默认账户 (T1078.001)

30秒速查卡

维度	你需要知道的
这是什么？	攻击者用设备出厂时的默认密码（admin/admin、root/root）直接登录你的路由器、摄像头、打印机
为什么危险？	很多设备装好后从没改过密码，攻击者用Shodan一搜一大把，登录后完全控制设备
谁需要关心？	网络管理员、IoT设备管理员、安全运维团队
你的第一步防御	所有设备首次部署时必须修改默认密码，建立设备密码基线清单
如果只做一件事	用Shodan搜索自己公司的公网IP段，看看有多少设备在用默认密码

前置知识检查

读这个文件需要什么？

漏洞利用基本概念（CVE/缓解措施）
社会工程学基础（钓鱼/诱饵）
网络攻击面概念

技术描述

默认账户（T1078.001）是 有效账户（T1078）的一个具体变体，属于 初始访问 阶段的攻击技术。

简单来说，就像用别人的身份卡，大摇大摆地走进大楼。

具体怎么理解？

利用系统或设备出厂时自带的默认账户和密码（如admin/admin）

攻击者使用这种技术时，通常是在初始访问阶段，想要达到特定的攻击目标。与父技术 T1078 相比，T1078.001 有自己独特的特点和使用场景。

为什么有效？

这种技术之所以有效，是因为：

隐蔽性：利用了正常系统功能或常见协议，不容易被发现
技术门槛适中：不需要特别高深的技术知识就能实施
广泛适用：可以在多种环境和系统中使用

过渡段： 不要误以为初始访问就是’找一个漏洞打进去’这么简单——攻击者会同时尝试多种入口。

真实攻击流程

graph TD
    A["扫描发现暴露设备<br/>使用Shodan/Nmap扫描互联网上<br/>暴露的路由器、摄像头、打印机等设备"] --> B["查询设备默认凭据<br/>根据设备型号查找厂商文档中<br/>的默认用户名/密码组合"]
    B --> C["尝试默认凭据登录<br/>使用admin/admin、root/root等<br/>组合批量尝试登录"] --> D["成功获取管理权限<br/>登录到设备Web管理界面<br/>或SSH/RDP控制台"]
    D --> E["植入后门/添加管理员<br/>创建新管理员账户或<br/>植入持久化后门控制设备"]
    style C fill:#ff6b6b,stroke:#333,stroke-width:2px

步骤详解：

扫描暴露设备 - 攻击者使用 Shodan、Nmap 等工具扫描互联网，寻找暴露的路由器、网络摄像头、打印机、NAS 等设备
查询默认凭据 - 根据设备型号查找厂商文档或漏洞库（如 Routerpwn），获取默认管理员用户名/密码组合
尝试默认凭据登录 - 使用 admin/admin、root/root、admin/password 等常见默认组合批量尝试登录设备管理界面
获取管理权限 - 登录成功后获得设备完全控制权，可查看网络拓扑、修改配置、转发流量
植入后门维持控制 - 添加新管理员账户或植入 Web Shell 等后门，确保长期持久化访问

攻击流程

暴露设备扫描 --> 默认凭据查询 --> 默认凭据登录 --> 设备控制持久化

graph LR
    A["暴露设备扫描"] --> B["默认凭据查询"]
    B --> C["默认凭据登录"]
    C --> D["设备控制持久化"]

步骤详解：

暴露设备扫描
- 通俗描述：在互联网上搜寻暴露管理界面的路由器、摄像头、打印机等设备
- 技术细节：使用搜索引擎和端口扫描定位暴露 Web/SSH/Telnet 管理界面的 IoT 设备，识别设备型号与固件版本
- 常用工具：Shodan、Censys、Nmap
默认凭据查询
- 通俗描述：根据设备型号查出厂自带的管理员账户密码
- 技术细节：查阅厂商文档与默认凭据字典库，匹配目标设备型号对应的预设用户名/密码组合（如 admin/admin、root/root）
- 常用工具：Routerpwn、DefaultCreds-cheat-sheet、SecLists
默认凭据登录
- 通俗描述：用查到的出厂密码直接登录设备管理界面
- 技术细节：使用默认凭据组合批量尝试登录设备的 Web 管理界面、SSH 或 Telnet 服务，绕过未修改密码的设备认证
- 常用工具：Hydra、Medusa、Mirai 扫描模块
设备控制持久化
- 通俗描述：登录后修改配置并植入后门，长期霸占设备
- 技术细节：修改 DNS/路由配置、添加隐藏管理员账户、植入 Web Shell 或固件后门，确保密码被改后仍能访问
- 常用工具：Web Shell、自定义固件、cron 任务

真实案例

案例1：Mirai僵尸网络利用默认凭据感染IoT设备（2016）

时间: 2016年9-10月
目标: 全球范围内的物联网设备（路由器、网络摄像头、DVR）
攻击组织: Mirai僵尸网络运营者（Anna-senpai等人）
手法: Mirai蠕虫使用包含60+组默认凭据的硬编码列表（如admin/admin、root/xc3511、root/vizxv），通过Telnet（23端口）和HTTP管理界面批量扫描并登录暴露在公网的IoT设备。感染成功后设备加入僵尸网络，用于发起大规模DDoS攻击
影响: 感染全球约60万台IoT设备，对Dyn DNS服务商发起1.2Tbps的DDoS攻击，导致Twitter、Netflix、GitHub等大型网站大规模瘫痪
参考链接: Krebs on Security: Mirai Source Code | CISA Alert TA16-288A

