red-team-tactics

name	red-team-tactics
description	基于 MITRE ATT&CK 的红队战术原理。涵盖攻击阶段、检测规避与报告。
allowed-tools	Read, Glob, Grep

红队战术

基于 MITRE ATT&CK 框架的对抗模拟原则。

---

1. MITRE ATT&CK 攻击阶段

攻击生命周期

侦察（Reconnaissance）-> 初始访问（Initial Access）-> 执行（Execution）-> 持久化（Persistence）
        v                    v                    v                  v
    权限提升（Priv Esc）-> 防御规避（Defense Evasion）-> 凭据访问（Credential Access）-> 发现（Discovery）
        v                    v                    v                  v
    横向移动（Lateral Movement）-> 数据收集（Collection）-> 指挥控制（C2）-> 数据泄露（Exfiltration）-> 影响力（Impact）

各阶段目标

阶段	核心目标
侦察（Recon）	映射攻击面
初始访问	获取首个立足点
执行（Execution）	在目标上运行代码
持久化	在重启后依然存活
权限提升	获取管理员（Admin）或 Root 权限
防御规避	躲避安全检测
凭据访问	收集并提取各类凭据
发现（Discovery）	映射内网环境
横向移动	扩散至其他系统
数据收集	搜集目标敏感数据
指挥控制（C2）	维持命令下发通道
数据泄露（Exfil）	提取并带出数据

---

2. 侦察准则

被动侦察与主动侦察

类型	权衡（Trade-off）
被动侦察	不与目标直接接触，获取信息有限，但安全性极高
主动侦察	直接接触目标，获取信息多，但暴露风险极高

信息搜集重点

类别	价值所在
技术栈	选择合适的攻击向量
员工信息	用于社会工程学攻击
网络范围	确定扫描范围
第三方协作	开展供应链攻击

---

3. 初始访问向量

选择标准

向量	适用场景
网络钓鱼（Phishing）	针对人员，需要邮件访问权限
公开漏洞（Exploits）	暴露在外的易受攻击服务
合规凭据	泄露或被暴力破解的帐号
供应链攻击	通过第三方供应商接入

---

4. 权限提升原则

Windows 平台关注点

检查项	利用机会
未加引号的服务路径	利用路径写入漏洞
弱服务权限	修改服务执行逻辑
令牌特权（Token）	滥用 SeDebug 等特权
存储的凭据	离线或在线提取

Linux 平台关注点

检查项	利用机会
SUID 二进制文件	以所有者权限执行
Sudo 配置错误	越权命令执行
内核漏洞	执行内核提取（Exploits）
定时任务（Cron）	修改可写脚本

---

5. 防御规避原则

核心技术

技术名	目的
LOLBins	利用系统内置的合法工具
代码混淆（Obfuscation）	隐藏恶意代码特征
时间戳篡改（Timestomping）	隐藏文件修改痕迹
日志清理	抹除攻击证据

运营安全（OpSec）

• 在工作时间内操作，降低异常感。
• 模仿合规的流量模式。
• 使用加密通信频道。
• 与内网正常行为模式融为一体。

---

6. 横向移动原则

凭据类型

类型	使用方法
密码（Password）	标准认证
哈希值（Hash）	哈希传递（Pass-the-hash）
票据（Ticket）	票据传递（Pass-the-ticket）
证书（Certificate）	证书级别认证

移动路径

• 管理员共享。
• 远程服务（RDP、SSH、WinRM）。
• 内部服务的漏洞利用。

---

7. 活动目录（Active Directory）攻击

攻击类别

攻击方式	目标对象
Kerberoasting	服务账号密码
AS-REP Roasting	无需预认证的账号
DCSync	域环境凭据
Golden Ticket	持久化的域访问权限

---

8. 报告编写准则

攻击叙述

记录完整的攻击链：

1. 如何获得后续初始访问权限。
2. 使用了哪些具体技术。
3. 达成了哪些目标。
4. 检测流程在何处失效。

检测缺口

针对每项成功的技术：

• 理论上应该由什么来检测？
• 为什么现有的检测未能生效？
• 如何改进检测逻辑。

---

9. 伦理红线

始终坚持（Always）

• 保持在授权范围内（Scope）。
• 尽量减小业务影响。
• 如发现真实威胁，立即报告。
• 详尽记录所有操作行为。

严禁行为（Never）

• 破坏生产数据。
• 造成拒绝服务（DoS）（除非有明确授权）。
• 超出概念验证（PoC）所需的访问权限。
• 持有或保留敏感数据。

---

10. 应避免的反模式

[FAIL] 禁止（Don't）	[OK] 推荐（Do）
仓促进行漏洞利用	遵循科学的方法论
造成破坏性的损失	尽量减小影响范围
跳过报告编写环节	详尽记录归档
忽视授权范围	严格在红线内行动

---

谨记： 红队模拟攻击是为了提升防御能力，而非造成真实伤害。

---