越來越多的網(wǎng)站和app的上線,導(dǎo)致安全問題日益增加,漏洞問題也非常多,大公司急需組建專業(yè)的滲透測試團(tuán)隊(duì)來保障新項(xiàng)目的安全穩(wěn)定，防止被入侵被黑，對此我們Sinesafe給大家講解下組建安全團(tuán)隊(duì)的重要幾點(diǎn)，來達(dá)到各個(gè)項(xiàng)目的安全滲透工作的分工執(zhí)行能力。
滲透測試安全團(tuán)隊(duì)建設(shè)
紅藍(lán)軍簡介
在隊(duì)伍的對抗演習(xí)中，藍(lán)軍通常是指在部隊(duì)模擬對抗演習(xí)專門扮演假想敵的部隊(duì)，與紅軍（代表我方正面部隊(duì)）進(jìn)行針對性的訓(xùn)練。
網(wǎng)絡(luò)安全紅藍(lán)對抗的概念就源自于此。紅軍作為企業(yè)防守方，通過安全加固、攻擊監(jiān)測、應(yīng)急處置等手段來保障企業(yè)安全。而藍(lán)軍作為攻擊方，以發(fā)現(xiàn)安全漏洞，獲取業(yè)務(wù)權(quán)限或數(shù)據(jù)為目標(biāo)，利用各種攻擊手段，試圖繞過紅軍層層防護(hù)，達(dá)成既定目標(biāo)?？赡軙?huì)造成混淆的是，在歐美一般采用紅隊(duì)代表攻擊方，藍(lán)隊(duì)代表防守方，顏色代表正好相反。
企業(yè)網(wǎng)絡(luò)藍(lán)軍工作內(nèi)容主要包括滲透測試和紅藍(lán)對抗（Red Teaming），這兩種方式所使用的技術(shù)基本相同，但是側(cè)重點(diǎn)不同。
滲透測試側(cè)重用較短的時(shí)間去挖掘更多的安全漏洞，一般不太關(guān)注攻擊行為是否被監(jiān)測發(fā)現(xiàn)，目的是幫助業(yè)務(wù)系統(tǒng)暴露和收斂更多風(fēng)險(xiǎn)。
紅藍(lán)對抗更接近真實(shí)場景，側(cè)重繞過防御體系，毫無聲息達(dá)成獲取業(yè)務(wù)權(quán)限或數(shù)據(jù)的目標(biāo)，不求發(fā)現(xiàn)全部風(fēng)險(xiǎn)點(diǎn)，因?yàn)楣魟?dòng)作越多被發(fā)現(xiàn)的概率越大，一旦被發(fā)現(xiàn)，紅軍就會(huì)把藍(lán)軍踢出戰(zhàn)場。紅藍(lán)對抗的目的是檢驗(yàn)在真實(shí)攻擊中縱深防御能力、告警運(yùn)營質(zhì)量、應(yīng)急處置能力。
人員分工
部門負(fù)責(zé)人
負(fù)責(zé)組織整體的信息安全規(guī)劃
負(fù)責(zé)向高層溝通申請資源
負(fù)責(zé)與組織其他部門的協(xié)調(diào)溝通
共同推進(jìn)信息安全工作
負(fù)責(zé)信息安全團(tuán)隊(duì)建設(shè)
負(fù)責(zé)安全事件應(yīng)急工作處置
負(fù)責(zé)推動(dòng)組織安全規(guī)劃的落實(shí)
合規(guī)管理員
負(fù)責(zé)安全相關(guān)管理制度、管理流程的制定，監(jiān)督實(shí)施情況，修改和改進(jìn)相關(guān)的制度和流程
負(fù)責(zé)合規(guī)性迎檢準(zhǔn)備工作，包括聯(lián)絡(luò)、迎檢工作推動(dòng)，迎檢結(jié)果匯報(bào)等所有相關(guān)工作
負(fù)責(zé)與外部安全相關(guān)單位聯(lián)絡(luò)
負(fù)責(zé)安全意識(shí)培訓(xùn)、宣傳和推廣
安全技術(shù)負(fù)責(zé)人
業(yè)務(wù)安全防護(hù)整體技術(shù)規(guī)劃和計(jì)劃
了解組織安全技術(shù)缺陷，并能找到方法進(jìn)行防御
安全設(shè)備運(yùn)維
服務(wù)器與網(wǎng)絡(luò)基礎(chǔ)設(shè)備的安全加固推進(jìn)工作
