【Hvv】攻防演练中蓝队的主要工具

实战攻防演练一般具有时间短、任务紧的特点，前期各项准备工作是否充分是决定蓝队能否顺利完成攻击任务的关键因素。在蓝队攻击任务中，各类工具的运用会贯穿始终，高质量的工具往往能起到事半功倍的效果，极大提升蓝队的攻击效率。工欲善其事，必先利其器，那么我们就来盘点下蓝队主要使用的工具。

信息搜集工具

蓝队主要利用信息搜集工具搜集目标网络 IP、域名等详细网络信息，并利用搜集到的信息准确确定渗透攻击范围。

• Whois 是用来查询域名的 IP 及所有者等信息的传输协议。简单来说，Whois 就是一个用来查询域名是否已经被注册、注册域名详细信息（如域名所有人、域名注册商）的数据库。
• nslookup 是 Windows 系统中一个非常有用的命令解析工具，用于连接 DNS 服务器、查询域名信息。
• dig 是 Linux 和 Unix 环境下与 Windows 环境下的 nslookup 作用相似的域名查询命令工具。DIG 工具能够显示详细的 DNS 查询过程，是一个非常强大的 DNS 诊断查询工具，具有设置灵活、输出清晰的特点。
• OneForAll 是一款基于 CPython 开发的功能强大的子域收集工具，具有全面的接口和模块支持，集成证书透明度、网络爬虫、常规检查、DNS 数据集、DNS 查询与搜索引擎 6 个模块。

扫描探测工具

蓝队主要利用扫描探测工具对目标 Web 应用系统、网络设备、终端主机或服务器进行漏洞和薄弱点发现，为进一步利用扫描探测到的漏洞实施渗透攻击做准备。

• Nmap 是一款开放源代码的网络探测和安全审核工具，具备对 Windows、Linux、macOS 等多个操作系统的良好兼容性，功能包括在线主机探测（检测存活在网络上的主机）、端口服务探测（检测主机上开放的端口和应用服务）、设备指纹探测（监测目标系统类型和版本信息）和漏洞探测（借助 Nmap 脚本对目标脆弱性进行扫描和检测）。
• Nessus 是一款功能强大、操作方便的网络系统安全扫描工具。采用集成技术帮助执行物理和虚拟设备发现及软件安全审核，通过插件库实现功能拓展和最新漏洞补丁检测，并提供对包括移动设备在内的广泛的网络资产覆盖和架构环境探测。
• AWVS 是一款知名的 Web 网络漏洞扫描工具，利用网络爬虫原理来测试 Web 网站的安全性。AWVS 采用 AcuSensor 技术和自动化客户端脚本分析器实现业内最先进且深入的 SQL 注入和跨站脚本测试，集成了 HTTP Editor 和 HTTP Fuzzer 等高级渗透测试工具，允许对 AJAX 和 Web 2.0 应用程序进行安全性测试，支持通过多线程高速扫描 Web 网络服务来检测流行安全漏洞。
• Dirsearch 是一款用 Python 开发的目录扫描工具，可对包括目录和文件在内的网站 Web 页面结构进行扫描，进而搜集关于后台目录、后台数据库、弱口令、安装包、网站源码和后台编辑器类型等敏感信息的信息。
• Nikto 是一款开源的 Web 安全扫描工具，可对 Web 服务器进行全面的多项安全测试，扫描指定主机的 Web 类型、主机名、目录、特定 CGI 漏洞。

口令爆破工具

蓝队主要利用口令爆破工具来完成对目标网络认证接口用户名和口令的穷尽破解，以实现对目标网站后台、数据库、服务器、个人终端、邮箱等目标的渗透控制。

• 超级弱口令检查工具是可在 Windows 平台运行的弱密码口令检测工具，支持批量多线程检查，可以快速检测弱密码、弱密码账户、密码支持和用户名组合检查，从而大大提高检查成功率，并且支持自定义服务。该工具目前支持 SSH、RDP、Telnet、MySQL、SQL Server、Oracle、FTP、MongoDB、Memcached、PostgreSQL、SMTP、SMTP_SSL、POP3、POP3_SSL、IMAP、IMAP_SSL、SVN、VNC、Redis 等服务的弱密码检查爆破。
• Medusa 是 Kali Linux 系统下对登录服务进行暴力破解的工具，基于多线程并行可同时对多个主机、服务器进行用户名或密码强力爆破，以尝试获取远程验证服务访问权限。Medusa 支持大部分允许远程登录的服务，包括 FTP、HTTP、SSH v2、SQL Server、MySQL、SMB、SMTP、SNMP、SVN、Telnet、VNC、AFP、CVS、IMAP、NCP、NNTP、POP3、PostgreSQL、rlogin、rsh 等。
• Hydra 是一个自动化的爆破工具，可暴力破解弱密码，已经集成到 Kali Linux 系统中。Hydra 可对多种协议执行字典攻击，包括 RDP、SSH（v1 和 v2）、Telnet、FTP、HTTP、HTTPS、SMB、POP3、LDAP、SQL Server、MySQL、PostgreSQL、SNMP、SOCKS5、Cisco AAA、Cisco auth、VNC 等。它适用于多种平台，包括 Linux、Windows、Cygwin、Solaris、FreeBSD、OpenBSD、macOS 和 QNX/BlackBerry 等。
• Hashcat 是一款免费的密码破解工具，号称是基于 CPU 的最快的密码破解工具，适用于 Linux、Windows 和 macOS 平台。Hashcat 支持各种散列算法，包括 LMHashes、MD4、MD5、SHA 系列、UNIX Crypt 格式、MySQL、Cisco PIX。它支持各种攻击形式，包括暴力破解、组合攻击、字典攻击、指纹攻击、混合攻击、掩码攻击、置换攻击、基于规则的攻击、表查找攻击和 Toggle-Case 攻击。

