Red Teaming实践教学文档

课程简介

本课程由红日安全团队打造，基于Kill-Chain攻击链路模式搭建完整攻击环境，涵盖从信息收集到痕迹清理的全过程。所有环境均为测试靶场环境，严禁用于真实环境，需严格遵守网络安全法。

课程优势

• 由国内知名安全团队开发
• 包含业界安全专家从业经验
• 团队已开源多本安全电子书籍
• 在Web安全、代码审计领域形成完整体系
• 多次受邀作为安全沙龙演讲嘉宾

课程大纲

第一章 环境准备

1. 靶场环境准备

   • 搭建模拟内网环境
   • 配置攻击机和靶机

2. Kill-Chain题目设计理念

   • 基于洛克希德·马丁的杀伤链模型
   • 侦察→武器化→投递→利用→安装→命令与控制→目标达成

3. 靶场攻击思路

   • 模拟APT攻击流程
   • 分阶段渗透测试

第二章 工具使用

1. Metasploit工具使用

   • 模块分类：exploit, payload, auxiliary, post
   • 常用命令：search, use, set, exploit
   • 会话管理：sessions, background

2. Cobalt Strike工具使用

   • 团队服务器配置
   • 监听器设置
   • 攻击载荷生成
   • 信标(Beacon)控制

第三章 内网之前

1. 信息收集技术
   • 端口扫描：Nmap, Masscan
   • 指纹识别：WhatWeb, Wappalyzer
   • 软件版本识别：Searchsploit
   • 应用信息收集：目录爆破, API探测

第四章 进入内网

1. 工具联动

   • Cobalt Strike与Metasploit联动
   • 外部C2与内部代理结合

2. 权限提升

   • 本地提权技术
   • 内核漏洞利用
   • 服务配置错误利用

3. 内网分析

   • Metasploit数据库操作
   • 内网端口转发分析
   • 路由表配置与跳板设置

第五章 搞定域控

1. Active Directory基础

   • 域概念与架构
   • 常用命令：net, dsquery, nltest

2. Kerberos攻击

   • 黄金票据(Golden Ticket)攻击
   • 白银票据(Silver Ticket)攻击
   • SPN扫描与服务票据请求

3. 横向移动技术

   • 传递哈希攻击(PTH)
   • WMI远程执行
   • 计划任务利用
   • SSP权限维持技术

第六章 隧道技术

1. SSH隧道

   • 本地端口转发
   • 远程端口转发
   • 动态端口转发

2. 多层代理

   • Nginx反向代理配置
   • 多级跳板连接

3. 流量伪装

   • Cobalt Strike Malleable C2配置
   • HTTPS证书配置
   • 流量特征修改

第七章 溯源分析

1. 流量分析

   • Wireshark过滤器使用
   • 异常流量识别
   • 协议分析

2. 威胁情报

   • IOC(Indicator of Compromise)提取
   • TTPs(Tactics, Techniques and Procedures)分析
   • 攻击者画像构建

适合人群

• 安全工程师
• 安全运维工程师
• 代码审计工程师
• 信息安全专业技术人员

关键知识点总结

1. Kill-Chain模型是红队行动的核心框架
2. 工具联动可增强攻击能力，如CS与MSF结合
3. 信息收集是渗透成功的基础，需全面细致
4. 权限提升技术包括本地提权和横向移动
5. 域渗透需要深入理解Kerberos协议和AD架构
6. 隐蔽通道建立是长期控制的关键
7. 痕迹清理需谨慎操作避免触发告警

注意事项

1. 所有技术仅限授权测试使用
2. 真实环境中操作需获得书面授权
3. 遵守《网络安全法》及相关法律法规
4. 测试完成后需完整清理测试痕迹
5. 敏感操作需记录并报备