前言：術語背後的攻擊鏈邏輯
駭客術語不只是黑話，更是描述攻擊生命週期各階段技術手段的精準標籤。理解這些術語的技術內涵，是建立資安防禦深度、識別威脅指標 (IoC) 的前提。本文將 9 大經典術語置於 MITRE ATT&CK 攻擊框架 中對應解析，揭示其背後的戰術意圖。
一、 初始存取與執行階段
1. 肉雞 — 被控端點的代稱
- 技術本質：植入後門程式的受害主機，攻擊者可遠端任意指令控制 (RCE)。
- 平台無關性：Windows/Linux/macOS/IoT 設備皆可能淪陷。
- ATT&CK 對應：T1059 (Command and Scripting Interpreter)、T1505.003 (Web Shell)。
- 防禦重點：EDR 行為分析、網流異常偵測 (C2 通訊特徵)、主機完整性監控 (FIM)。
2. 木馬 — 偽裝合法程式的惡意載體
- 核心機制：社交工程誘騙執行 → 釋放 Payload → 建立持久化 → 連回 C2 伺服器。
- 經典家族：Grey Pigeon (灰鴿子)、Gh0st RAT (黑洞)、PcShare、NjRAT、AsyncRAT。
- ATT&CK 對應：T1204 (User Execution)、T1547 (Boot or Logon Autostart Execution)。
- 防禦重點：應用程式白名單、簽名驗證、沙箱動態分析、使用者安全意識訓練。
3. 網頁木馬 — 駭客網站的隱形陷阱
- 攻擊鏈：駭入合法網站 → 植入惡意腳本 (JS/VBS/PHP/ASPX) → 利用瀏覽器/外掛漏洞 (CVE) → 無感下載植入木馬 (Drive-by Download)。
- 常見漏洞類型：CVE-2021-26411 (IE)、CVE-2022-0609 (Chrome V8)、Log4j2 (CVE-2021-44228) 等。
- ATT&CK 對應：T1189 (Drive-by Compromise)、T1059.007 (JavaScript)。
- 防禦重點：WAF 規則、瀏覽器隔離技術、自動修補管理、CSP (Content Security Policy) 標頭。
4. 掛馬 — 植入惡意代碼的動作統稱
- 包含：網頁木馬植入、合法軟體供應鏈投毒 (Supply Chain Attack)、廣告聯播惡意代碼 (Malvertising)。
- 高危場景：開源套件庫 (npm/PyPI/Maven) 被植入惡意套件、CI/CD 流水線被竄改。
二、 持久化與權限提升階段
5. 後門 — 隱蔽的持久化入口
- 形式多樣：Web Shell (PHP/ASPX/JSP)、SSH 公鑰植入、計劃任務/服務註冊、WMI 事件訂閱、登錄表 Run Key、DLL 劫持、啟動資料夾捷徑。
- 木馬與後門關係：多數木馬 (Trojan) 內建後門功能；但後門不一定是木馬 (如合法遠端管理工具被濫用)。
- ATT&CK 對應：T1505 (Server Software Component)、T1547、T1053 (Scheduled Task/Job)。
- 防禦重點：無檔案攻擊偵測 (記憶體掃描)、啟動項審計、Just-In-Time (JIT) 存取控制、零信任架構微隔離。
6. Rootkit — 核心層級的隱身大師
- 分類：
- User-mode Rootkit (API Hooking、IAT/EAT 修改)
- Kernel-mode Rootkit (DKOM、SSDT Hook、IDT Hook、虛擬化 Rootkit / Blue Pill)
- Bootkit (MBR/VBR/UEFI 固件感染，如 LoJax、MosaicRegressor)
- 核心能力：隱藏檔案/進程/網連接/登錄表鍵值、攔截系統呼叫、繞過安全產品掃描。
- 代表工具：Hacker Defender (經典)、BlackEnergy、Necurs、UEFI Rootkit (業界噩夢)。
- ATT&CK 對應：T1014 (Rootkit)、T1542.001 (System Firmware)。
- 防禦重點：安全啟動、UEFI 掃描、核心完整性保護 (HVCI/VBS)、硬體根信任 (TPM 2.0)、離線取證分析。
三、 偵察與橫向移動階段
7. IPC$ — 域環境側向移動的敲門磚
- 本質：命名管道 共享資源，用於進程間通訊 (IPC)。
- 利用方式：空連接 / 弱口令爆破 → 建立 Session → 遠端服務管理 (SCM)、排程任務 (AT/Schtasks)、WMI、DCOM、SMB 轉發 (Pass-the-Hash/Overlay)。
- ATT&CK 對應：T1021.002 (SMB/Windows Admin Shares)、T1550.002 (Pass the Hash)。
- 防禦重點：限制匿名存取 (RestrictAnonymous=1)、強制強密碼策略、禁用 SMBv1、網路分段微隔離、LAPS 管理本地管理員密碼。
8. 弱口令 — 最低成本的入侵鑰匙
- 特徵：短、字典字、鍵盤走勢、預設帳號密碼、重複使用個人資訊。
- 攻擊工具：Hydra、Medusa、CrackMapExec、RDPBrute、SMBBrute。
- 防禦重點：MFA 強制啟用、密碼複雜度/長度/歷史策略、帳號鎖定閾值、定期滲透測試驗證。
9. 預設共享 — 隱藏的側向移動通道
- Windows 預設共享：C$、D$、ADMIN$、IPC$、PRINT$ (以 $ 結尾隱藏)。
- 風險：管理員帳號被盜用時，攻擊者可遠端掛載磁碟植入惡意程式、竊取資料、部署勒索軟體。
- 加固建議：註冊表 `AutoShareWks`/`AutoShareServer` 設為 0 關閉、GPO 限制存取、僅在維護窗口臨時啟用。
總結：從術語到威脅模型的思維轉換
駭客術語映射出完整的 Cyber Kill Chain (網路攻擊鏈)：偵察 → 武器化 → 投遞 → 利用 → 安裝 → 指控 → 行動。資安防禦不應停留在術語認知，而應建立：
- 資產全視圖 (CMDB + 持續發現)
- 威脅情報整合 (IoC 自動餵養防禦設備)
- 分層防禦體系 (網路/主機/應用/資料/身分)
- 假設入侵演練 (紅藍對抗/紫隊演練)
- 零信任架構落地 (持續驗證、最小權限、微隔離)
「知己知彼，百戰不殆。駭客術語是敵人的作戰手冊，我們要把它變成我們的防禦檢核表。」