场景：2026年9月，某省级政务云平台HVV演习。红队以外部供应商VPN为突破口，利用未公开的SSL VPN 0day打入边界，目标直指核心业务区数据库。
攻击 / 事件时间线
初始访问：VPN 0day破边
红队扫描发现某老旧SSL VPN设备版本存在未公开的pre-auth RCE。通过构造恶意HTTP请求触发堆溢出，成功注入内存马至VPN网关。利用frp搭建反向隧道，获取首个立足点，并清理/var/log/messages及Web访问日志。
自定义EXPfrp内存马
内网侦察：凭据收割与横向
在VPN主机上发现运维人员遗留的SSH私钥及Ansible inventory。通过Mimikatz变种离线读取LSASS内存，获取域用户NTLM Hash。利用Impacket的wmiexec.py横向至跳板机，随后BloodHound标记出至域控的最短路径。
MimikatzImpacketBloodHound
权限维持：黄金票据与隐蔽后门
拿下域控后，红队提取krbtgt哈希伪造黄金票据，并部署DCShadow伪装域控同步。同时在核心数据库服务器植入WebShell（冰蝎4.0加密流量），并设置计划任务每30分钟回连C2。为规避EDR，使用Sysmon日志清理工具删除相关事件ID。
黄金票据DCShadow冰蝎
蓝队视角 · 发现与处置
SOC在次日通过SIEM关联分析发现异常：VPN网关在非维护时段出现大量STATUS_STACK_BUFFER_OVERRUN日志，且同一源IP在5分钟内尝试登录10台主机失败。蓝队立即隔离VPN设备，提取内存镜像进行取证，通过YARA规则扫描发现内存马特征。同时利用Sysmon日志回溯，定位到跳板机的异常WMI调用，最终在域控上捕获DCShadow行为，紧急重置krbtgt密码并吊销所有票据。
涉及关键技术 / 工具
SSL VPN pre-auth RCE 0day利用Mimikatz离线读取LSASS获取NTLM Hash黄金票据伪造与DCShadow权限维持
防护经验总结
- 对边界VPN设备实施微隔离，限制其主动外连，并部署内存马检测模块（如RASP）
- 启用Sysmon完整日志（包括WMI事件ID 19/20/21），并配置SIEM规则监控异常票据请求（如TGT lifetime异常）
- 域控实施分层管理，krbtgt账户定期重置（建议每180天），并监控DCShadow行为（事件ID 4742）
#HVV#0day#域控安全#权限维持