本文目录一览：
从ATT&CK开始——对手仿真和红队
我们希望你已经花时间阅读了第一章开始使用ATTCK的威胁情报和第二章使用ATTCK的检测和分析!我们在这里给你带来了第三章，这一次涵盖了对手模拟和red与ATTCK的合作，来演示我们如何测试那些新的分析，John向我们展示了如何构建。
继续前几章的主题，本节将根据你的团队的复杂程度和你所拥有的资源分为不同的级别:
�一级对于刚开始那些可能没有许多资源
�二级对于那些中层团队开始成熟
�三级对于那些更高级的网络安全团队和资源
对于那些不熟悉它的人来说，敌手模拟是一种红队参与的类型，它通过混合威胁情报来定义红队使用的行动和行为，来模拟对组织的已知威胁。这就是为什么对手模拟不同于渗透测试和其他形式的红队。
对手模拟器构建一个场景来测试对手的战术、技术和过程(TTPs)的某些方面。然后，红队在目标网络上运行，以测试防御系统如何对付模拟对手。
由于ATTCK是一个关于现实世界中对手行为的大型知识库，所以不需要太多的想象力就可以将对手或红队的行为与ATTCK联系起来。让我们来探索安全团队如何使用ATTCK进行对手模拟来帮助改进他们的组织。
一、1级
小团队和那些主要专注于防守的团队可以从对手的竞争中获得很多好处，即使他们没有机会进入红队，所以不要担心!有相当多的资源可以帮助你开始测试你的防御与ATTCK对齐的技术。我们将重点介绍如何通过尝试简单的测试来深入敌手模拟。
Atomic Red Team是一个由Red Canary维护的开源项目，它是一个脚本集合，可以用来测试如何检测映射到ATTCK技术的某些技术和过程。例如，您可能已经遵循了第1章中的建议，并研究了APT3使用的技术，如网络共享发现(T1135)。您的intel团队将此信息传递给您的检测团队，并且根据第2章的指导，他们编写了一个行为分析来尝试检测对手是否执行了此技术。但是你怎么知道你是否真的能检测到这种技术呢?
Atomic Red Team可用于测试单个技术和过程，以验证行为分析和监视功能是否如预期的那样工作。
原子Red团队存储库有许多原子测试，每个测试都有一个用于测试ATTCK技术的目录。您可以查看ATTCK矩阵格式的完整存储库。
要开始测试，请选择T1135页，以查看详细信息和文档中记录的不同类型的原子测试。每个测试都包含关于技术是什么、支持的平台以及如何执行测试的信息。
我们看到有三个测试选项，并决定选择#2来使用命令提示符进行测试。因此，我们打开命令提示符，复制并粘贴命令，添加计算机名，然后执行命令。
我们刚刚执行了我们的第一个原子测试!一旦完成了这一步，我们就可以看看我们期望检测到的是否就是我们实际检测到的。例如，可能我们在SIEM工具中有一个行为分析工具，它应该在“net view”执行时发出警报，但是我们发现它没有触发，所以我们发现从主机导出的日志不正确。您排除故障并修复了问题，现在您已经取得了可度量的改进，以帮助您在将来有更好的机会使用此过程捕获对手。
这些单项测试允许激光聚焦于单个的ATTCK技术，这使得构建基于ATTCK的防御覆盖更容易实现，因为您可以从单个技术的单一测试开始，然后从单一技术扩展到其他技术。
1.5级奖励内容:获得了一个使用原子红队执行对手模拟测试的过程，并准备好了一些东西，可以帮助链接在一起的行为序列?下一个看看CALDERA!CALDERA是一个由MITRE创建的自动对抗仿真系统，它有许多内建的行为映射到ATTCK技术。它允许操作员在构建测试时选择一种技术或将多种技术连接在一起，这允许您开始自动化测试的行为序列，而不是手动执行单个原子测试。您可以使用预先构建的场景之一，或者通过选择映射到您想要测试的某些ATTCK技术的过程(在CALDERA中称为能力)来定义更具体的场景。
二、2级
对于那些已经拥有红队能力的人来说，您可以从将ATTCK与您现有的项目集成中获益良多。映射技术用于红色团队参与ATTCK编写报告和讨论时提供了一个通用框架移植。
首先，您可以使用现有的计划操作或工具并将其映射到ATTCK。将red team过程映射到ATTCK类似于将威胁情报映射到ATTCK，因此您可能想要查看Katie在第一章中概述的六步流程的建议。
幸运的是，有时映射技术可以像搜索ATTCK网站上使用的命令一样简单。例如，如果我们在red team操作中使用了“whoami”命令，那么我们可以在ATTCK网站上搜索它，并发现可能会应用两种技术:系统所有者/用户发现(T1033)和命令行界面(T1059)。
