实战攻防演习“以攻促防”系列内容连载至今，，，，，，已经覆盖了攻击方演习起头前的窥伺、兵器构建，，，，，，以及载荷投递的各个步骤。。。。。在突破防守天堑、实现载荷投递后，，，，，，攻击者下一步要做的就是成功“投毒”，，，，，，即指标植入。。。。。在这一阶段，，，，，，从攻击者的视角来看防守，，，，，，无非就是一场“他逃、他追，，，，，，他插翅难飞”的博弈大戏。。。。。

    1  江湖高手都是怎么成功投毒的？？？？？？？？

    在古龙武侠幼说《多情？？？？？？？？臀耷榻！分校，，，，有这样一位用毒高手，，，，，，名为五毒孺子，，，，，，苗疆极乐峒峒主，，，，，，善于下毒，，，，，，体态矮幼如幼童，，，，，，绝招为“极乐虫”与五毒水晶。。。。。五毒孺子的用毒功夫可谓是出神入化，，，，，，已经达到登峰造极的水平，，，，，，可借用所有动植物为媒产生毒杀人，，，，，，武林中人无不闻风丧胆。。。。。在追杀主人公李寻欢的过程中，，，，，，曾言到：“到今夜为止，，，，，，死在我手上的人已有三百九十二个，，，，，，非但从来没有一人见到过我，，，，，，底子连我的影子都看不到。。。。。”

    这一幕中，，，，，，李寻欢被误以为是梅花盗，，，，，，田七和心眉大家押送李寻欢前往少林寺。。。。。五毒孺子为给徒弟报仇，，，，，，在半路屡次截杀李寻欢。。。。。第一次，，，，，，李寻欢战胜另一个追晒剡伊哭后，，，，，，一行人在饭店吃饭，，，，，，李寻欢刚夹了块红烧豆腐送到嘴旁，，，，，，就意识到菜中有毒，，，，，，果不其然，，，，，，邻桌四个和尚已经被毒死。。。。。第二次，，，，，，李寻欢等人不敢吃喝，，，，，，田七看到车夫吃馍喝汤后试图吃车夫的馍，，，，，，李寻欢仍说有毒，，，，，，田七掰了馍给路边的狗吃，，，，，，狗被毒死了。。。。。第三次，，，，，，田七看中了大街上穷孩子碗里的饽饽，，，，，，以为五毒孺子不会刚好选中这个孩子下毒，，，，，，因而安心地吃饽饽，，，，，，李寻欢仍对峙不吃，，，，，，了局田七和心眉大家全都中了剧毒。。。。。

    整个过程中，，，，，，李寻欢等人在明处，，，，，，五毒孺子潜藏在暗处伺机而动。。。。。在被李寻欢杀死之前，，，，，，五毒孺子的所向披靡在于其深邃的用毒水平，，，，，，五毒孺子会在什么时辰下毒？？？？？？？？毒药下在了哪里？？？？？？？？用的又是什么毒、是否有药可解？？？？？？？？这里面的两个关键点就是未知与隐匿，，，，，，没有人能勘破的下毒伎俩和无人可解的剧毒，，，，，，计算好了天时地利与多人的生理活动。。。。。

    同样，，，，，，在实战攻防演习中攻击者进行指标植入的阶段，，，，，，也必要像五毒孺子一样，，，，，，思虑怎么能力不被防守方发现成功将攻击兵器植入指标内部。。。。。

    通常情况下，，，，，，攻击者基于白利用、高级后门、加壳、沙箱逃逸等多种技术方式，，，，，，在指标机械上装置恶意软件、执行攻击代码并且实现悠久化利用，，，，，，逃避安全软件的查杀。。。。。

    2  攻击者的“奥秘兵器”：0day、无文件攻击与高级后门

    荆轲刺秦王式的图穷匕见并不是一个好的选择。。。。。早期的实战攻防演习聚焦内网天堑的攻击，，，，，，近几年则更盛行供给链攻击、社工垂钓等伎俩。。。。。攻击者的攻击手法五花八门，，，，，，攻击样本多种多样，，，，，，防守方的查杀水平也水涨船高。。。。。

    大无数情况下，，，，，，针对攻击行为，，，，，，现有的查杀防护系统能够对比恶意软件特点库急剧自行措置。。。。。但仍有个别极难被发现的“奥秘兵器”如0day缝隙攻击、无文件攻击和高级后门等。。。。。

