外网渗透如何层层防护

本文目录导读：

1. 第一层：边界入口 — 突破网络隔离与暴露面
2. 第二层：Web应用层 — 突破代码与逻辑缺陷
3. 第三层：主机与系统层 — 突破操作系统与中间件
4. 第四层：内网横向层 — 突破域控与网络微分段
5. 第五层：数据与物理层 — 突破最终防线
6. 总结：防御者如何构建“层层防护”？

外网渗透是一个系统性的攻防过程，攻击者为了突破企业边界防护，通常会按照信息收集 -> 外围打点 -> 权限维持 -> 横向移动 -> 数据回传的路径,层层绕过或击破防护措施。

以下是从攻击者视角的典型分层突破思路（仅供安全从业者参考，用于防御建设）,每一层都对应着特定的防护手段和绕过策略：

第一层：边界入口 — 突破网络隔离与暴露面

目标：找到可被利用的互联网入口（IP、域名、开放端口）。

• 防护手段： 防火墙（ACL）、WAF（Web应用防火墙）、CDN隐藏源IP、IP白名单/黑名单、端口最小化开放。
• 渗透绕过策略：
  1. 资产测绘与边缘发现： 使用Shodan、Fofa、Hunter等引擎，寻找未被收录的边缘系统（如老旧测试站、VPN网关、GitLab/Jenkins等开发环境），攻击者不攻击主站，专攻“非标端口”和“子域名接管”。
  2. CDN绕过： 通过历史DNS记录、SSL证书透明度日志（Crt.sh）、邮件服务器IP反查,找到目标真实源IP。
  3. 协议与指纹识别： 识别WAF类型（如ModSecurity、Cloudflare），尝试使用HTTP/2协议混淆、编码绕过（Unicode编码）、分块传输（Chunked）绕过WAF规则。
  4. 暴力破解与逻辑漏洞： 针对VPN、SSH、RDP等入口，使用密码喷洒（不爆破单用户，而是对所有用户试相同高频密码）；利用空会话、未授权访问（如Redis/MongoDB无密码）。

第二层：Web应用层 — 突破代码与逻辑缺陷

目标：获取Web服务器的执行权限（如获取Shell）。

• 防护手段： WAF规则库、RASP（运行时应用自我保护）、输入过滤、参数化查询、CSRF Token、CORS策略。
• 渗透绕过策略：
  1. 注入类（SQL/NoSQL）： 使用旁路技术（如二次注入、宽字节注入、利用order by盲注）；针对没有WAF的内网应用发起注入。
  2. 文件上传绕过： 上传.htaccess/.user.ini配置文件；利用竞争条件绕过黑名单；图片马+文件包含漏洞（LFI/RFI）。
  3. SSRF（服务端请求伪造）： 利用目标内部资源的信任关系，通过SSRF探测内网、攻击云元数据API（如AWS 169.254.169.254）。
  4. 逻辑漏洞： 绕过单点登录（SSO）的OAuth重定向校验、越权操作（水平/垂直越权）、API接口未校验权限,这些通常是WAF很难防御的。

第三层：主机与系统层 — 突破操作系统与中间件

目标：从低权限提升至管理员（Root/System权限）,绕过终端安全软件。

• 防护手段： 杀毒软件（EDR/AV）、主机入侵检测（HIDS）、最小权限原则、SELinux/AppArmor、补丁管理。
• 渗透绕过策略：
  1. 绕过EDR/AV： 使用开源工具（如Donut、Shellcode Loader）进行内存加载，不落盘；混淆PowerShell脚本（Invoke-Obfuscation）；使用签名的白名单程序运行恶意代码（Living off the Land Binaries，如MSBuild、PowerShell）。
  2. 权限提升：
     • Windows： 利用内核漏洞（如烂土豆提权）、点击劫持（UAC绕过）、泄露的服务权限。
     • Linux： 利用SUID文件、内核漏洞（脏牛）、Docker组逃逸（docker.sock挂载）。
  3. 日志清理： 关闭审计日志、删除特定日志条目（如 rm -rf /var/log 或使用 wevtutil 清理Windows事件）。

第四层：内网横向层 — 突破域控与网络微分段

目标：突破内部防火墙策略，控制域控制器（DC）或核心数据服务器。

• 防护手段： 零信任架构（微隔离）、网络ACL（按业务段隔离）、域策略（GPO）、MFA（多因素认证）、PAM（特权账号管理）。
• 渗透绕过策略：
  1. 内网侦查： 使用BloodHound分析域信任关系，寻找最短路径到域控；利用Responder监听NBT-NS/LLMNR协议获取Net-NTLM哈希。
  2. 凭证窃取： 抓取内存中的明文密码（Mimikatz）、获取浏览器已保存密码、读取云凭证（如aws_access_key_id）。
  3. 横向移动技术：
     • 哈希传递（Pass the Hash）： 即使密码被修改，利用NTLM Hash登录其他Windows机器。
     • Kerberos攻击： 黄金票据（伪造域控）、白银票据（伪造服务）、DCSync（模拟域控同步密码）。
     • SSH隧道与端口转发： 绕过ACL，将内网3389/22端口映射到公网VPS。
  4. 突破微隔离： 利用Docker Exposed API、Kubernetes Dashboard未授权，跳转至容器管理平台；利用SSH跳板机（Jumphost）的漏洞。

第五层：数据与物理层 — 突破最终防线

目标：将数据外传或直接破坏可用性（勒索）。

• 防护手段： DLP（数据防泄漏）、数据库审计、数据加密（TDE/列加密）、网络外联行为监控、堡垒机、强MFA。
• 渗透绕过策略：
  1. 数据回传： 利用DNS隧道（dns2tcp/PowerShell DNS隧道）将数据分片隐藏在DNS请求中；使用HTTP/HTTPS上传至云网盘（如阿里云OSS、Dropbox）,伪装成正常流量。
  2. 绕过DLP： 对数据进行压缩打包、RAR加密（密码传输）、图片隐写（Steganography）；利用IM工具（如Slack、钉钉）的Webhook API外传。
  3. 权限维持： 在DC上安装Skeleton Key或SID History注入，创建隐藏的后门管理员账户；修改服务配置（如计划任务、WMI永久事件订阅）。

防御者如何构建“层层防护”？

渗透路径对防御者的启示是：不能依赖单点防护，应构建纵深防御体系（Defense in Depth）：

1. 攻击面收敛： 减少非必要公网暴露，强制使用VPN+MFA进入内网。
2. 端点检测与响应（EDR）： 重点监控进程行为（如PowerShell执行、非标准API调用）,而非仅依赖特征码。
3. 身份与访问管理（IAM）： 严格最小权限，禁止普通用户加入本地管理员组，对敏感操作（如域控登录、创建用户）开启告警。
4. 网络微分段： 核心数据库必须通过跳板机访问，禁止服务器主动外联互联网（白名单出站）。
5. 零信任： 对每一次访问请求都进行身份验证和权限检查,不信任网络位置。

注意： 以上技术描述旨在帮助安全人员了解攻击手法以加强防御,任何未经授权的渗透测试均属违法行为。