我们没撬防火墙，是等运维\"主动\"连上后门 —— 一次实网演习的\"水坑\"攻击复盘

原创

奋斗的小浪
奋斗的小浪

船山信安

2026年8月27日 00:00
上海

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

水坑 · 钓鱼

我们没撬防火墙，是等运维\"主动\"连上后门 —— 一次实网演习的\"水坑\"攻击复盘

船山信安 · 红队实战系列 ｜ 授权实网演习 · 已脱敏

水坑 · 钓鱼 ｜ 授权测试 · 已脱敏 · 船山信安红队实战系列

前两篇里，红队都是\"主动打出去\"：钓鱼、找公网弱点、横向到域控。但真实演习里，正面强攻常常撞上厚防火墙和 EDR。这时候更稳的打法，是\"水坑\"——不去攻破门，而是把门里的人天天用的东西悄悄换成带刺的。这篇文章记录一次授权实网演习：我们没硬撬边界，而是污染了目标内部一个无鉴权的软件下载站，等运维自己把后门\"请\"进了内网。所有地址、账号、载荷哈希均已脱敏。

01背景：正面强攻撞墙，转向\"等鱼上钩\"

目标单位边界防守很硬：WAF 规则全开、出口做严格访问控制、主机 EDR 对未知进程告警灵敏。我们试了几轮外网打点，效果都很差——强行正面突破的性价比太低。

于是策略转向：既然外网难进，就找\"目标自己会主动连进来的东西\"。红队术语叫水坑攻击（Watering Hole）——污染受害者高频信任的资源，让攻击变成\"对方的自发行为\"。

02选潭：定位内部的高频信任资源

在内网资产梳理里，我们发现一台 download.corp 的内部软件下载站：无鉴权、托管着 Putty、VPN 客户端、内部运维脚本，几乎每台办公机和运维机装环境时都会来拉。它本身就是\"高信任、低防护\"的典型水坑。

图 ｜ 梳理内网资产，定位到一个无鉴权、被高频访问的内部下载站

关键判断：这不是\"攻破\"，而是\"寄居\"——只要能改掉站点上的文件，攻击就由受害者自己完成。

03下毒：在下载包里塞进后门

我们用已掌握的运维凭据登录下载站服务器，把站点上的 putty.exe 换成了一个同名、图标一致、但带后门逻辑的版本。重点不在\"多厉害的载荷\"，而在\"足够像、足够静默\"——运行后无任何弹窗，仅在后台回连。

图 ｜ 以运维凭据登录下载站，将后门版本同名替换原文件（站点无校验）

最致命的一点是：这个下载站没有任何文件哈希/签名校验。换上去的\"假 Putty\"和真的一模一样，连文件名、大小都不变。

04等待：运维自投罗网，后门上线

接下来就是\"等\"。不到一天，一台运维机上的用户从下载站拉了\"putty\"并运行——我们的 C2 收到一个来自内网、以域运维身份上线的 beacon。攻击者全程没有\"打\"这台机器，是它自己连过来的。

图 ｜ C2 控制台显示运维机以域运维身份上线（用户自发运行被污染文件）

这就是水坑的精髓：把\"入侵\"伪装成\"正常使用\"。日志里看，那只是一次再普通不过的软件安装。

05提权与持久化：从运维机到域

上线的是域运维账号，权限很高。我们在该机抓凭据、写入每小时执行一次的计划任务做持久化，即使重启或清进程也能重新上线；随后借运维机的高信任度向内网核心段横向。

图 ｜ 在运维机写入持久化计划任务并借其高信任横向（凭据已脱敏）

到这一步，红队已经不是\"进来过\"，而是\"住下了\"。

06攻击链收口

把整条水坑链串起来：

① 正面强攻受挫 → 转向\"等鱼上钩\"策略② 定位无鉴权、高频信任的内部下载站 → 选定水坑③ 同名替换 putty.exe（无完整性校验）→ 下毒④ 运维自发下载运行 → 后门 beacon 上线⑤ 域运维身份 + 持久化 + 横向 → 长期潜伏、可扩战果

全程没碰防火墙规则，没打任何漏洞，却拿到了比\"打进来\"更稳的落脚点——因为门，是对方自己开的。

07防守盲区复盘

这场水坑之所以成功，漏洞不在某台机器，而在\"信任链\"本身：

08加固清单（可直接抄）

1.内部资源上校验。下载站/更新源对所有文件做哈希+签名校验，客户端校验通过才允许运行；任何替换立刻失效。

2.收缩内部站权限。内部软件源独立隔离、强鉴权、变更审计；禁止用通用弱凭据登录。

3.软件白名单。终端启用应用白名单（AppLocker / WDAC），非签名软件一律不让跑，水坑载荷直接拦在门外。

4.运维机降权与隔离。运维账号按 Tier 模型分层，日常操作机不持域管；高权限操作走专门跳板并双因子。

5.出网与回连监控。 内网主机禁止随意出网，C2 常见域名/IP/异常 TLS 抖动纳入告警；下载站文件变更实时通知。

最强的攻击，往往不是你撬开了门，而是你帮我把门内的钥匙，悄悄换成了一把你能开的。

09写在最后

水坑攻击给防守方的启示很扎心：你花大力气守住了大门，却对\"院子里那台谁都能用的饮水机\"没人看管。红队复盘的用意，正是把这种\"信任惯性\"摆到台面上——安全不只是防外贼，更是管好自己的信任边界。当运维随手从内部站拉一个\"Putty\"都能成为突破口时，真正的加固，是从\"默认信任内部\"转向\"对内对外同样怀疑\"。