    适应上文的说法，，，，，，五毒孺子下毒的深邃之处关键在于未知与隐匿，，，，，，那么0day缝隙刚好象征着未知，，，，，，无需介质的无文件攻击和高级后门则代表着隐匿，，，，，，这类攻击也是近年来攻击者最爱用的攻击伎俩。。。。。

    从攻击者视角来看，，，，，，0day缝隙攻击成功的关键在于穿透现有基于规定的防护技术，，，，，，拥有极强的突发性和粉碎性。。。。。即便防守方在发现攻击后意识到了0day缝隙的存在，，，，，，但依然无法立即建复缝隙，，，，，，无数情况下只能被迫关停服务器或者系统，，，，，，期待厂商颁布缝隙补丁。。。。。缝隙的复杂水平、影响领域分歧，，，，，，造成补丁颁布的周期可能是几个幼时，，，，，，也可能是几天。。。。。最后，，，，，，防守方还必要耗费较长功夫验证建复。。。。。攻击者利用这种攻防信息的不合称提议攻击，，，，，，往往百战百胜，，，，，，能够直接威胁主题系统安全。。。。。对于防守方来说，，，，，，这种看不见的、未知的威胁步崆最可怕的。。。。。

    另一种无文件攻击，，，，，，其中一种常用的伎俩“内存马”，，，，，，其汗青能够追忆到十几年前。。。。。这种古老的攻击伎俩通过将木马注入到系统过程和删除自身过程的方式，，，，，，来躲避杀毒软件的查杀和实现自身的暗藏。。。。。随着防守方的防护设备越来越专业、防线越来越牢固，，，，，，好多传统的基于文件大局的Webshell很容易被检测到，，，，，，以内存马为代表的无文件攻击在这几年的攻防演习中越来越盛行，，，，，，逐步成为攻击者的必备兵器。。。。。删除自身并且在内存中驻留暗藏，，，，，，意味着内存马拥有较强的荫蔽性，，，，，，增长了检测难度，，，，，，内存马之所以会受到攻击者青睐，，，，，，不仅仅是这一特点。。。。。随着攻击指标和伎俩的变动，，，，，，加上技术的发展，，，，，，内存马也起头演变，，，，，，其种类繁多，，，，，，有二进造代码片段（Shellcode）、PowerShell剧本、Web中央件等类型，，，，，，每种类型又可细分，，，，，，分歧类型内存马的执行方式、恶意代码触发机造各不一样，，，，，，导致检测方式多样，，，，，，同时，，，，，，其攻击领域涵盖操作系统剧本、过程，，，，，，Java容器和Web服务法式等，，，，，，攻击方式多变且复杂。。。。。

    还有一种是指令劫持类高级后门。。。。。此前，，，，，，奇安盘古尝试室颁布汇报，，，，，，发现美国国度安全局的黑客组织“方程式”利用顶级后门“电幕行动（Bvp47），，，，，，对蕴含中国在内的45个国度发展长达十几年的监控，，，，，，再次证明类似“双脉冲星、鬼影变种”等这类高级后门绝非个例。。。。。它们普遍通过更改过本正常的指令节造流，，，，，，进行额表的恶意逻辑判断或执行，，，，，，从而实现攻击者的恶意主张。。。。。因而，，，，，，当安全软件读取文件中的代码进行匹配时，，，，，，攻击者就能够将更悔改的、与内存中一致的数据返回给挪用者，，，，，，让其以为两者是一致的并不存在问题，，，，，，从而绕过安全检测，，，，，，实现隐匿成效。。。。。

    荫蔽性强、种类多、领域广……这些攻击伎俩都让防守队如临大敌。。。。。

    3  防守有路：新一代安全软件让威胁无所逃形

    攻击者利用各类恶意软件提议攻击，，，，，，来达到后续粉碎系统、盗取数据或横向渗入等主张，，，，，，通例的杀毒防护软件在面对未知且荫蔽性强的攻击时很难鉴别出来，，，，，，对此，，，，，，ca88登陆平台安全专家建议，，，，，，防守方应尽快部署新一代安全软件，，，，，，尤其是加强针对“免杀”、“高级后门”、“无文件恶意软件”的查杀能力。。。。。