漏洞利用工具

漏洞利用工具可实现对目标网络中硬件、软件、服务或协议漏洞的自动化应用。根据不同的漏洞类型，漏洞利用工具可以分为许多种，多通过单个 Poc & Exp 实现漏洞利用。

• WebLogic 全版本漏洞利用工具该漏洞利用工具集成 WebLogic 组件各版本多个漏洞自动化检测和利用功能，可对各版本 WebLogic 漏洞进行自动化检测和利用，根据检测结果进行执行命令等针对性利用并获取服务器控制权限。
• Struts2 综合漏洞利用工具集成了 Struts2 漏洞的检测和利用功能，可实现利用 Struts2 漏洞进行任意代码执行和任意文件上传。
• sqlmap 注入工具是一个自动化的 SQL 注入工具，可用来自动检测和利用 SQL 注入漏洞并接管数据库服务器。它具有强大的检测引擎，集成众多功能，包括数据库指纹识别、从数据库中获取数据、访问底层文件系统以及在操作系统上内连接执行命令，同时内置了很多绕过插件，支持的数据库有 MySQL、Oracle、PostgreSQL、SQLServer、Access、IBM DB2、SQLite、Firebird、Sybase 和 SAP MaxDB。
• vSphere Client RCE 漏洞（CVE-2021-21972）利用工具可以通过开放 443 端口的服务器向 vCenterServer 发送精心构造的请求，写入 Webshell，控制服务器。

远程控制工具

蓝队主要利用远程控制工具对目标网络内服务器、个人计算机或安全设备进行管理控制。

• Xshell 是一款强大的安全终端模拟软件，支持 SSH1、SSH2 以及 Windows 平台的 TELNET 协议。Xshell 可以用来在 Windows 界面下访问远端不同系统下的服务器，从而比较好地达到远程控制终端的目的。
• SecureCRT 是一款终端仿真程序，支持 Windows 下远程登录 Unix 或 Linux 服务器主机。SecureCRT 支持 SSH，同时支持 Telnet 和 rlogin 协议，是一款用于连接运行 Windows、Unix 和 VMS 的远程系统的理想工具。
• PuTTY 是一个串行接口连接软件，可用于远程登录控制功能，支持对 Windows 平台、各类 Unix 平台 SSH、Telnet、Serial 等协议的连接。
• Navicat 是一款数据库管理工具，可用来方便地管理 MySQL、Oracle、PostgreSQL、SQLite、SQL Server、MariaDB 和 MongoDB 等不同类型的数据库，并与 Amazon RDS、Amazon Aurora、Oracle Cloud、Microsoft Azure、阿里云、腾讯云和华为云等云数据库管理兼容，支持同时创建多个连接、无缝数据迁移、SQL 编辑、数据库设计和高级安全连接等功能。

Webshell 管理工具

蓝队主要利用 Webshell 管理工具对攻击载荷进行管理和运用，借助 Webshell 规避免杀、远程注入和跨网间隐蔽通信等技术实现对目标系统的渗透拓展。

• 冰蝎 Behinder 是一个动态二进制加密网站管理客户端，基于 Java，可以跨平台使用，因其优秀的跨平台兼容性和加密传输特性而被攻击者广泛采用。冰蝎集成了命令执行、虚拟终端、文件管理、SOCKS 代理、反弹 shell、数据库管理、自定义代码、Java 内存马注入、支持多种 Web 容器、反向 DMZ 等功能。
• 中国蚁剑 AntSword 是一款开源的跨平台网站管理工具，也是一款非常优秀的 Webshell 管理工具。它集成了 shell 代理、shell 管理、文件管理、虚拟终端和数据库管理功能，通过自定义编码器支持攻击载荷加密或编码免杀实现 WAF、防火墙等一些防御手段规避绕过，通过丰富的插件库支持自定义载荷实现静态、动态免杀，进而实现 Webshell 高效渗透利用。
• 哥斯拉 Godzilla 是一款相对较新的 Webshell 管理工具，它基于 Java 开发，具有较强的各类 shell 静态查杀规避和流量加密 WAF 绕过优势，且自带众多拓展插件，支持对载荷进行 AES 等各种加密、自定义 HTTP 头、内存 shell 以及丰富的 Webshell 功能。

