第一, 什么是蓝队
蓝队，一般是指网络实战攻防演习中的攻击一方。

蓝队一般会采用针对目标单位的从业人员，以及目标系统所在网络内的软件、硬件设备同时执行多角度、全方位、对抗性的混合式模拟攻击手段；通过技术手段实现系统提权、控制业务、获取数据等渗透目标，来发现系统、技术、人员、管理和基础架构等方面存在的网络安全隐患或薄弱环节。

蓝队人员并不是一般意义上的电脑黑客。因为黑客往往以攻破系统，获取利益为目标；而蓝队则是以发现系统薄弱环节，提升系统安全性为目标。此外，对于一般的黑客来说，只要发现某一种攻击方法可以有效地达成目标，通常就没有必要再去尝试其他的攻击方法和途径；但蓝队的目标则是要尽可能地找出系统中存在的所有安全问题，因此往往会穷尽已知的“所有”方法来完成攻击。换句话说，蓝队人员需要的是全面的攻防能力，而不仅仅是一两招很牛的黑客技术。

蓝队的工作也与业界熟知的渗透测试有所区别。渗透测试通常是按照规范技术流程对目标系统进行的安全性测试；而蓝队攻击一般只限定攻击范围和攻击时段，对具体的攻击方法则没有太多限制。渗透测试过程一般只要验证漏洞的存在即可，而蓝队攻击则要求实际获取系统权限或系统数据。此外，渗透测试一般都会明确要求禁止使用社工手段（通过对人的诱导、欺骗等方法完成攻击），而蓝队则可以在一定范围内使用社工手段。

还有一点必须说明:虽然实战攻防演习过程中通常不会严格限定蓝队的攻击手法，但所有技术的使用，目标的达成，也必须严格遵守国家相关的法律和法规。

在演习实践中，蓝队通常会以3人为一个战斗小组，1人为组长。组长通常是蓝队中综合能力最强的人，需要较强的组织意识、应变能力和丰富的实战经验。而2名组员则往往需要各有所长，具备边界突破、横向移动（利用一台受控设备攻击其他相邻设备）、情报收集或武器研制等某一方面或几个方面的专长。

蓝队工作对其成员的能力要求往往是综合性的、全面性的。蓝队成员不仅要会熟练使用各种黑客工具、分析工具，还要熟知目标系统及其安全配置，并具备一定的代码开发能力，以便应对特殊问题。

第二, 蓝队演变趋势
“魔高一尺道高一丈”！防守能力提升的同时，攻击能力也在与时俱进。目前，蓝队的工作已经变得非常体系化、职业化和工具化，主要变现如下。

1） 体系化
从漏洞准备、工具准备，到情报收集、内网渗透等，每个人都有明确的分工，有组织地形成团队作战能力，已经很少有一个人干全套的情况了。

2） 职业化
蓝队人员都来自各组织专职实战演习团队，有明确分工和职责，具备协同配合的职业操守，平时开展专业化训练。

3） 工具化
工具化程序持续提升，除了使用常用渗透工具，基于开源代码的定制化工具应用增多，自动化攻击被大规模应用，如采用多IP出口的自动化攻击平台进行作业。
从实战对抗的手法来看，现如今的蓝队还呈现出社工化、强对抗和迂回攻击的特点。

1） 社工化
利用“人”的弱点实施社会工程学攻击，是黑产团伙和高级威胁组织的常用手段，如今也被大量引入实战攻防演习当中。
除了钓鱼、水坑等传统社工攻击手段外，如今的蓝队还会经常通过在线客服、私信好友等多种交互平台进行社工攻击，以便更加高效地获取业务信息。社工手段的多变性往往会让防守方防不胜防。

2） 强对抗
利用0Day漏洞、NDay漏洞、免杀技术等方式与防守方进行高强度的技术对抗，也是近1-2年来蓝队在实战攻防演习中表现出的明显特点。特别的，蓝队人员大多出自安全机构，经过专业训练，因此往往会比民间黑客更加了解安全软件的防护机制和安全系统的运行原理，其使用的对抗技术也往往更具针对性。

