وقتی هکرها به هر طریقی وارد شبکه می شوند معمولا فعالیت های نامحسوسی دارند تا به هدف اصلی خودشان یعنی دسترسی به منابع حساس که شامل سرور ها دیتابیس ها مستندات دوربین ها و … شوند اصطلاحا به آن lateral movement نیز گفته می شود. که در دوره های مختلف digital forensic با جزییات خیلی دقیق در مورد Indicator of compromise نحوه اگاهی از آن ها بحث می شود که به صورت خلاصه تغییراتی که در نصب فایل تغییرات فایل تغییرات کانفیگ ها اضافه شدن یوزر و … می باشد.
در واقع این گام هر قدمی که هکرها بردارند در صورتیکه شبکه به درستی کانفیگ شده باشد و همچنین log management وجود داشته باشد قابل ردگیری هست . چون باید به تمامی سیستم ها سرورهای شبکه وارد شوند تا بتواند اطلاعات مورد نظرشان را به سرقت ببرند.
معمولا اطلاعاتی که از سیستم ها و سرور ها به سرقت می بند شامل :
browser history
تاریخچه سایت هایی که رفتید
browser cookie
cookie سایت هایی که رفتید مثلا صرافی ، پرتال سازمانی و. …
browser saved credential که اشاره کردیم اگر از قابلیت master password استفاده کنید تا حد زیادی جلوی این کار می گیرید. این قابلیت در تمامی مرورگرهای Firefox و chrome وجود دارد. و اگر پسورد ست کنید به صورت auto-fill برای شما یوزر و پسورد پر نمی شود همچنین در قسمت پسورد منیجر نمی توانند پسورد هایی که ذخیره شده اند را بدون داشتن master password مشاهده کرد.
local user and password hash
یوزر و پسورد هر سیستم عاملی در یک به صورت رمز شده قرار دارد هکر ها می توانند با روش هایی هش پسورد شما را بدست آورند و از آن برای ورود به سیستم عاملهایی که همان پسورد را قرار دادید استفاده کنند یا هش را توسط ابزارهای آنلاین یا آفلاین کرک کنند .
application credential
خیلی از ابزارهای کاربردی که استفاده می کنیم یوزر و پسوردهایی دارند که در کنار فایل ذخیره می شه یا جایی در سیستم عامل ذخیره می شه اگر نرم افزار در حفظ پسوردها قابلیت امنیتی نداشته باشد هر کس می تواند پسورد ها رو به سرقت ببره
vnc , any desk , teamviewver , any desk ,…
RDP credential
وقتی ما از طریق ویندوز به سرور ها کامپیوترها مختلف RDP میزنیم توسط ابزارهای تست نفوذ این پسورد ها قابل دریافت هستند .
SSH private key
وقتی به سرور نفوذ می شوذ مخصوصا لینوکس اقدام به استخراج کلید های خصوصی برای نفوذ به سرورهای که به کلید خصوصی قابل اعتماد هستند می کنند.
confidential document
فایل های محرمانه سازمانی شخصی عکس فیلم ها در post exploit بدست می آیند.

در گام نهایی هکر ها پس از رسیدن به اطلاعات محرمانه ای که قصد رسیدن به آن را داشتند باید اطلاعات را از شبکه خارج کنند که سازمان های مختلف از روش های برای جلوگیری از نشت اطلاعات استفاده می کنند
ssl offloading
نصب certificate روی تمامی دستگاه های شبکه mobile laptop workstation برای مانیتور ترافیک میل ها و protocol های شبکه جهت کشف exfiltration ها covert channel ها که اطلاعات توسط DNS یا دیگر protocol ها از شبکه خارج نشود.
Data loss preventation
یک ماژول روی فایروال ها می باشد که بر روی ترافیک خروجی ماینتور می کند تا از خارج شدن اطلاعات حساس جلوگیری می کند و در صورت شناسایی اپلود با حجم ها بالا و پکت های ناشاس آن ها را بلاک می کند.
لینک های کاربردی برای جزییات بیشتر Post Exploit
https://attack.mitre.org/tactics/TA0008/
https://attack.mitre.org/tactics/TA0011/
https://attack.mitre.org/tactics/TA0010/
کتاب ها و ابزارهایی که در کلاب معرفی شده اند :
https://t.me/Peneter_Tools
https://t.me/Peneter_Media

انواع بکدورها
Application
System
Crypto
Hardware
مکانیسم های بکدور
hidden functionality
special credentials
Unintended network Activity