内网穿透工具

蓝队在攻击过程中需要利用内网穿透工具实现外网到内网的跨边界跳转访问，借助端口转发、隧道技术等手段对内网目标实现转发访问或将目标内网 IP 映射到外网，并在远控客户端和被攻击目标终端之间建立一个安全通信通道，为进一步从外到内渗透拓展提供便利。

• FRP 是一个可用于内网穿透的高性能反向代理工具，支持 TCP、UDP、HTTP、HTTPS 等协议类型，主要利用处于内网或防火墙后的机器，对外网环境提供 HTTP 或 HTTPS 服务，支持加密传输和点对点穿。
• ngrok 是一个开源的反向代理工具。蓝队可利用 ngrok 将边界服务器（如 Web 服务器）作为反向代理服务器，在客户端和目标边界服务器之间建立一个安全通道，客户端可通过反向代理服务器间接访问后端不同服务器上的资源。
• reGeorg 是一款利用 Web 进行代理的工具，可用于在目标服务器在内网或做了端口策略的情况下连接目标服务器内部开放端口，利用 Webshell 建立一个 SOCKS 代理进行内网穿透，将内网服务器的端口通过 HTTP/HTTPS 隧道转发到本机，形成通信回路。
• Secure Shell（SSH）是专为远程登录会话和其他网络服务提供安全性的协议，支持 SOCKS 代理和端口转发。SSH 的端口转发就是利用 SSH 作为中间代理，绕过两个网络之间的限制，顺利进行任意端口的访问。
• Netsh（Network Shell）是 Windows 系统自带的网络配置命令行脚本工具，可用来通过修改本地或远程网络配置实现端口转发功能，支持配置从 IPv4 或 IPv6 端口转发代理，或者 IPv4 与 IPv6 的双向端口转发代理。

网络抓包分析工具

借助网络抓包分析工具，蓝队可进行目标网络通联分析、攻击工具通信分析和安全通信认证信息截获等操作。

• Wireshark 是一款非常常用的网络抓包分析软件，提供抓取网络封包、显示封包资料、检测网络通信数据、查看网络通信数据包中的详细内容等非常实用的功能，更强大的功能有包含强显示过滤器语言和查看 TCP 会话重构流的能力，支持上百种协议和媒体类型，实时检测通信数据，检测其抓取的通信数据快照文件等。
• Fiddler 是一个非常好用的 HTTP 调试抓包工具，该数据抓包工具能记录所有客户端与服务器的 HTTP 和 HTTPS 请求，允许用户监视，设置断点，对通过网络传输发送与接收的数据包进行截获、重发、编辑、转存等操作，用其检测与调试 Web 浏览器和服务器的交互情况。
• tcpdump 是 Linux 平台下一款非常知名、非常强大的网络抓包分析工具，它可以将网络中传送的数据包完全截获下来提供分析。不仅支持针对网络层、协议、主机、网络或端口的过滤，还支持功能强大和灵活的截取策略，实现对网络数据的筛选和分组输出。

开源集成工具平台

• Linux 集成环境（Kali）是基于 Debian 的 Linux 免费发行版，预装了许多渗透测试软件，集成了包括 Metasploit 在内的超过 300 个渗透测试工具。
• Windows 集成环境（Commando VM）是基于 Windows 的高度可定制的渗透测试虚拟机环境，集成了超过 140 个开源 Windows 工具，包含一系列常用的工具，比如 Python 和 Go 编程语言，Nmap 和 Wireshark 网络扫描器，Burp Suite 之类的网络安全测试框架，以及 Sysinternals、Mimikatz 等 Windows 安全工具。
• Cobalt Strike 是一款由美国 Red Team 开发的渗透测试神器，常被业界人士称为 CS。CS 采用 Metasploit 为基础的渗透测试 GUI 框架，支持多种协议上线方式，集成了 Socket 代理、端口转发、Office 攻击、文件捆绑、钓鱼、提权、凭证导出、服务扫描、自动化溢出、多模式端口监听、exe 和 PowerShell 木马生成等功能。
• Burp Suite 是用于攻击 Web 应用程序的集成平台，包含许多工具，集成了 Web 访问代理、Web 数据拦截与修改、网络爬虫、枚举探测、数据编解码等一系列功能。Burp Suite 为这些工具设计了许多接口，可以加快攻击应用程序的部署与调用。

转载于https://xie.infoq.cn/article/c75099ff185e96cdc4213f09f)