3） 迂回攻击
对于防护严密，有效监控的目标系统来说，正面攻击往往难以奏效。这就迫使蓝队越来越多的采用“曲线救国”的攻击方式，将战线拉长：从目标系统的同级单位和下级单位入手，从供应链及业务合作方下手，在防护相对薄弱的关联机构中寻找突破点，通过迂回攻击的方式攻破目标系统。

第三, 蓝队四板斧——攻击的四个阶段
蓝队的攻击并非是天马行空的撞大运，而是一个有章可循、科学合理的作战过程。一般来说，蓝队的工作可分为四个阶段：站前准备、情报收集、建立据点和横向移动。我们也常将这个四个阶段称为蓝队工作的“四板斧”。

一、 第一阶段：准备收集

在一场实战攻防演习作战开始前，蓝队人员主要会从以下几个方面进行准备。

1） 漏洞挖掘
漏洞一直是第一攻击力。前期的漏洞挖掘对于打开突破口显得非常重要，在实战中，漏洞挖掘工作一般会聚焦于互联网边界应用、网络设备、办公应用、运维系统、移动办公、集权管控等方面。此外，只是找到漏洞还不够，好的漏洞利用方式也是十分重要的。想要在不通环境下达到稳定、深度的漏洞利用，这对漏洞挖掘人员来说是一个不小的挑战。

2） 工具储备
工具的目的是为了提升工作效率，好的工具往往能事半功倍，在实战中，蓝队通常需要准备信息收集、钓鱼、远控、WebShell管理、隧道、扫描器、漏洞利用等多种工具。

3） 战法策略
团队作战考虑的是配合，因此，攻击队成员的分工角色就显得尤为重要，小的战役靠个人，大的战役一定是靠机制、流程以及团队合作。好的战法策略，对于一场大的战役来讲至关重要。

4） 以赛代练
日常的任务中，需要挑选出一些具有代表性的任务来对蓝队进行有针对性的训练，有利于蓝队队员提高自身的技能。参加各类安全大赛将非常有助于蓝队队员的技术能力提升。

二、 第二阶段：情报收集

当蓝队专家接到目标任务后，并不会像渗透测试那样在简单收集数据后直接去尝试各种常见漏洞，而是先去做情报侦察和信息收集工作。收集的内容包括目标系统的组织架构、IT资产、敏感信息泄露、供应商信息等各个方面。

组织架构包括单位部门划分、人员信息、工作职能、下属单位等；IT资产包括域名、IP地址、C段、开放端口、运行服务、Web中间件、Web应用、移动应用、网络架构等；敏感信息泄露包括代码泄露、文档信息泄露、邮箱信息泄露、历史漏洞泄露信息等方面；供应商信息包括相关合同、系统、软件、硬件、代码、服务、人员等相关信息。

掌握了目标企业相关人员信息和组织架构，可以快速定位关键人物以便实施鱼叉攻击，或确定内网横纵向渗透路径；而收集了IT资产信息，可以为漏洞发现和利用提供数据支撑；掌握企业与供应商合作相关信息，可为有针对性开展供应链攻击提供素材。而究竟是要社工钓鱼，还是直接利用漏洞攻击，抑或是从供应链下手，一般取决于安全防护的薄弱环节究竟在哪里，以及蓝队对攻击路径的选择。

第三阶段：建立据点

在找到薄弱环节后，蓝队专家会尝试利用漏洞或社工等方法去获取外网系统控制权限，一般称之为“打点”或撕口子。在这个过程中，蓝队专家会尝试绕过WAF、IPS、杀毒软件等防护设备或软件，用最少的流量、最小的动作去实现漏洞利用。

