Red Team Tactics

红队战术

> 基于 MITRE ATT&CK 框架的对抗模拟原则。

---

1. MITRE ATT&CK 攻击阶段

攻击生命周期

侦察（Reconnaissance）-> 初始访问（Initial Access）-> 执行（Execution）-> 持久化（Persistence）
        v                    v                    v                  v
    权限提升（Priv Esc）-> 防御规避（Defense Evasion）-> 凭据访问（Credential Access）-> 发现（Discovery）
        v                    v                    v                  v
    横向移动（Lateral Movement）-> 数据收集（Collection）-> 指挥控制（C2）-> 数据泄露（Exfiltration）-> 影响力（Impact）

各阶段目标

| 阶段 | 核心目标 | | -------------------- | ------------------------------- | | 侦察（Recon） | 映射攻击面 | | 初始访问 | 获取首个立足点 | | 执行（Execution） | 在目标上运行代码 | | 持久化 | 在重启后依然存活 | | 权限提升 | 获取管理员（Admin）或 Root 权限 | | 防御规避 | 躲避安全检测 | | 凭据访问 | 收集并提取各类凭据 | | 发现（Discovery） | 映射内网环境 | | 横向移动 | 扩散至其他系统 | | 数据收集 | 搜集目标敏感数据 | | 指挥控制（C2） | 维持命令下发通道 | | 数据泄露（Exfil） | 提取并带出数据 |

---

2. 侦察准则

被动侦察与主动侦察

| 类型 | 权衡（Trade-off） | | ------------ | -------------------------------------------- | | 被动侦察 | 不与目标直接接触，获取信息有限，但安全性极高 | | 主动侦察 | 直接接触目标，获取信息多，但暴露风险极高 |

信息搜集重点

| 类别 | 价值所在 | | ---------- | ------------------ | | 技术栈 | 选择合适的攻击向量 | | 员工信息 | 用于社会工程学攻击 | | 网络范围 | 确定扫描范围 | | 第三方协作 | 开展供应链攻击 |

---

3. 初始访问向量

选择标准

| 向量 | 适用场景 | | ----------------------- | -------------------------- | | 网络钓鱼（Phishing） | 针对人员，需要邮件访问权限 | | 公开漏洞（Exploits） | 暴露在外的易受攻击服务 | | 合规凭据 | 泄露或被暴力破解的帐号 | | 供应链攻击 | 通过第三方供应商接入 |

---

4. 权限提升原则

Windows 平台关注点

| 检查项 | 利用机会 | | ------------------ | ------------------- | | 未加引号的服务路径 | 利用路径写入漏洞 | | 弱服务权限 | 修改服务执行逻辑 | | 令牌特权（Token） | 滥用 SeDebug 等特权 | | 存储的凭据 | 离线或在线提取 |

Linux 平台关注点

| 检查项 | 利用机会 | | --------------- | ----------------------- | | SUID 二进制文件 | 以所有者权限执行 | | Sudo 配置错误 | 越权命令执行 | | 内核漏洞 | 执行内核提取（Exploits） | | 定时任务（Cron） | 修改可写脚本 |

---

5. 防御规避原则

核心技术

| 技术名 | 目的 | | ------------------------- | ---------------------- | | LOLBins | 利用系统内置的合法工具 | | 代码混淆（Obfuscation） | 隐藏恶意代码特征 | | 时间戳篡改（Timestomping） | 隐藏文件修改痕迹 | | 日志清理 | 抹除攻击证据 |

运营安全（OpSec）

• 在工作时间内操作，降低异常感。
• 模仿合规的流量模式。
• 使用加密通信频道。
• 与内网正常行为模式融为一体。

---

6. 横向移动原则

凭据类型

| 类型 | 使用方法 | | ------------------ | -------------------------- | | 密码（Password） | 标准认证 | | 哈希值（Hash） | 哈希传递（Pass-the-hash） | | 票据（Ticket） | 票据传递（Pass-the-ticket） | | 证书（Certificate） | 证书级别认证 |

移动路径

• 管理员共享。
• 远程服务（RDP、SSH、WinRM）。
• 内部服务的漏洞利用。

---

7. 活动目录（Active Directory）攻击

攻击类别

| 攻击方式 | 目标对象 | | --------------- | ------------------ | | Kerberoasting | 服务账号密码 | | AS-REP Roasting | 无需预认证的账号 | | DCSync | 域环境凭据 | | Golden Ticket | 持久化的域访问权限 |

---

8. 报告编写准则

攻击叙述

记录完整的攻击链：

1. 如何获得后续初始访问权限。
2. 使用了哪些具体技术。
3. 达成了哪些目标。
4. 检测流程在何处失效。

检测缺口

针对每项成功的技术：

• 理论上应该由什么来检测？
• 为什么现有的检测未能生效？
• 如何改进检测逻辑。

---

9. 伦理红线

始终坚持（Always）

• 保持在授权范围内（Scope）。
• 尽量减小业务影响。
• 如发现真实威胁，立即报告。
• 详尽记录所有操作行为。

严禁行为（Never）

• 破坏生产数据。
• 造成拒绝服务（DoS）（除非有明确授权）。
• 超出概念验证（PoC）所需的访问权限。
• 持有或保留敏感数据。

---

10. 应避免的反模式

| [FAIL] 禁止（Don't） | [OK] 推荐（Do） | | ---------------- | ---------------- | | 仓促进行漏洞利用 | 遵循科学的方法论 | | 造成破坏性的损失 | 尽量减小影响范围 | | 跳过报告编写环节 | 详尽记录归档 | | 忽视授权范围 | 严格在红线内行动 |

---

> 谨记： 红队模拟攻击是为了提升防御能力，而非造成真实伤害。

---

Source & license

This open-source skill is cataloged on AgentStack and links to its original source — we do not rehost the code.

• Author: MisonL
• Source: MisonL/Ling
• License: MIT
• Homepage: https://www.npmjs.com/package/@mison/ling

Install and usage instructions live in the source repository linked above.