如图3所示，该文通过考虑网络杀伤链模型，基于侦察行动相对于目标网络的发生位置，把侦察行动分为外部侦察和内部侦察两个阶段。外部侦察是从目标网络外部执行的，用于在访问内部资产之前搜集技术或非技术信息；而内部侦察是在获得目标网络的访问权限后执行的，用于从内部网络获取各种信息，执行横向移动并访问其他资源。内部侦察在搜集详细信息方面相对更有效，而外部侦察过程被防御者识别的概率更小。

外部侦察是指攻击者获得内部网络访问权限之前的行动。攻击者可以从面向公众的服务节点、在线人员等获取关键信息，有助于计划攻击并确定攻击目标优先级。攻击者通常首先搜集组织信息和人员的联系方式，使用互联网指纹了解不同的技术信息。然后攻击者将注意力转向设计攻击和恶意软件，并尝试突破至少一台内部主机。成功后，攻击者可以在网络内停留数月，进行内部侦察并升级攻击，直至完成目标。

内部侦察是当攻击者突破了目标网络内至少一台主机或建立了内部访问权限，在已安装的后门与命令控制服务器之间创建安全通信后的行动。攻击者最初可以查找用户和主机级信息，其中运行进程和配置文件会暴露内部主机使用的已安装软件及应用程序列表。然后可以使用系统命令和自定义工具来搜集用户、主机、网络和应用程序级信息。攻击者可以利用被动分析技术（如数据包嗅探）来获取网络拓扑并发现系统架构、协议映射和可利用漏洞，进一步利用漏洞突破其他主机，以更接近目标资源。

如图4所示，该文基于执行侦察行动时搜集数据的不同来源，把侦察技术分为基于第三方源获取、基于目标人员获取和基于系统资源获取等三类技术。基于第三方源的侦察技术主要指从第三方（如公开网站或暗网）获得的目标在线（互联网）或离线（文档）信息。基于人员的侦察技术主要指社会工程技术，通过欺骗目标人员以泄露机密细节或访问信息。基于系统的侦察技术主要指通过本地（如本地主机发现）或远程（如网络扫描和嗅探）与目标系统网络直接交互获取信息。

基于第三方源的侦察通常在攻击早期阶段执行，用来搜集有关组织、人员和资源的有用信息。第三方源包括网站、搜索引擎、暗网等。如图5所示，展示了常用几种基于第三方源的侦察技术的目标信息及可公开使用工具等，如搜索引擎（查找组织/人员相关背景信息）、Whois查找（域名注册者相关信息）、DNS查询（CNAME等资源记录扩展关联主机）、网络指纹（traceroute网络拓扑）、网站指纹（提取网页敏感信息）、邮件跟踪（Streak45监控目标打开和阅读电子邮件的时间和频率）等。

基于目标人员的侦察，是通过关注目标组织中的人员，从人这里搜集信息，即社会工程学（Social Engineering, SE）。该文根据攻击者是否与目标人员直接接触，分为本地SE技术（如诱饵、尾随、肩窥等）需要直接亲自参与，和远程SE技术（如网络钓鱼、网络钓鱼、域欺骗、恶意软件等）可以通过网络远程执行。如图6所示，展示了常用社会工程技术的方法、目标信息、阶段和类型。

A. 主动发包直接交互的扫描技术

B. 旁路捕获间接交互的嗅探技术

本公众号原创文章仅代表作者观点，不代表绿盟科技立场。所有原创内容版权均属绿盟科技研究通讯。未经授权，严禁任何媒体以及微信公众号复制、转载、摘编或以其他方式使用，转载须注明来自绿盟科技研究通讯并附上本文链接。

关于我们