通过撕开的口子，寻找和内网联通的通道，再进一步进行深入渗透，这个由外到内的过程一般称之为纵向渗透。如果没有找到内外联通的DMZ区（Demilitarized Zone，隔离区），蓝队专家会继续撕口子，直到找到接入内网的点为止。

当蓝队专家找到合适的口子后，便可以把这个点作为从外网进入内网的根据地。通过frp、ewsocks、reGeorg等工具在这个点上建立隧道，形成从外网到内网的跳板，将它作为实施内网渗透的坚实据点。

若权限不足以建立跳板，蓝队专家通常会利用系统、程序或服务漏洞进行提权操作，以获得更高权限；若据点是非稳定的PC机，则会进行持久化操作，保证PC机重启后，据点依然可以在线。

第四阶段：横向移动

进入内网后，蓝队专家一般会在本机以及内部网络开展进一步信息收集和情报刺探工作。包括收集当前计算机的网络连接、进程列表、命令执行历史记录、数据库信息、当前用户信息、管理员登录信息、总结密码规律、补丁更新频率等信息；同时对内网的其他计算机或服务器的IP、主机名、开放端口、开放服务、开放应用等情况进行情报刺探。再利用内网计算机、服务器不及时修复漏洞、不做安全防护、同口令等弱点来进行横向渗透扩大战果。

对于含有域的内网，蓝队专家会在扩大战果的同时去寻找域管理员登录的蛛丝马迹。一旦发现某台服务器有域管理员登录，就可以利用Mimikatz等工具去尝试获得登录账号密码明文，或者用Hashdump工具去导出NTLM哈希，继而实现对域控服务器的渗透控制。

在内网漫游过程中，蓝队专家会重点关注邮件服务器权限、OA系统权限、版本控制服务器权限、集中运维管理平台权限、统一认证系统权限、域控权限等位置，尝试突破核心系统权限、控制核心业务、获取核心数据，最终完成目标突破工作。

第四，蓝队也套路——常用的攻击战术
在蓝队的实战过程中，蓝队专家们逐渐摸出了一些套路、总结了一些经验：有后台或登录入口的，会尽量尝试通过弱口令等方式进入系统；找不到系统漏洞时，会尝试社工钓鱼，从人开展突破；有安全防护设备的，会尽量少用或不用扫描器，使用EXP力求一击即中；针对防守严密的系统，会尝试从子公司或供应链来开展工作；建立据点过程中，会用多种手段多点潜伏，防患于未然。

蓝队最常用的攻击战术
一、 利用弱口令获得权限
弱密码、默认密码、通用密码和已泄露密码通常是蓝队专家们关注的重点。实际工作中，通过弱口令获得权限的情况占据90%以上。

很多企业员工用类似zhangsan、zhangsan001、zhangsan123、zhangsan888这种账号拼音或其简单变形，或者123456、888888、生日、身份证后6位、手机号后6位等做密码。导致通过信息收集后，生成简单的密码字典进行枚举即可攻陷邮箱、OA等账号。

还有很多员工喜欢在多个不同网站上设置同一套密码，其密码早已经被泄露并录入到了黑产交易的社工库中；或者针对未启用SSO验证的内网业务系统，均习惯使用同一套账户密码。这导致从某一途径获取了其账户密码后，通过凭证复用的方式可以轻而易举地登录到此员工所使用的其他业务系统中，为打开新的攻击面提供了便捷。

很多通用系统在安装后会设置默认管理密码，然而有些管理员从来没有修改过密码，如admin/admin、test/123456、admin/admin888等密码广泛存在于内外网系统后台，一旦进入后台系统，便有很大可能性获得服务器控制权限；同样，有很多管理员为了管理方便，用同一套密码管理不同服务器。当一台服务器被攻陷并窃取到密码后，进而可以扩展至多台服务器甚至造成域控制器沦陷的风险。