安全事件排查與分析，配合定期編寫安全分析報(bào)告
關(guān)注注業(yè)內(nèi)安全事件， 跟蹤最新漏洞信息，進(jìn)行業(yè)務(wù)產(chǎn)品的安全檢查
負(fù)責(zé)漏洞修復(fù)工作推進(jìn)，跟蹤解決情況，問題收集
了解最新安全技術(shù)趨勢
滲透/代碼審計(jì)人員
對組織業(yè)務(wù)網(wǎng)站、業(yè)務(wù)系統(tǒng)進(jìn)行安全評估測試
對漏洞結(jié)果提供解決方案和修復(fù)建議
安全設(shè)備運(yùn)維人員
負(fù)責(zé)設(shè)備配置和策略的修改
負(fù)責(zé)協(xié)助其他部門的變更導(dǎo)致的安全策略修改的實(shí)現(xiàn)
安全開發(fā)
根據(jù)組織安全的需要開發(fā)安全輔助工具或平臺(tái)
參與安全系統(tǒng)的需求分析、設(shè)計(jì)、編碼等開發(fā)工作
維護(hù)公司現(xiàn)有的安全程序與系統(tǒng)
5.5. 內(nèi)網(wǎng)滲透補(bǔ)充操作
5.5.1. 端口轉(zhuǎn)發(fā)
windows
lcx
netsh
linux
portmap
iptables
socket代理
Win: xsocks
Linux: proxychains
基于http的轉(zhuǎn)發(fā)與socket代理(低權(quán)限下的滲透)
端口轉(zhuǎn)發(fā): tunna
socks代理: reGeorg
ssh通道
端口轉(zhuǎn)發(fā)
socks
5.5.2. 獲取shell
常規(guī)shell反彈
突破防火墻的imcp_shell反彈
正向shell
nc -e /bin/sh -lp 1234
nc.exe -e cmd.exe -lp 1234
5.5.3. 內(nèi)網(wǎng)文件傳輸
windows下文件傳輸
powershell
vbs腳本文件
bitsadmin
文件共享
使用telnet接收數(shù)據(jù)
hta
linux下文件傳輸
python
wget
tar + ssh
利用dns傳輸數(shù)據(jù)
文件編譯
powershell將exe轉(zhuǎn)為txt，再txt轉(zhuǎn)為exe
5.5.4. 遠(yuǎn)程連接 && 執(zhí)行程序
at&schtasks
psexec
wmic
wmiexec.vbs
smbexec
powershell remoting
SC創(chuàng)建服務(wù)執(zhí)行
schtasks
SMB+MOF || DLL Hijacks
PTH + compmgmt.msc
Windows系統(tǒng)持久化
6.1. 總體思路
5.2. 持久化 – Windows
Web應(yīng)用需要限制用戶對應(yīng)用程序的數(shù)據(jù)和功能的訪問，以防止用戶未經(jīng)授權(quán)訪問。訪問控制的過程可以分為驗(yàn)證、會(huì)話管理和訪問控制三個(gè)地方。
6.1.1.1. 驗(yàn)證機(jī)制
驗(yàn)證機(jī)制在一個(gè)應(yīng)用程序的用戶訪問處理中是一個(gè)最基本的部分，驗(yàn)證就是確定該用戶的有效性。大多數(shù)的web應(yīng)用都采用使用的驗(yàn)證模型，即用戶提交一個(gè)用戶名和密碼，應(yīng)用檢查它的有效性。在銀行等安全性很重要的應(yīng)用程序中，基本的驗(yàn)證模型通常需要增加額外的證書和多級登錄過程，比如客戶端證書、硬件等。
6.1.1.2. 會(huì)話管理
為了實(shí)施有效的訪問控制，應(yīng)用程序需要一個(gè)方法來識(shí)別和處理這一系列來自每個(gè)不同用戶的請求。大部分程序會(huì)為每個(gè)會(huì)話創(chuàng)建一個(gè)唯一性的token來識(shí)別。
