DEF CON 33 - New Red Team Networking Techniques for Initial Access and Evasion -Shu-Hao, Tung 123ojp
三句話摘要
通過 IP 欺騙、GRE/VXLAN 隧道漏洞及路由協議缺陷進行低層網絡滲透的紅隊技術。 防火牆與加密隧道本身並不夠——若基礎層協議（GRE、VXLAN、OSPF）缺乏源驗證與內網隔離，攻擊者仍可從公網直接入侵內網並進行橫向移動。 IP 欺騙突破內網：當防火牆未過濾內網出站或 NAT 配置不當時，攻擊者可從公網發送偽造 IP 的封包到內網，內網服務將直接回複給攻擊者的公網 IP，完全繞過日誌追蹤。
重點整理
重點- 1
IP 欺騙突破內網：當防火牆未過濾內網出站或 NAT 配置不當時，攻擊者可從公網發送偽造 IP 的封包到內網，內網服務將直接回複給攻擊者的公網 IP，完全繞過日誌追蹤。
- 2
GRE 隧道預設可劫持：GRE 是無狀態無加密的三層隧道，允許任意來源 IP，攻擊者可掃描發現並偽造隧道來自所謂合法對端的 GRE 封包，直接訪問隧道另一端的內網資源。
- 3
VXLAN 學習機制被濫用：VXLAN 預設啟用學習功能且不驗證源 IP，攻擊者只需知道 VNI 與目標端口（預設 4789/8472），即可建立虛假的轉發資料庫表項，劫持廣播流量或執行中間人攻擊。
- 4
路由協議 IP 劫持導致權限提升：攻擊者若能訪問路由協議（OSPF/BGP），可宣告比本地更細的路由前綴（如 /32），劫持域控制器等關鍵服務 IP，進而接管整個域或進行持久化攻擊。
實用技巧與重點
乾貨- 協議與端口：
- GRE (Generic Routing Encapsulation) — 無加密隧道協議
- VXLAN 預設端口：4789、8472；VNI 範圍通常 < 100
- OSPF/BGP — 路由協議，使用 Hello 封包建立連線
- H323 NAT 穿透 — 可建立臨時目標 NAT 規則開放內網端口
- 掃描發現數據：
- 全球 VXLAN 易受攻擊終端數：900+
- VXLAN 子網內可達 IP 地址：4,000+
- 部分終端回複大量 Broadcast 封包，可組合 IP 欺騙進行 DDoS
- 攻擊工具/技術：
- GRE 掃描器 — 通過 shodan、netflow dashboard 尋找 GRE 流量
- VXLAN 掃描器 — 發送 NDP (Neighbor Discovery Protocol) 廣播封包收集 VNI
- ICMP ID/Sequence 編碼 — 可表示 2^55 個 IPv4 位址用於隱蔽掃描
- 源 IP 跳躍技術 — 在掃描時偽造多個源 IP 以躲避檢測
- 使用公司例示：
- Cloudflare、Matrix、Transcend 支援 GRE 與 IPSec 選項
- AWS Transit Gateway 支援 GRE（但限內部網絡）
- 許多企業仍使用未加密的 VXLAN 跨站點連線
結論
結論“防火牆與加密隧道本身並不夠——若基礎層協議（GRE、VXLAN、OSPF）缺乏源驗證與內網隔離，攻擊者仍可從公網直接入侵內網並進行橫向移動。”
完整解析
詳細在企業網絡防禦中，防火牆通常被視為最後防線，但當配置不當時，低層協議的漏洞會讓攻擊者直接繞過此防線。講者首先指出 IP 欺騙問題：即使在現代網絡中，許多防火牆仍允許內網出站流量直接轉發，或因 NAT 配置缺失而將帶有公網源 IP 的封包轉入內網。當內網伺服器收到這些偽造源 IP 的請求時，它會直接回覆給攻擊者的公網地址，完全跳過事件響應團隊通常仰賴的「追蹤被入侵機器的登入日誌」這一步驟。這意味著即使偵測到攻擊，防禦團隊也只會看到一個陌生公網 IP，無法溯源初始入侵點。
進入加密隧道層，GRE（通用路由封裝）因配置簡單而被大型雲服務商（Cloudflare、AWS 等）廣泛採用。然而 GRE 是無狀態、無加密的三層隧道——任何人都可以偽造一個聲稱來自合法對端的 GRE 封包。講者展示了一個掃描技術：通過發送大量不同源 IP 的 GRE 封包並編碼 ICMP ID/Sequence 資訊，攻擊者可在不知道隧道端點 IP 的情況下發現隧道存在及其配置，進而直接訪問隧道另一側的內網資源。更棘手的是，VXLAN（虛擬可擴展區域網）的預設行為甚至更危險——它啟用學習功能且不驗證源 IP，攻擊者只需掃描發現目標 VXLAN 的端口與 VNI（虛擬網絡識別符），就能偽造隧道封包，劫持廣播流量到自己的伺服器，甚至執行中間人攻擊。講者的全球掃描發現超過 900 個易受攻擊的 VXLAN 終端，其中包含 4,000 多個可達 IP 地址。
最危險的層級是路由協議。當攻擊者獲得隧道訪問權後，若該隧道運行 OSPF 或 BGP，攻擊者可直接與路由協議互動，發送虛假的路由前綴宣告。由於 BGP/OSPF 優先選擇更特殊（更小的 CIDR）的路由，攻擊者可宣告 /32 前綴劫持域控制器、DNS 伺服器、VPN 閘道等任何關鍵服務的 IP 地址，將所有流量重導向自己。這不僅造成中間人攻擊，若搭配 ADCS ESC8 等漏洞，更可能導致整個域的接管或使用者帳戶被盜。
關鍵時刻
Pipeline v2帶時間戳的重點，會在逐字稿層級分析上線後產生。目前請先透過原始影片觀看。
事實查核
Pipeline v2說法查證是下一次管線升級的一部分。KeyFrame 只會顯示它真正能驗證的內容。
