec、wrm、wmiexec、atexec、smbexec、impacker

水坑攻击

OA系统公告
js水坑

漏洞利用

exchange漏洞

ProxyLogon、ProxyShell、ProxyOracle、proxytoken、CVE-2021-42321、CVE-2020-0688

远程溢出漏洞

MS17010、SMBGhost

信息搜集

个人文件、用户文档、聊天记录、日志信息、进程信息、网卡信息、路由信息、凭据信息

权限维持

计划任务、dll劫持、端口复用、so文件注入、库文件劫持、alias、roolit

经典攻击路径

邮件服务器->内部邮箱精准钓鱼->运维测试PC(加白)->笔记/聊天记录->密码本->靶标系统

信息收集->精准钓鱼->研发人员PC->代码托管平台->代码审计->靶标系统

信息收集->批量钓鱼->行政人员PC->办公OA->水坑攻击->运维PC->靶标系统

运维供应链->核心运维区->密码本->靶标

前期信息搜集->供应链单位DMZ->邮件服务器->内代码托管平台->大数据平台->核心数据库

前期信息搜集->供应链单位DMZ->代码托管平台->代码审计->0day->公网靶标

前期信息搜集->供应链单位DMZ->业务系统->云盘->敏感文档->VPN->目标内网->重要系统

分支机构->集团专网->代理/边界设备->内网横向->高价值分支机构->靶标

互联网业务->DMZ->域内主机->域控->运维机->集权系统->业务终端->生产网->工控

互联网业务->DMZ->PC Agent->Server管控端->运维PC->靶标

人员链攻击

1. 社工钓鱼方式获取员工主机权限，寻找内部的知识共享平台，通过 Coniuence 远程代码执行漏洞获取 WIK 系统权限，信息收集得到多个重要项目文档，并从中获取到 VPN 连接账号
   密码、堡垒机账号密码、Todesk 连接账号密码等，进行进一步内网渗透。
2. 通过使用 Todesk 远控某控制平台主机，可进一步控制生产线上的工控设备。
3. 通过 VPN 认证进入某业务内网，使用 RDP 远程连接内网跳板机，再使用跳板机中保存的
   账号密码远程控制集成配置主机，进而获取多个工控机器权限。
4. 通过堡垒机获取多个云平台控制权限。

供应链攻击

1. 通过前期对目标单位供应链信息收集，利用 Shiro 反序列化漏洞对目标单位的全资子公司互联网资产进行攻击进入内网。
2. 通过 CVE-2022-26134 漏洞获取 WiKi 系统权限，获取到大量账号密码等敏感信息，通过
   口令攻击的方式先后获取核心数据库、文件存储系统和代码托管平台权限，进而获取到大量
   业务系统代码信息。
3. 通过弱口令、口令复用的方式获取内网多个数据库权限，收集到大量敏感数据，获得5000w 公民数据。

业务链攻击

1.通过某办公0day 漏洞获取致远办公系统主机权限，进入内网。
2.通过 MS17-010 漏洞获取内网多个办公主机权限及web 应用权限。
3.通过信息收集、口令复用的方式获取内网多个主机、web 应用权限及域控权限，后续突破 隔离打入下属单位办公网段。

移动端攻击

1.通过 app/小程序，反编译获取到 AES 密钥，逆向构造生成 token，获取任意 SSO 权限。
2.SSO 统一认证登陆多个重要系统，信息收集获取到云桌面凭证。
3.口令攻击获取虚拟化平台、众多交易系统、卫星地端系统权限。

云上攻击

1.通过 Nday 漏洞获取某管理系统主机权限，进入内网。
2.K8SApi 未授权访问，构造 token 与证书，控制所有 webserver pod 权限。
3.通过漏洞拿下某 pod 权限，docker 逃逸至 Master 节点，进一步信息收集、拿下数据库集 群 PB 级别数据。