T1110.003: 密码喷洒

摘要

攻击者可能使用单个或一小组常用密码针对许多不同的账户，以尝试获取有效的账户凭证。密码喷洒使用一个密码(例如 'Password01')或一小组常用密码(它们可能符合域的复杂度策略)。使用该密码针对网络上的许多不同账户尝试登录，以避免用多个密码暴力破解单个账户时通常发生的账户锁定。(Citation: BlackHillsInfosec Password Spraying) 密码喷洒时，通常使用常用端口上的管理服务。常见目标服务包括以下： * SSH (22/TCP) * Telnet (23/TCP) * FTP (21/TCP) * NetBIOS / SMB / Samba (139/TCP & 445/TCP) * LDAP (389/TCP) * Kerberos (88/TCP) * RDP / Terminal Services (3389/TCP) * HTTP/HTTP 管理服务 (80/TCP & 443/TCP) * MSSQL (1433/TCP) * Oracle (1521/TCP) * MySQL (3306/TCP) * VNC (5900/TCP) 除了管理服务之外，攻击者可能"针对使用联合认证协议的单点登录(SSO)和基于云的应用程序"，以及面向外部的电子邮件应用程序(如 Office 365)。(Citation: US-CERT TA18-068A 2018) 为了避免检测阈值，攻击者可能故意节流(throttle)密码喷洒尝试，以避免触发安全告警。此外，攻击者可能利用 LDAP 和 Kerberos 认证尝试，它们比 SMB 连接失败尝试通常触发的高可见性事件(如 Windows "登录失败"事件 ID 4625)更不容易触发事件。(Citation: Microsoft Storm-0940)