and data access 3. System and application changes, especially privileged changes 4. Data changes (CRUD) 5. Invalid input, possible malicious injections or threats 6. Resources (RAM, disk, CPU, bandwidth

计划任务 各种错误服务配置利⽤ 0x06 内⽹安全 [敏感信息搜集，防御重点，可在此项严格限制各种系统内置命 令执⾏] 搜集当前已控 "跳板机" 的各类敏感信息 注: 如下某些操作肯定是需要事先⾃⼰想办法先拿到管理权限后才能正常进⾏的,此处不再赘述 查看当前shell权限 及 详细系统内核版本 获取当前系统的 详细ip配置,包括 所在域, ip, 掩码, ⽹关, 主备 dns 获取当前系统所有本地⽤户及组列表 获取当前系统host⽂件内容 获取当前机器硬件设备信息[ 主要为判断当前机器是否为虚拟机 ] 远程截屏捕捉⽬标⽤户敏感操作 由于上述⼤部分的搜集动作都是基于系统内置⼯具和接⼝,故,可完全依靠EDR来实时捕捉各类敏感进程上报恶意操作 利⽤当前已控 "跳板机", 分析⽬标内⽹⼤致⽹络拓扑 及 所有关键性业务机器分布 批量抓取内⽹所有 windows 机器名 和 所在 就显得⽐较直⽩了 通过深⼊分析每种漏洞在实际攻击利⽤过程所产⽣的⼀些典型 流量特征 和 系统⽇志即可⼤致判断 0x07 内⽹安全 [各类敏感凭证 "搜集" 与 "窃取"] 主动密码搜集 注:如下某些操作肯定是需要事先⾃⼰想办法先拿到管理权限或者在指定⽤户权限下才能正常进⾏的 此处不再赘述, 此项⾮防御重点, 因为压根也不好防 批量抓取当前机器上的 "各类基础服务配置⽂件中保存的各种账号密码"