另一个帮助您开始将red team过程映射到ATTCK的资源是APT3敌手模拟字段手册，它列出了APT3使用的一个命令一个命令的操作，所有这些操作都映射到ATTCK。
如果你的红队正在使用像Cobalt Strike或Empire这样的工具，好消息是这些工具已经被映射到ATTCK了。有了您个人的命令、脚本和映射到ATTCK的工具，您现在可以计划您的任务了。
红队有他们的尝试和真正的工具箱和操作方法。他们知道什么是有效的，因为它总是有效。但是他们不知道的是，他们所尝试的和真正的ttp与已知的可能针对组织的威胁有多少重叠(或者不重叠!)。这就导致了在理解防御系统与你真正想要防御的对象之间的差距——目标是你的环境的敌人，而不一定是红队本身。
我们想要确保我们不仅仅是在做技术，因为我们的工具可以执行它们——我们想要模拟一个真正的对手，我们关心的是提供更多的价值。例如，我们可以和我们的CTI团队谈谈，他们告诉我们，他们担心来自伊朗石油钻井平台的袭击。
由于ATTCK的所有内容都是结构化的，我们可以使用ATTCK导航仪来比较现有工具(如Cobalt Strike)和OilRig基于开源报告的技术。(你可以查看导航器的演示，它演示了如何做到这一点。)在下一个图形,Cobalt Strike技术是红色的,OilRig技术是蓝色的,两种技术都能执行用紫色。
这些紫色技术为我们提供了一个开始使用现有工具和执行组织优先考虑的技术的地方。
除了识别出Cobalt Strike和OilRig之间的重叠部分，分析还可以显示出，在哪些地方可以改变red team的行为，而不仅仅局限于他们通常采用的程序层面。
在某些情况下，一项技术可能是在红队使用的工具中以特定的方式实现的，但是我们不知道对手是如何实现的。有了这些知识，就可以帮助red团队在不同的测试之间使用不同的行为，从而更好地覆盖作为对抗模拟过程一部分的威胁。
此时，我们还可以添加希望使用命令或脚本手动执行的技术。然后，我们可以在导航器中添加关于执行技术的顺序以及如何执行它们的注释。
当我们计划红队行动时，映射到ATTCK是有好处的，一旦我们执行了我们的行动，当我们与我们的蓝队沟通时，我们也收获了回报。如果他们将分析、检测和控制映射回ATTCK，那么您可以轻松地用一种通用语言与他们交流，了解您所做的工作和他们的成功之处。在报表中包含ATTCK导航器映像(甚至保存的导航器层)可以帮助这个过程，并为它们提供一个可以改进的模板。
用户级别2.5内容:在使用ATTCK计划约定和报告结果之后，尝试使用APT3模拟计划或基于该计划的ATTCK评估第一轮场景，以进行约定模拟APT3，显示针对特定对手组的基线测试。
三、3级
此时，您的红队正在将ATTCK集成到操作中，并在与蓝队的通信中寻找价值。为了提高您的团队及其所产生的影响，您可以与您的组织的CTI团队协作，通过创建您自己的对手模拟计划，使用他们收集的数据来针对特定的对手调整约定。
创建您自己的对手模拟计划，利用最大的力量，结合红色团队与您自己的威胁情报:行为是从现实世界的对手看到的目标是你!红队可以把intel变成有效的测试，以显示什么防御工作得很好，什么地方的资源需要改进。
当安全性测试暴露了可见性和控制漏洞时，当您可以显示它们很可能被已知的对手利用时，就会产生更高级别的影响。将您自己的CTI与对手模拟工作相连接，将提高测试的有效性，并将输出结果提供给高级领导以制定更改。
我们推荐如下图所示的五步流程来创建一个对手模拟计划、执行操作并推动防御改进。(有关此过程的更详细概述，请参见Katie Nickels和Cody Thomas关于ATTCK基于威胁的对手模拟的演示。)
1. 收集威胁情报——根据组织面临的威胁，选择一个对手，与CTI团队合作，分析对手的行动。结合你的组织所知道的，除了公开的情报，来记录对手的行为，他们追求的是什么，他们是粉碎和抓取还是低速度和慢速。
2. 提取技术——就像你将你的红队行动映射到ATTCK技术一样，将你的情报映射到与你的情报团队相关的特定技术。您可以将您的CTI团队指向第1章，以帮助他们学习如何做到这一点。
3.分析和组织——现在你有了一堆关于对手的情报以及他们是如何运作的，用一种很容易制定具体计划的方式将这些信息绘制到他们的运作流程中。例如，下面是MITRE团队为APT3对手模拟计划创建的操作流。
4. 开发工具和过程——既然您已经知道了希望红队做什么，那么就应该弄清楚如何实现行为。考虑:
�威胁组织使用这种技术如何?