二、 利用互联网边界渗透内网
大部分企业都会有开放于互联网边界的设备或系统，如：VPN系统、虚拟化桌面系统、邮件服务系统、官方网站等。正是由于这些设备或系统可以从互联网一侧直接访问，因此也往往会成为蓝队首先尝试的，突破边界的切入点。

此类设备或系统通常都会访问内网的重要业务，为了避免影响到员工使用，很多企业都没有在其传输通道上增加更多的防护手段；再加上此类系统多会集成统一登录，一旦获得了某个员工的账号密码，就可以通过这些系统突破边界直接进入内网中来。
譬如，开放在内网边界的邮件服务如果缺乏审计，也未采用多因子认证；员工平时又经常通过邮件传送大量内网的敏感信息。如服务器账户密码、重点人员通讯录等。那么，当掌握相关员工的邮箱账号密码后，在邮件中所获得的信息，会被蓝队下一步工作提供很多方便。

三、 利用通用产品组件漏洞
信息化的应用提高了工作效率，但其存在的安全漏洞也是蓝队人员喜欢的。历年实战攻防演习中，经常被利用的通用产品漏洞包括：邮件系统漏洞、OA系统漏洞、中间件软件漏洞、数据库漏洞等。这些漏洞被利用后，可以使攻击方快速获取大量账户权限，进而控制目标系统。而作为防守方，漏洞往往很难被发现，相关活动常常被当作正常业务访问而被忽略。

四、 利用安全产品0Day漏洞
安全产品自身也无法避免0Day攻击！安全产品也是一行行代码构成，也是包含了操作系统、数据库、各类组件等组合而成的产品。历年攻防实战演习中，被发现和利用的各类安全产品的0Day漏洞，主要涉及安全网关、身份与访问管理、安全管理、终端安全等类型安全产品。这些安全产品的漏洞一旦被利用，可以使攻击者突破网络边界，获取控制权限进入网络；获取用户账户信息，并快速拿下相关设备和网络的控制权限。
安全产品的0Day漏洞常常是蓝队最好的攻击利器。

五、 利用人心弱点社工钓鱼
利用人的安全意识不足或安全能力不足，实施社会工程学攻击，通过钓鱼邮件或社交平台进行诱骗，是蓝队专家经常使用的社工手段。在很多情况下，“搞人”要比“搞系统”容易得多。

钓鱼邮件是最经常被使用的攻击手段之一。蓝队专家常常会首先通过社工钓鱼或漏洞利用等手段盗取某些安全意识不足的员工邮箱账号；再通过盗取的邮箱，向该单位的其他员工或系统管理员发送钓鱼邮件，骗取账号密码或投放木马程序。由于钓鱼邮件来自内部邮箱，“可信度”极高，所以，即便是安全意识较强的IT人员或管理员，也很容易被诱骗点开邮件中的钓鱼链接或木马附件，进而导致关键终端被控，甚至整个网络沦陷。

冒充客户进行虚假投诉，也是一种常用的社工手法，攻击方会通过单人或多人配合的方式，通过在线客服平台、社交软件平台等，向客户人员进行虚假的问题反馈或投诉，设局诱使或迫使客服人员接受经过精心设计的带毒文件或带毒压缩包。一旦客户人员的心理防线被突破，打开了带毒文件或压缩包，客服人员的电脑就会成为攻击队打入内网的一个“立足点”。

除了客服人员外，很多非技术类岗位的工作人员也很容易成为社工攻击的“外围目标”。例如，如给法务人员发律师函，给人力资源人员发简历，给销售人员发送采购需求等，都是比较常用的社工方法。而且往往“百试百灵”。

六、 利用供应链隐蔽攻击
供应链攻击是迂回攻击的典型方式。攻击方会从IT（设备及软件）服务商、安全服务商、办公及生产服务商等供应链入手，寻找软件、设备及系统漏洞，发现人员及管理薄弱点并实施攻击。常见的系统突破口包括：邮件系统、OA系统、安全设备、社交软件等；常见的突破方式包括软件漏洞，管理员弱口令等。

