哈囉～
昨天我們介紹了系統入侵的流程，
並且講解微軟提供給Window系統的驗證機制。
今天想對系統流程當中的步驟介紹其所運用的手法做說明。

獲取訪問權限(Gaining Access)

攻擊者要獲取訪問權限，通常會採取以下方式...

• 密碼攻擊

  • Non-Electronic
    又被稱為是非技術性(non-technical)的攻擊，
    顧名思義就是攻擊者不一定需要有非豐富的技術知識，
    因此也是最常發生的類型。
    e.g. 社交工程(social engineering), 肩膀衝浪(Shoulder surfing), 垃圾搜尋(dumpster diving)。

    延伸閱讀：
    什麼是肩膀衝浪？防止肩部衝浪密碼攻擊的提示
    [從電影看資安] 丟垃圾也是一門學問 - 我的意外老公

  • Active Online Attacks
    攻擊者會透過與目標系統通訊，藉機來破解其密碼。
    手法可能為密碼猜測、字典檔攻擊、暴力破解、Kerberos密碼破解、鍵盤側錄(Keyloggers)等。

    • 相關工具：
      Mimikatz ─ 取得Window系統的明文密碼
      Responder ─ 取得OS版本、NTLM的用戶IP、NTLM的Username與密碼等
      Spyrix Free Keylogger ─ For Window的鍵盤記錄器

  • Passive Online Attacks
    攻擊者在不與目標系統建立通訊的情況下進行密碼破解。
    會被動的監聽或紀錄目標系統傳遞的資訊，
    常見手法為中間人攻擊(Man-in-theMiddle Attack)、重送攻擊(Replay Attacks)、網路監聽(Wire Sniffing)。

    延伸閱讀：重送攻擊

  • Offline Attacks
    攻擊者透過複製目標系統的密碼檔案，並嘗試將其恢復為明文密碼。
    雖然此方式需要一定的時間，但成功機率也比較高。
    e.g. 彩虹表(Rainbow Table Attack)

    延伸閱讀：密碼破解的利器——彩虹表（rainbow table）

    • 相關工具：
      rtgen ─ 可以生成彩虹表的工具

維持權限(Maintaining Access)

• 隱藏檔案
  當攻擊者升級了權限後，會試圖隱藏已嵌入的惡意程序。

  • Rootkits

    引用自維基百科：
    Rootkit是指其主要功能為：隱藏其他程式行程的軟體，可能是一個或一個以上的軟體組合；廣義而言，Rootkit也可視為一項技術。在今天，Rootkit一詞更多地是指被作為驅動程式，載入到作業系統核心中的惡意軟體。

    從命名當中可看到其有Root一詞，就是指目標為獲得系統root權限。
    透過root的高權限，就可以來執行安裝軟體或是刪除文件，
    甚至也可以隱藏攻擊者與目標系統間的溝通，
    以維持之後目標系統的聯繫。

    • 常見的Rootkit：
      LoJax ─ 使用一系列工具訪問或修改系統的UEFI/BIOS設置
      Scranos ─ 會竊取存在瀏覽器中的使用者密碼與帳戶交易資訊
      Horse Pill ─ 可以隱蔽後門，使其從受害系統內部看起來是正常的

  • 延伸閱讀：The Horse Pill Rootkit vs. Forcepoint Threat Protection for Linux

清除軌跡(Clearing Logs)

在攻擊者入侵系統，部屬惡意程式、後門、複製資料等行為後，
在最後會把紀錄都清除乾淨後才離開。
e.g 清除日誌、網路上的軌跡、刪除特定文件(maybe要防止資料自己恢復)

小結

今天介紹了系統入侵步驟中的相關手法與常用工具。
好像是第一次超過十點才發文...(抖

走囉! 高歌離席~