场景：某大型金融机构在2026年HVV期间，其面向互联网的DMZ区Web服务器被红队通过组合漏洞链突破，进而横向移动至核心内网。蓝队SOC在攻击发生18分钟后触发告警。
攻击 / 事件时间线
初始访问与侦察
红队首先对目标金融企业公开的Web应用进行信息收集，发现其使用的Apache HTTP Server版本存在已公开的CVE-2026-15409（SonicWall SMA1000类型，但此处用于Apache）SSRF漏洞。红队通过精心构造的POST请求，向服务器内部API接口发送恶意payload，成功触发SSRF，绕过了WAF对常见SQL注入和XSS的检测。利用SSRF，红队扫描了DMZ区内部开放的端口，发现了一台Redis服务（端口6379）未配置认证，并成功向该Redis服务写入SSH公钥，为后续远程登录创造条件。
Burp SuiteNmap自定义Python脚本
提权与内网突破
红队利用写入的SSH公钥，通过SSH成功登录到DMZ区的Redis服务器，但发现该进程以低权限用户（redis）运行。红队随即使用Linux内核漏洞（CVE-2026-XXXX，如Dirty Pipe变种）进行本地提权，获得root权限。取得root权限后，红队立即部署Cobalt Strike Beacon，建立加密C2通道，并开始在内网横向移动。他们首先从该主机内存中导出了域管理员凭据（使用Mimikatz），并利用这些凭据通过WMI和PsExec批量部署Beacon至内网其他关键服务器，包括域控制器。
Cobalt StrikeMimikatzPsExec自定义提权Exploit
数据窃取与痕迹清理
红队控制的Cobalt Strike团队服务器开始从域控制器和核心数据库服务器上定向搜索敏感文件，重点包括客户交易记录、内部员工权限表、以及核心业务系统的配置文件。红队使用Rclone工具，将筛选出的约2GB数据通过加密的HTTPS通道上传至海外对象存储（如MEGA.nz）。在完成数据窃取后，红队开始清理入侵痕迹：清除系统日志（使用wevtutil）、删除上传的工具文件、并尝试使用Timestomp工具修改关键文件的访问和修改时间，以掩盖攻击时间线。
RclonewevtutilTimestomp
蓝队视角 · 发现与处置
蓝队SOC在攻击发生18分钟后，通过部署在DMZ区WAF日志中的异常请求检测规则（检测到大量指向内网API的POST请求）触发初级告警。安全分析师随即调取Sysmon日志，发现该Web服务器进程（httpd.exe）存在异常的出站连接（SSH到Redis服务器），判定为SSRF攻击。在确认SSRF后，蓝队立即启动应急响应，通过EDR（如CrowdStrike）对受影响服务器进行隔离，阻断C2通信。同时，利用威胁情报平台关联Cobalt Strike Beacon的哈希值，确认攻击正在发生。蓝队随后对全网络进行排查，发现域控制器已被控，立即重置了所有域管理员账号密码，并通过YARA规则扫描文件服务器，定位被窃取的数据范围。最终成功阻断横向移动，但确认已有部分客户数据被窃取。
涉及关键技术 / 工具
CVE-2026-15409 SSRF漏洞利用Cobalt Strike与Mimikatz的联动内网渗透基于Sysmon日志的异常进程链与出站连接分析
防护经验总结
- 1. 严格限制DMZ区服务器对外访问权限，特别是出站SSH和数据库端口，应仅允许必要的管理IP访问。
- 2. 所有面向公网的Web应用必须完成全面的资产梳理和漏洞扫描，优先修复SSRF、RCE等高危漏洞。
- 3. 部署基于行为分析的EDR系统，并配置针对异常进程链（如httpd.exe启动ssh.exe）的实时告警规则，缩短MTTD。
#HVV#红蓝对抗#SSRF#Cobalt Strike#Mimikatz#应急响应