ATT&CK之蛮力攻击：凭据填充

on 9月 19, 2022

对手可能会从不相关帐户的泄露转储中获得凭据，然后通过凭据重叠获得对目标帐户的访问权。偶尔，当一个网站或服务被入侵，用户帐户凭证被访问时，大量用户名和密码对会被在线转储。

在之前的几期内容中，已经陆陆续续和大家分享了关于蛮力攻击的一些手法，今天我们要分享的是蛮力攻击中的最后一种子技术：凭据填充。

01 定义与手法

对手可能会从不相关帐户的泄露转储中获得凭据，然后通过凭据重叠获得对目标帐户的访问权。偶尔，当一个网站或服务被入侵，用户帐户凭证被访问时，大量用户名和密码对会被在线转储。对于试图利用用户在个人和企业帐户之间，使用相同密码趋势来入侵帐户的对手来说，这些信息非常有用。

凭据填充是有一定风险的，因为根据组织的登录失败策略，它可能导致大量身份验证失败和帐户锁定。

一般情况下，凭据填充会使用常用端口上的管理业务。一般的目标服务包括:

SSH (22/TCP)
Telnet (23/TCP)
FTP (21/TCP)
NetBIOS / SMB / Samba (139/TCP & 445/TCP)
LDAP (389/TCP)
Kerberos (88/TCP)
RDP / Terminal Services (3389/TCP)
HTTP/HTTP Management Services (80/TCP & 443/TCP)
MSSQL (1433/TCP)
Oracle (1521/TCP)
MySQL (3306/TCP)
VNC (5900/TCP)

除了管理服务，对手可能“针对使用联合身份验证协议的单点登录(SSO)和基于云的应用程序”，以及面向外部的电子邮件应用程序，例如Office 365。

02 程序示例

完整列表请戳“阅读原文”

03 缓解措施

名称	描述
账户使用政策	设置一定次数的登录失败锁定策略，防止用户猜密码。但过于严格的策略可能会导致服务条件被拒绝，导致环境无法使用，所有使用暴力的帐户都会被锁定
使用多因素身份验证	使用多因素身份验证。在可能的情况下，在面向外部的服务上启用多因素身份验证
密码策略	创建密码策略时请参考NIST指南
用户账户管理	要么立即，要么在检测到暴力尝试后，主动重置已知凭据被破坏的帐户

04 检测方法

ID	数据来源	数据组件	检测方式
DS0015	应用程序日志	应用日志内容	监控Valid Accounts的系统和应用程序登录失败的认证日志。考虑以下事件ID: 域控制器:事件ID 4625的“审计登录”(成功和失败)。域控制器:事件ID 4771的“审计Kerberos身份验证服务”(成功和失败)。所有系统:事件ID 4648的“审计登录”(成功和失败)。
DS0002	用户账户	用户账户鉴权	监视可能由于密码喷洒尝试而导致的跨各种帐户的多次失败的身份验证尝试。当哈希被破解时很难检测到，因为这通常是在目标网络范围之外进行的。(例如:Windows EID 4625或5379)

**参考来源：ATT&CK，胖头鱼编译，欢迎转载，转载请注明出处，非常感谢~~

往期推荐

01	● ATT&CK之蛮力攻击：密码喷洒攻击
	► 点击阅读

02	● ATT&CK之蛮力攻击：密码破解
	► 点击阅读

03	● ATT&CK之蛮力攻击：密码猜测
	► 点击阅读

关于我们

云纷科技自成立以来，将“安全运营中心（SOC）”分层分解，以更灵活的模块化方式交付“下一代安全运营服务”；高效整合人、技术和流程，基于云原生的分析平台InsightX，为不同的企业客户提供符合现状和中远期发展的安全运营能力。同时，以十年安全管理经验为依托，我们的安全托管服务（MSS）可以为企业提供7×24小时全天候安全保障，全面提高企业安全抵御能力，为抵抗威胁建立可靠屏障。

云纷希望在为客户建立运营体系的同时，结合自身对于安全的理解和知识，协同利用开发能力、开发并调用各类自动以及半自动化工具，为客户提供最切合实际的安全运营服务，最终帮助用户清晰定位威胁、降低风险，提高整体安全水平。