利用供应链攻击，可以实现第三方软件系统的恶意更新，第三方服务后台的秘密操控，以及物理边界的防御突破（如，受控的供应商驻场人员设备被接入内网）等多种复杂的攻击目标。

七、 利用下属单位迂回攻击
在有红队防守的实战攻防演习中，有时总部的系统防守会较为严密，蓝队很难正面突破，很难直接撬开进入内网的大门。此时，尝试绕过正面防御，通过攻击防守相对薄弱的下属单位，再迂回攻入总部的目标系统，就是一种很“明智”的策略。

蓝队大量实战中发现：绝大部分企业机构，其下属单位之间的内部网络，下属单位与集团总部之间的内部网络，均未进行有效隔离。很多部委单位、大型央企均习惯于使用单独架设一条专用网络，来打通各地区之间的内网连接，但同时又普遍忽视了不通区域网络之间必要的隔离管控措施，缺乏足够有效的网络访问控制。

这就导致蓝队一旦突破了子公司或分公司的防线，便可以通过内网横向渗透，直接攻击到集团总部，或是漫游整个企业内网，进而攻击任意系统。

例如A子公司位于深圳，B子公司位于广州，而总部位于北京。当A子公司或B子公司被突破后，就可以毫无阻拦地进入到总部网络中来。事实上，A子公司与B子公司可能仅需要访问北京总部的部分业务系统；同时，A与B则可能完全不需要有任何业务上的往来。那么，从安全角度看，就应该严格限制A与B之间的网络访问。但实际情况常常是：一条专线内网通往全国各地，一处沦陷，处处沦陷。

八、 秘密渗透
不同于民间黑客或黑产团队，蓝队工作一般不会大规模使用漏洞扫描器，因为扫描器活动特征明显，很容易暴露自己。例如，目前主流的WAF、IPS等防护设备都有识别漏洞扫描器的能力，一旦发现后，可能第一时间触发报警或阻断IP。

因此，信息收集和情报刺探是蓝队工作的基础。在数据积累的基础上，针对性地根据特定系统、特定平台、特定应用、特定版本，去寻找与之对应的漏洞，编写可以绕过防护设备的EXP来实施攻击操作，可以达到隐蔽攻一击即中的目的。

如果目标系统的防御纵深不够，或使用安全设备的能力不足，当面对这种有针对性攻击时，往往就很难及时发现和阻止攻击行为。在攻防演习的实战中，常常使用蓝队获取到目标资料或数据后，被攻击单位尚未感知到入侵行为。

如果参与演习的安全人员本身的技术能力也比较薄弱，无法实现对攻击行为的发现、识别，无法给出有效的攻击阻断、漏洞溯源及系统修复策略，则在攻击发生的很长一段时间内，防守一方可能都不会对蓝队的隐蔽攻击采取有效的应对措施。

九、 多点潜伏
蓝队专家在工作中，通常不会仅仅站在一个据点上去去开展渗透工作，而是会采取不同的Webshell，使用不同的后门程序，利用不同的协议来建立不同特征的据点。

事实上，大部分应急响应过程并没有溯源攻击源头，也未必能分析完整攻击路径。在防护设备告警时，很多防守方队员会仅仅只处理告警设备中对应告警IP的服务器，而忽略了对攻击链的梳理，从而导致尽管处理了告警，但仍未能将蓝队排除在内网之外。而蓝队则可以通过多个潜伏据点，实现快速“死灰复燃”。

如果某些防守方成员专业程度不高，安全意识不足，还有可能在蓝队的“伏击”之下暴露更多敏感信息。例如，在针对Windows服务器应急运维的过程中，有防守方队员会直接将自己的磁盘通过远程桌面共享挂载到被告警的服务器上。这样反而可以给秘密潜伏的蓝队进一步攻击防守方成员的机会。