Maintain Access Methods
اضافه کردن یوزر یا عوض کردن پسورد
عوض کردن گروه یوزر ادمین کردن یا حتی عوض کردن پسورد پالیسی بدون نیاز به چنج پسورد در مایکروسافت
استفاده از BITS admin مایکروسافت برای دانلود و اجرای اکسپلویت خاص
دست کاری بوت یا استارت اپ ها
نصب پلاگین روی مرورگرها برای شنود و دزدیدن اطلاعات
دستکاری برنامه های اجرایی در سیستم عامل ، دستکاری سورس کدها ( بارها ریپازیتوری های گیت هاب دستکاری شده اند و کد های بکدور روی لایبری های اوپن سورس قرار گرفته است.)
ساخت یا دستکاری پراسس ها ، مثل ساخت یک سرویس به عنوان بکدور در سیستم عامل
دستکاری Event Trigger در event viewer شما می توانید توسط Event viewer اگر کد event خاصی ایجاد شد یک تسک خاص را ران کنید !
Route مستقیم از بیرون به داخل شبکه سبب دور زدن فایروال می شود. ساخت یوزر V P N و همچنین استفاده RAT ها که دسترسی ریموت می دهند ! همچنین hijack اکانت های ولید در سازمان مثل اکانت ادمین سازمان می تونه یک بکدور حیاتی در سازمان بشه که به V P N ، MAIL و کلیه دیتابیس و سرویس های دیگر دسترسی دارد.
جایگزین کردن لایبری های حساس با لایبری های که سبب دسترسی می شوند مثلا Shimrat قابلیت بایپس UAC را دارد !
پخش IMAGE ها DOCKER ها و برنامه های کاربردی مختلف که دستکاری شده اند . حتی CMS های مختلف که سایت سازنده می زاره اگر هک بشه می تونه روش بکدور و وب شل قرار بگیره چون سورس تراست هست برای همه دانلود می کند.
استفاده از SSH-keygen برای بکدور روی سرورهای لینوکسی یا بدافزارهای که قابلیت سرقت private key دارند از روی سیستم های مختلف
OFFICE Exploit بسیار متداول در چندین سال مورد استفاده هکرها بوده که توسط ماکروها فایل مخرب را روی سیستم های ویندوزی اجرا می کرند حتی اکسپلویت های PDF که با اجرا آن باز فایل مخرب دانلود و اجرا می شد برای بکدور در سازمان ها مورد استفاده قرار می گیرد.
بکدور روی فریمور BIOS (Basic Input/Output System) and The Unified Extensible Firmware Interface (UEFI) جزو بکدورهای خیلی خاص حتی اکسپلویت های مختلف در سال های گذشته برای دور زدن BOOT Integrity در سیسکو منشتر شده است.
task schedule / cronjobs بسیار ابزارهای کاربردی برای بکدور گذاشتن هستند که خیلی مورد استفاده هکرها هست.
طراجی نرم افزارهای کاربردی و جایگزین با نسخه اصلی آن ها مثل طراحی Windows Defender یا حتی اسکریپت های پاورشل در ویندوز
باز کردن سوکت به بیرون شبکه برای جابجایی اطلاعات و استفاده بکدور

Priviledge Escalation
Horizontal privilege escalation
همان Account Take over اکانت دیگری در همان سطح دسترسی به توانیم دسترسی پیدا کنیم یکی باگ بانتی های متداول می باشد.
Vertical privilege escalation
بالا بردن سطح دسترسی یا همان vertical PE یعنی اکانت با پایین تر سطح دسترسی را تبدیل به
Local Administrator
Domain Administrator
NT_Authority
ROOT
از جمله روش های بالا بردن سطح دسترسی
دور زدن مکانیسم کنترل سطح دسترسی یا ارتقا دسترسی مثل UAC SUDO که در ویندوز و لینوکس برای اجرا کارهای با دسترسی بالاتر باید یوزر خودش را تعیین سطح دسترسی کند. به عنوان مثال پیدا کردن فایل که پرمیشن اجرا دارد و دسترسی روت دارد و هکر می تواند با این فایل در لینوکس سطح دسترسی خود را بالا ببرد
وقتی یوزر ادمین یا روت وارد می شود یک توکن به او تعلق می گیرد روش هایی برای سرقت توکن وجود دارد که سبب می شود یوزر معمولی دسترسی ادمین یا روت بگیرد