�集团不同的技术是使用基于环境上下文?
�什么工具可以复制这些ttp吗?
5. 模拟对手——有了适当的计划，红队现在能够执行并执行模拟契约。正如我们建议所有使用ATTCK的红队项目，红队应该与蓝队紧密合作，深入了解蓝队的可见度的差距在哪里，以及它们存在的原因。
一旦整个过程发生，红色和蓝色的团队可以与CTI团队合作，确定下一个威胁，重复这个过程，创建一个连续的活动，测试对现实世界行为的防御。
总结
本章向您展示了如何使用ATTCK进行红色团队和对手模拟，而不管您拥有什么资源(包括您还没有红色团队时)。我们希望您在本书中已经注意到，这些主题都是建立在其他主题的基础上的，通过威胁情报来创建分析，这些分析可以通过对手的仿真来验证和改进——所有这些都使用ATTCK的公共语言。下一章(也是最后一章)将讨论ATTCK的执行评估和工程，为我们的ATTCK系列的入门课程画上圆满的句号。
帝国网站管理系统经常被攻击怎么回事
帝国EmpireCMS7.5最新后台漏洞审计
1概述
最近在做审计和WAF规则的编写，在CNVD和CNNVD等漏洞平台寻找各类CMS漏洞研究编写规则时顺便抽空对国内一些小的CMS进行了审计，另外也由于代码审计接触时间不是太常，最近一段时间也跟着公司审计项目再次重新的学习代码审计知识，对于入行已久的各位审计大佬来说，自己算是新手了。对于审计也正在不断的学习和积累中。于是抽空在CNVD上选取了一个国内小型CMS进行审计，此次审计的CMS为EmpireCMS_V7.5版本。从官方下载EmpireCMS_V7.5后进行审计，审计过程中主要发现有三处漏洞（应该还有其他漏洞暂未审计）：配置文件写入、后台代码执行及后台getshell，造成这几处漏洞的原因几乎是由于对输入输出参数未作过滤和验证所导致。
2前言
帝国网站管理英文译为”EmpireCMS”，它是基于B/S结构，安全、稳定、强大、灵活的网站管理系统.帝国CMS 7.5采用了系统模型功能：用户通过此功能可直接在后台扩展与实现各种系统，如产品、房产、供求…等等系统，因此特性，帝国CMS系统又被誉为“万能建站工具”;大容量数据结构设计;高安全严谨设计;采用了模板分离功能：把内容与界面完全分离，灵活的标签+用户自定义标签，使之能实现各式各样的网站页面与风格;栏目无限级分类;前台全部静态：可承受强大的访问量;强大的信息采集功能;超强广告管理功能……
3代码审计部分
拿到该CMS后先把握大局按照往常一样先熟悉该CMS网站基本结构、入口文件、配置文件及过滤，常见的审计方法一般是：通读全文发（针对一些小型CMS）、敏感函数回溯法以及定向功能分析法，自己平常做审计过程中这几个方法用的也比较多。在把握其大局熟悉结构后，再通过本地安装去了解该CMS的一些逻辑业务功能并结合黑盒进行审计，有时候黑盒测试会做到事半功倍。
常见的漏洞个人总结有：
1）程序初始化安装
2）站点信息泄漏
3）文件上传
4）文件管理
5）登陆认证
6）数据库备份
7）找回密码
8）验证码
若各位大佬在审计过程中还有发现其他漏洞可补充交流。
用Powershell框架Empire进行内网域渗透(一)
自从powershell在windows开始预装之后，就成为Windows内网渗透的好帮手，好处多多：天生免杀、无文件落地、 无日志(雾) 。
于是老外开发了 empire 框架，毕竟 cobalt strike 要收费的不是？
功能模块丰富，老外把内网[域]渗透中能用到的都整合进去了：内网探测，提权，凭据获取，横向移动，权限维持。模块那么多，不懂就 searchmodule 或者[tab]两下。
基于 debian 系的，如kali或者ubuntu都可以安装。
git clone
在执行安装脚本之前，建议修改软件源和 pip 源，避免因为网络问题安装失败。
sudo ./setup/install.sh
安装好后执行 ./empire 后就可以用了。
先查看可用的 Listener 有哪些？[tab]两下就出来了所有可用的。
通过 info 查看指定模块的配置信息
这里还是先使用http的监听,通过 set Port 8080 修改监听的端口， 2.x版必须同时设置 Host ，然后 execute 启动监听。