對攻擊者來說，會(huì)話管理機(jī)制高度地依賴于token的安全性。在部分情況下，一個(gè)攻擊者可以偽裝成受害的授權(quán)用戶來使用Web應(yīng)用程序。這種情況可能有幾種原因，其一是token生成的算法的缺陷，使得攻擊者能夠猜測到其他用戶的token；其二是token后續(xù)處理的方法的缺陷，使得攻擊者能夠獲得其他用戶的token。
6.1.1.3. 訪問控制
處理用戶訪問的最后一步是正確決定對于每個(gè)獨(dú)立的請求是允許還是拒絕。如果前面的機(jī)制都工作正常，那么應(yīng)用程序就知道每個(gè)被接受到的請求所來自的用戶的id，并據(jù)此決定用戶對所請求要執(zhí)行的動(dòng)作或要訪問的數(shù)據(jù)是否得到了授權(quán)。
由于訪問控制本身的復(fù)雜性，這使得它成為攻擊者的常用目標(biāo)。開發(fā)者經(jīng)常對用戶會(huì)如何與應(yīng)用程序交互作出有缺陷的假設(shè)，也經(jīng)常省略了對某些應(yīng)用程序功能的訪問控制檢查。
6.1.2. 輸入處理
很多對Web應(yīng)用的攻擊都涉及到提交未預(yù)期的輸入，它導(dǎo)致了該應(yīng)用程序設(shè)計(jì)者沒有料到的行為。因此，對于應(yīng)用程序安全性防護(hù)的一個(gè)關(guān)鍵的要求是它必須以一個(gè)安全的方式處理用戶的輸入。
基于輸入的漏洞可能出現(xiàn)在一個(gè)應(yīng)用程序的功能的任何地方，并與其使用的技術(shù)類型相關(guān)。對于這種攻擊，輸入驗(yàn)證是 常用的必要防護(hù)。不存在通用的單一的防護(hù)機(jī)制。常用的防護(hù)機(jī)制有如下幾種：
6.1.2.1. 黑名單
黑名單包含已知的被用在攻擊方面的一套字面上的字符串或模式，驗(yàn)證機(jī)制阻擋任何匹配黑名單的數(shù)據(jù)。
一般來說,這種方式是被認(rèn)為是輸入效果較差的一種方式。主要有兩個(gè)原因，其一Web應(yīng)用中的一個(gè)典型的漏洞可以使用很多種不同的輸入來被利用，輸入可以是被加密的或以各種不同的方法表示。
其二，漏洞利用的技術(shù)是在不斷地改進(jìn)的，有關(guān)利用已存在的漏洞類型的新的方法不可能被當(dāng)前黑名單阻擋。
6.1.2.2. 白名單
白名單包含一系列的字符串、模式或一套標(biāo)準(zhǔn)來匹配符合要求的輸入。這種檢查機(jī)制允許匹配白名單的數(shù)據(jù),阻止之外的任何數(shù)據(jù)。這種方式相對比較有效，但需要比較好的設(shè)計(jì)。
6.1.2.3. 過濾
過濾會(huì)刪除潛在的惡意字符并留下安全的字符，基于數(shù)據(jù)過濾的方式通常是有效的，并且在許多情形中，可作為處理惡意輸入的通用解決方案。
6.1.2.4. 安全地處理數(shù)據(jù)
非常多的web應(yīng)用程序漏洞的出現(xiàn)是因?yàn)橛脩籼峁┑臄?shù)據(jù)是以不安全的方法被處理的。在一些情況下，存在安全的編程方法能夠避免通常的問題。例如，SQL注入攻擊能夠通過預(yù)編譯的方式組織，XSS在大部分情況下能夠被轉(zhuǎn)義所防御,如果對以上滲透測試團(tuán)隊(duì)建設(shè)或新項(xiàng)目有安全測試的需求想要了解更詳細(xì)的話可以咨詢專業(yè)的網(wǎng)站安全公司來測試并處理解決,過內(nèi)做的比較全面的網(wǎng)站安全維護(hù)公司推薦Sine安全,啟明星辰,綠盟等等都是比較不錯(cuò)的。
申請創(chuàng)業(yè)報(bào)道，分享創(chuàng)業(yè)好點(diǎn)子。點(diǎn)擊此處，共同探討創(chuàng)業(yè)新機(jī)遇！
