集权设施攻防兵法：实战攻防之vCenter篇

一、黑客视角下的vCenter

在现实的攻防场景中，越来越多的攻击者开始关注vCenter。因为vCenter涉及资产多，拥有权限大，攻击者对vCenter实施攻击，如果攻击成功，可以让他们迅速地建立攻击据点，为后续攻击提供有利条件。

回归本质，攻击者喜欢攻击vCenter，都得益于利用vCenter存在的漏洞进行攻击，对漏洞进行利用往往能够起到事半功倍的效果。

在vCenter中被攻击者经常利用的漏洞及手法有CVE-2021-21972、CVE-2021-21985、CVE-2021-22005、Provider-logo SSRF漏洞、log4j2 JNDI注入、SAML证书登录、CVE-2022-22948权限配置不当、CVE-2021-22015、提权等，以实现获取初步权限或者权限的提升，为后续深入利用提供条件。

对于攻击者来说，对vCenter发起攻击，具有强烈的目的性：

1.为什么要攻击vCenter？

vCenter人送外号小域控，拿下vCenter之后，不单单只是获取一台服务器的权限，vCenter中存在的虚拟机以及ESXI主机都有可能成为后续的攻击目标，因此拿下vCenter的价值不亚于域控的价值。

2.怎么寻找公网的vCenter？

通过搜索语法查找公网vCenter服务器，一般vCenter开放的端口为5480。此外，使用工具获取网页title时，也可以发现vCenter服务器。

title="+ ID_VC_Welcome +"

3.获取到vCenter权限之后应该做什么？

获取到vCenter一定权限之后，继续进行信息收集，对vCenter中的虚拟机和ESXI主机进行攻击，将会成为主要目标。

二、攻击者如何攻击vCenter？

攻击者对vCenter实施攻击的方式多种多样，以下是一些常见的攻击方式：

随着攻击技术的发展，攻击vCenter的路径也多种多样，以下列举几条典型的攻击路径：

路径一：

1.攻击者首先探测到公网上的vCenter服务，发现该vCenter的版本存在CVE-2021-21972漏洞，于是尝试利用获得vCenter Server主机webshell 权限vphere-ui。

2.利用CVE-2022-22948漏洞，获取vpxuser用户的凭证。

3.用vpxuser凭据通过ssh连接ESXI服务器，对ESXI服务器进行完全控制。

路径二：

1.攻击者首先发现存在漏洞的vCenter服务，利用漏洞控制vCenter。

2.经过信息收集，得到具有管理员权限的账户。

3.导出vpxuser账户的凭据。

4.利用vpxuser账户凭据ssh连接ESXI，并修改ESXI的root密码。

路径三：

1.攻击者首先绕过防火墙，获得企业web服务器初始访问权限。

2.进行内网信息收集之后，发现存在vCenter服务。探测vCenter的版本，发现该vCenter的版本存在漏洞，并加以利用。

3.控制vCenter之后，发现vCenter上部署了AD域的域控虚拟机，随后绕过虚拟机锁屏，获得域控权限，并控制整个AD域。

路径四：

上图中，正常情况下是只有白名单内的ip才能访问vCenter，然而即使是这样，也不能100%地保证攻击者攻击不到vCenter。以下两个场景攻击者可绕过白名单防御，攻击vCenter：

场景1：防火墙存在漏洞或者防火墙的凭据泄漏，那么攻击者可以控制防火墙修改白名单策略，让他也能访问vCenter。

场景2：白名单内的管理员被钓鱼攻击，电脑被攻击者控制，这时攻击者也能攻击vCenter。

1.绕过防火墙ip白名单之后，利用CVE漏洞对vCenter实施攻击。

2.控制vCenter之后，绕过虚拟机锁屏，对ESXI中的主机进行控制。

三、vCenter遭受攻击，给客户造成的损失

如果客户的vCenter被攻击，可能会造成以下损失：

1）数据泄露

攻击者可能会窃取vCenter中存储的敏感信息，如登录凭证、虚拟机、存储设备、网络配置等信息，从而泄露客户的敏感数据。这些数据可能包括客户的商业机密、财务记录、客户数据等。

2）虚拟化环境失控

攻击者可能会获取vCenter的管理员权限，从而掌控整个虚拟化环境。攻击者可以通过修改虚拟机配置、存储配置、网络配置等信息来破坏客户的业务运行，从而导致严重的业务中断。

3）恶意软件感染

攻击者可能会在vCenter服务器上安装恶意软件，如勒索软件、挖矿软件等，从而破坏客户的业务运行并对客户的业务数据进行加密、窃取或篡改。

4）业务停滞

如果vCenter服务器无法正常运行，客户可能会面临业务停滞的风险。例如，如果vCenter服务器上运行的虚拟机是关键业务应用程序的一部分，那么这些应用程序可能无法正常运行，导致业务停滞。