    针对服务器侧的恶意攻击，，，，，，服务器安全治理系统（椒图）基于服务器轻量级Agent，，，，，，能有效；；；；；し务器操作系统及利用，，，，，，通过资产盘点、基线查抄、缝隙检测、虚构补丁、利用防护（RASP、IN-APPWAF）、系统加固、Webshell&病毒查杀、攻击溯源等职能，，，，，，有效招架黑客攻击和恶意代码，，，，，，实现资产发现-缝隙检测-缝隙利用防护的关环治理，，，，，，援手防守方从战前筹备、攻防匹涤注回溯分析三个阶段构建服务器端防护系统。。。。。

    从网络攻防实战角度启程，，，，，，椒图的实战化能力能够有效守护企业服务器安全，，，，，，使操作系统内核、中央件、利用等拥有免疫力。。。。。在攻防匹敌阶段，，，，，，针对各类恶意软件攻击，，，，，，尤其是0day缝隙攻击和无文件攻击等，，，，，，椒图聚焦服务内部的持续监测与响应，，，，，，这也是其主题优势地点，，，，，，通过内核探针、RASP探针、IN-APPWAF探针、Webshell沙河注无文件攻击检测引擎等多项检测技术，，，，，，构建服务器异常模型，，，，，，在积年实战攻防演习期间，，，，，，椒图曾屡次援手防守队发现0day攻击。。。。。

    在实战攻防演习中，，，，，，终端就是攻防匹敌的“着陆点”、双方必争之地。。。。。随着攻防伎俩的不休升级，，，，，，传统的已知病毒攻击、缝隙利用等攻击方式，，，，，，攻守双方都已“良知知彼”。。。。。使用垂钓、挖矿、无文件攻击、横向渗入等综合攻击伎俩对终端进行持续高级威胁输入，，，，，，反而成为目前攻防演练和用户现实终端安全防护中的常见攻击方式。。。。。

    因而，，，，，，防守方可选择ca88登陆平台天擎终端安全治理系统（简称“天擎”），，，，，，基于ca88登陆平台全新的“川陀”终端安全平台构建，，，，，，集成高机能病毒查杀、缝隙防护、自动防御引擎，，，，，，深度融合威胁谍报、大数据分析和安全可视化等创新技术，，，，，，充分满足防守方从备战到实战分歧阶段的差距化防守需要。。。。。

    依附ca88登陆平台深厚的攻防技术及安全大数据堆集，，，，，，自主研发的ca88登陆平台云安全引擎（QCE）、猫头鹰（QOWL）、海狮人为智能（QDE）、六合引擎（DLHE）以及天狗（QTVP）等多个自动防御引擎及高级威胁防御引擎，，，，，，再结合ca88登陆平台壮大的攻防钻研能力及丰硕的规定库储蓄及出产能力，，，，，，ca88登陆平台天擎可提供壮大的持续监测、响应能力，，，，，，实现对可疑行为、未知高级威胁的高效检测、正确定位、齐全溯源，，，，，，为终端的安全运行提供有力保险。。。。。

    针对0day问题和高级后门的问题，，，，，，ca88登陆平台历时四年打造了全新一代安全技术“天狗”，，，，，，并推出了当先业界的产品——ca88登陆平台天狗安全防护平台。。。。。

    作为“冬奥安全保险”四大黑科技之首，，，，，，该技术将安全检测能力下沉到内存指令层，，，，，，基于内存指令执行序列进行安全检测的技术，，，，，，共同“非白即黑”的安全战术，，，，，，可能有效解决0day缝隙攻击问题。。。。。值得一提的是，，，，，，针对高级后门，，，，，，“天狗”还创新使用了CPU硬件能力，，，，，，实现了对全节造流进行检测。。。。。利用该创新技术能够发现各类公开或未公开的指令劫持类高级后门，，，，，，从而有效保险安全产品的能力不会被这些后门影响从而失去应有的成效，，，，，，让安全检测了局可信。。。。。

    目前，，，，，，“ca88登陆平台天狗安全防护平台”已在多个沉点客户处大规模使用，，，，，，在0day和高级后门领域成效杰出，，，，，，曾援手客户发现多起0day缝隙攻击和高级后门事务。。。。。

    本文图片起源于网络