L0RDVOLDERMOT/CYBER-LAB

针对模拟企业环境进行了十三轮攻防演练。每个冲刺文件夹包含完整的报告：方法论、证据、MITRE ATT&CK 映射、入侵指标（IOC）以及修复建议。每个冲刺的原始 PDF 交付物与 README 文件并列存放。 ## 冲刺进度 | # | 项目 | 领域 | 工具 | 成果 | |---|---|---|---|---| | 01 | [网络配置](./sprint-01-network-configuration/) | 基础 | 拓扑、IP 规划 | 基线网络设计 | | 02 | [MegaQuagga 侦察](./sprint-02-megaquagga-recon/) | 攻击 | Nmap, ARP, DNS | 内部主机与服务枚举 | | 03 | [RCI 分析 (0x2A)](./sprint-03-rci-analysis/) | 治理/风险 | 风险登记册 | 网络安全建议 | | 04 | [威胁建模：Xibalba Interactive](./sprint-04-threat-modeling-xibalba/) | 防御设计 | STRIDE, DFD | 威胁模型交付物 | | 05 | [事件响应计划：Capybara](./sprint-05-incident-response-capybara/) | IR 规划 | NIST 800-61 | 完整 IR 计划 | | 06 | [网络现代化：Yagé Botanicals](./sprint-06-yage-botanicals-network/) | 网络安全 | 架构提案 | 安全网络提案 | | 08 | [MegaQuagga 漏洞评估](./sprint-08-megaquagga-vuln-assessment/) | 攻击 | VA、修复列表 | VA 及执行摘要 | | 09 | [MegaQuagga 渗透测试报告](./sprint-09-megaquagga-pentest-report/) | 攻击（渗透测试） | WPScan, Metasploit, Meterpreter | 完整 RCE 及后渗透利用 | | 10 | [MegaQuagga 修复报告](./sprint-10-remediation-report/) | 防御 | PCAP 分析 | 缓解路线图 | | 11 | [计划提案](./sprint-11-plan-proposal/) | 策略 | 安全计划 | 未来路线图 | | 12 | [0x2A 事件调查：暴力破解](./sprint-12-0x2A-brute-force-investigation/) | 防御 / SOC | PCAP, Zeek, Splunk | Hydra 暴力破解事件分诊 | | 13 | [0x2A 事件调查：勒索软件](./sprint-13-0x2A-ransomware-investigation/) | 防御 / IR | Sysmon, WinRegistry | 勒索软件攻击链分析 | | 14 | [复杂攻击调查](./sprint-14-complex-attack/) | 防御 / 威胁狩猎 | 多源关联 | 多阶段攻击分诊 | ## 能力覆盖 攻击性安全 `侦察` `Web 应用渗透测试` `漏洞评估` `漏洞利用` `后渗透利用` `CVE 研究` 防御性安全与 SOC `PCAP 分诊` `SIEM 威胁狩猎` `IR 分诊` `IOC 提取` `时间线重建` `MITRE 映射` 工具与平台 `Metasploit` `WPScan` `Nmap` `Wireshark` `Splunk` `Zeek` `Sysmon` `ModSecurity` `Hydra` `Burp Suite` `Kali Linux` 框架 `MITRE ATT&CK` `NIST IR 生命周期` `OWASP Top 10` `攻击链` `STRIDE` ## MITRE ATT&CK 覆盖 | ID | 技术 | 冲刺 | |---|---|---| | T1190 | 利用面向公众的应用 | 09 | | T1078 | 有效账户 | 09, 12 | | T1059 | 命令与脚本解释器 | 09, 13 | | T1059.003 | Windows 命令 Shell | 13 | | T1059.005 | VBScript | 13 | | T1071.001 | 应用层协议：Web | 12, 13 | | T1105 | 入口工具传输 | 13 | | T1110.001 | 暴力破解：密码猜测 | 12 | | T1204.002 | 用户执行：恶意文件 | 13 | | T1486 | 为影响而加密数据 | 13 | | T1595 | 主动扫描 | 02 | | T1046 | 网络服务发现 | 02 | ## 亮点报告 冲刺 9（MegaQuagga 渗透测试）。针对内部 WordPress 5.3 部署的渗透测试。识别出过时的核心（CVE-2019-17671， CVE-2020-28032）和有漏洞的 wp-file-upload 插件（CVE-2020-10385）。通过 Metasploit 的 wp_admin_shell_upload 模块实现 RCE，然后升级到 Meterpreter 以 www-data 身份进行后渗透利用。 冲刺 12（Hydra 暴力破解事件分诊）。基于 PCAP 的调查。在 379.687 秒内，识别出用户 "elliot" 从 192.168.100.20 成功登录 4 次。使用 PCAP 作为事实依据，区分成功（302 到 /wp-admin/）与失败（302 到 /wp-login.php），因为 Zeek http.log 未记录 Location 头。 冲刺 13（VBScript 勒索软件调查）。基于 Sysmon 的调查。追踪到 wscript.exe -> 24249.vbs -> cmd.exe -> 121214.tmp 的执行链。关联了 USB 设备（MIRANDA_PRI）、C2 域名（solidaritedeproximite.org）、HTTP 载荷投递，以及 401 个被加密的 .txt 文件（T1486）。

标签：CTI, 威胁模拟