四、vCenter遭受攻击，如何防御？

vCenter安全加固最佳实践

对于vCenter的防护，我们可以参考VMware官方的最佳实践，其中提到了对于vSphere的各个组件，包括vCenter、ESXi等各个方面的防护措施，我们对官方的最佳实践做了深入分析及落地，细节可参考《ITDR之vSphere白皮书》中vSphere加固一章，其中详细描述了加固策略、权限管理、密码策略管理等方面的具体加固措施。

中安网星ITDR（身份威胁检测与响应）平台

ITDR（身份威胁检测与响应）平台是国内首家ITDR厂商中安网星推出的针对身份威胁检测与响应高级威胁分析平台。主要围绕Identity及Infrastructure为核心进行防护，涵盖主流身份基础设施及集权设施，围绕从攻击的事前加固、事中监测，事后阻断出发，产品的设计思路覆盖攻击者活动的全生命周期。

ITDR平台同样具备针对主流集权设施vCenter平台全流程防御方案，场景架构如下图所示：

ITDR平台能力

可以针对vCenter相关的CVE漏洞、基线等风险进行主动地探测，发现vCenter是否存在历史漏洞及错误的风险配置项。

针对vCenter相关CVE漏洞的利用的实时监测，目前已经覆盖对vCenter的所有历史漏洞进行实时的攻击检测，确保在针对vCenter的任何漏洞攻击发生时可以看到攻击行为。

针对vCenter功能滥用的实时监测，如创建角色、创建用户、权限添加、虚拟机克隆、锁屏绕过等，确保攻击者拿到vCenter权限后利用vCenter自身功能进行后渗透利用时，可以实时监控其攻击行为。

通过设置vCenter蜜罐账户，对攻击者进行主动的诱捕，更主动地发现可疑的攻击行为。

题外话

初入计算机行业的人或者大学计算机相关专业毕业生，很多因缺少实战经验，就业处处碰壁。下面我们来看两组数据：

2023届全国高校毕业生预计达到1158万人，就业形势严峻；
国家网络安全宣传周公布的数据显示，到2027年我国网络安全人员缺口将达327万。

一方面是每年应届毕业生就业形势严峻，一方面是网络安全人才百万缺口。

6月9日，麦可思研究2023年版就业蓝皮书（包括《2023年中国本科生就业报告》《2023年中国高职生就业报告》）正式发布。

2022届大学毕业生月收入较高的前10个专业

本科计算机类、高职自动化类专业月收入较高。2022届本科计算机类、高职自动化类专业月收入分别为6863元、5339元。其中，本科计算机类专业起薪与2021届基本持平，高职自动化类月收入增长明显，2022届反超铁道运输类专业（5295元）排在第一位。

具体看专业，2022届本科月收入较高的专业是信息安全（7579元）。对比2018届，电子科学与技术、自动化等与人工智能相关的本科专业表现不俗，较五年前起薪涨幅均达到了19%。数据科学与大数据技术虽是近年新增专业但表现亮眼，已跻身2022届本科毕业生毕业半年后月收入较高专业前三。五年前唯一进入本科高薪榜前10的人文社科类专业——法语已退出前10之列。

“没有网络安全就没有国家安全”。当前，网络安全已被提升到国家战略的高度，成为影响国家安全、社会稳定至关重要的因素之一。

网络安全行业特点

1、就业薪资非常高，涨薪快 2021年猎聘网发布网络安全行业就业薪资行业最高人均33.77万！

2、人才缺口大，就业机会多

2019年9月18日《中华人民共和国中央人民政府》官方网站发表：我国网络空间安全人才需求140万人，而全国各大学校每年培养的人员不到1.5W人。猎聘网《2021年上半年网络安全报告》预测2027年网安人才需求300W，现在从事网络安全行业的从业人员只有10W人。

行业发展空间大，岗位非常多

网络安全行业产业以来，随即新增加了几十个网络安全行业岗位︰网络安全专家、网络安全分析师、安全咨询师、网络安全工程师、安全架构师、安全运维工程师、渗透工程师、信息安全管理员、数据安全工程师、网络安全运营工程师、网络安全应急响应工程师、数据鉴定师、网络安全产品经理、网络安全服务工程师、网络安全培训师、网络安全审计员、威胁情报分析工程师、灾难恢复专业人员、实战攻防专业人员…

职业增值潜力大

网络安全专业具有很强的技术特性，尤其是掌握工作中的核心网络架构、安全技术，在职业发展上具有不可替代的竞争优势。

随着个人能力的不断提升，所从事工作的职业价值也会随着自身经验的丰富以及项目运作的成熟，升值空间一路看涨，这也是为什么受大家欢迎的主要原因。

从某种程度来讲，在网络安全领域，跟医生职业一样，越老越吃香，因为技术愈加成熟，自然工作会受到重视，升职加薪则是水到渠成之事。