通过list命令查看正在运行的监听
可以通过usestager来生成文件，引诱对方运行，可以看到支持linux、Windows、osx。
这里我们选用launcher_bat，通过 info 查看可以配置的参数。
这里需要注意的是Listener的Name，必须跟前面启用的Listener的一致。
生成的文件内容是这样子的
其中那么一大段的powershell命令，跟 (Empire: listeners) launcher powershell test 的执行结果是一样的。这里先不关心怎么让其在别的机子上运行，那是另外的技术活。
用win7的cmd执行了那一串命令后，进程中可以看到有powershell.exe
执行 agents 命令查看回连的机子，然后 interact BNR1T9ZC 来与之进行交互。
通过 help 命令可以查看到在agent上可以执行很多命令。这里挑些重要的讲。
bypassuac ，顾名思义就是绕过uac的。除非你是本机的administrator，否则普通管理员都需要右键某个程序，然后选择 run as administrator 才能运行，这都是uac作的怪。
因为这里是用普通域用户权限执行的，连本机的普通管理员都不算，所以失败了。
sc，屏幕截图命令,可以通过这个了解机子上的人正在做什么。
我们看看usemodule还有哪些可用的模块？（有些模块需要对应权限才能成功运行）
输入 help agentcmds 可以看到可供使用的常用命令
执行 ipconfig 查看网卡信息（如果不在help列表中，那么会自动执行远程主机上的可用命令）
可以看到dns的ip是1.1.1.10，既是域控的ip
当你获得一个会话之后，又想要派生更多会话，怎么办？
使用 invoke_shellcode 来注入 meterpreter 的shellcode
metasploit先要设置一个 listener
然后empire执行
成功获取meterpreter会话（才怪， empire2.5 版本）
在session1建立到1.1.1.0/24网段的路由跳转
run autoroute -s 1.1.1.0/24
通过sesesion1打通网段后，可以看到域控服务器1.1.1.10开放的端口
使用ms17010成功获取meterpreter会话。
至此，域控拿下，可以开始漫游内网。（还是得靠metasploit，单一个empire做的事情很有限）
获取域管理员的明文凭据
用后渗透模块 credential_collector 收集可用的凭据
empire 可以直接使用 mimikatz 来获取凭据。 注意，此时客户端上powershell进程占用的cpu可达90%，会引起卡顿
creds 查看获取的凭据
利用pth来传递hash，用这个hash创建一个新的进程，可以看到新的进程id是3032
然后 credentials/tokens 查看不同用户的进程id
对指定进程steal_token之后，再去与agent交互就是域用户user的权限了。
用revtoself再切换回原来的权限（普通域用户权限太低做不了什么）
到这里尝试了好几个 situational_awareness/network/powerview 的模块返回的都是空结果，看来是需要域管理员才能执行成功。
碰巧域管理员也登陆这台机子，那么就能用他的权限做很多事情了。
也可以使用 usemodule management/psinject 进行切换，设置好ProcessId即可
现在我们又获得了一次域管理员权限，可以开始横向移动了。
先内网探测下可用的机子有哪些，使用了 situational_awareness 中的三个模块：
find_localadmin_access user_hunter get_domain_controller
又一次可以确定1.1.1.10就是域控所在了。用 lateral_movement/invoke_psexec 移动到域控服务器上面。
终于又回到了域控服务器，接下来要考虑的是如何导出域控上面的所有hash，并且维持权限。