案例2：VPNFilter利用默认凭据感染路由器（2018）

时间: 2018年5月
目标: 全球约50万台SOHO路由器和NAS设备（Linksys、Netgear、TP-Link、QNAP等品牌）
攻击组织: APT28（Fancy Bear，俄罗斯GRU 26165部队）
手法: VPNFilter恶意软件的第一阶段利用设备默认凭据或已知漏洞感染路由器。攻击者通过Shodan扫描暴露管理界面的设备，使用厂商默认密码登录后植入bootloader级别的持久化后门，该后门即使在设备恢复出厂设置后仍可存活
影响: 感染54个国家的50万台路由器，可拦截流量、窃取凭证、发动DDoS攻击，甚至通过设备自毁命令使路由器永久瘫痪
参考链接: FBI Alert I-091818-PSA | Cisco Talos: VPNFilter Research

案例3：2023-2024年BotenaGa和Mozi变种持续利用默认凭据

时间: 2023-2024年
目标: 全球IoT设备（路由器、摄像头、DVR）
攻击组织: 多个未具名威胁行为者（据Bitdefender和Lumen Technologies报告）
手法: 攻击者继承Mirai的开源代码，使用扩展的默认凭据字典（包含200+组凭据）持续扫描并感染暴露的IoT设备。Mozi僵尸网络的变种甚至利用UPnP协议自动开放端口，进一步扩大感染范围
影响: 据Lumen Technologies 2024年Q1威胁报告，IoT僵尸网络攻击流量同比增长87%，大量设备因未修改默认密码被反复感染
参考链接: Lumen Q1 2024 Threat Report | Bitdefender: IoT Threat Report

红队视角

⚠️ 免责声明：以下内容仅用于合法的安全测试、渗透测试和教育目的。未经授权对他人系统进行测试是违法行为。

实战技巧

深入理解原理：在实战应用前，充分理解默认账户的技术原理和适用场景
环境适配：根据目标系统的操作系统版本、安全配置等因素调整攻击策略
组合使用：将该技术与其他技术组合使用，构建完整的攻击链
隐蔽性考虑：注意操作痕迹的清理，避免被安全设备检测

常用工具

工具名称	用途	平台	链接
Metasploit	渗透测试框架	全平台	Metasploit
Cobalt Strike	adversary模拟平台	Windows	Cobalt Strike
Atomic Red Team	检测规则测试	全平台	Atomic Red Team

注意事项

在授权的测试环境中使用这些技术
注意操作安全（OPSEC），避免被检测系统发现
使用匿名化技术和代理隐藏真实身份

蓝队视角

检测要点

系统日志监控：关注与默认账户相关的系统日志和审计记录
异常行为检测：监控系统中与该技术相关的异常进程、网络连接和文件操作
工具特征识别：识别攻击者可能使用的工具在系统中的运行特征

监控建议

部署端点检测和响应（EDR）系统，监控与默认账户相关的异常行为
配置SIEM规则，关联分析来自多个来源的告警
定期进行安全评估和渗透测试，验证检测规则的有效性

避坑指南

防御者最常见盲区：只关注服务器和工作站的密码安全，却忘了路由器、摄像头、打印机等IoT设备也带默认密码。这些设备往往不在IT资产清单里，成了攻击者的隐形后门。

检测建议

网络层检测

方法：监控网络流量中的异常模式

# 检测异常的网络连接和数据传输
# 根据具体协议和端口设置检测规则

主机层检测

Windows事件ID：

事件ID 4688：进程创建（监控可疑进程）
事件ID 4104：PowerShell执行（监控可疑脚本）

Linux日志：

/var/log/auth.log：认证日志
/var/log/syslog：系统日志

# 检测异常进程和命令执行
grep -i "suspicious" /var/log/auth.log

用人话说： 攻击者用Shodan或Nmap扫描公网上的路由器、摄像头、打印机，找到后直接用admin/admin、root/root等出厂默认密码登录——就像你买了把密码锁却用了出厂设置的0000，谁都能打开。攻击者会用Routerpwn查设备默认密码库、用python脚本批量尝试SSH/Telnet登录，成功后植入Web Shell或添加管理员账号。检测上，关注网络设备（路由器、摄像头）的SSH/Telnet登录日志中出现异常IP的认证成功记录（如事件ID 4624来自境外IP）、以及设备CPU突然飙高或对外发起异常外联——这些都是默认账户被利用的典型信号。

Sigma规则示例：

title: 检测默认账户
status: experimental
description: 检测可能的默认账户活动
logsource:
    category: process_creation
    product: windows
detection:
    selection:
        EventID: 4688
    condition: selection
level: medium
tags:
    - attack.T1078001

缓解措施

优先级1：关键措施

限制攻击面：减少暴露的服务和端口，降低被利用的风险

# 防火墙规则示例：只允许必要的出站连接
iptables -A OUTPUT -p tcp --dport 443 -j ACCEPT  # 允许HTTPS
iptables -A OUTPUT -p tcp --dport 80 -j ACCEPT   # 允许HTTP
iptables -A OUTPUT -p tcp -j DROP                 # 阻止其他TCP

⚠️ 所有实验必须在隔离的实验室环境中进行

实验1：理解基本原理（初级）

目标：理解默认账户的工作原理

步骤：

在隔离环境中搭建测试系统
使用基础工具模拟攻击行为
观察系统日志和网络流量

学习要点：理解该技术的核心机制

实验2：实际操作（中级）

目标：掌握默认账户的实际使用方法

步骤：

使用专业工具进行攻击模拟
尝试不同的绕过技术
分析检测日志的特征

学习要点：掌握工具使用和日志分析

实验3：防御验证（高级）

目标：验证检测规则的有效性

步骤：

部署检测规则
执行攻击模拟
验证检测告警是否触发

学习要点：理解攻防对抗的实际效果

术语解释

术语	通俗解释
ATT&CK	MITRE公司维护的攻击技术知识库，像一本“黑客手法百科全书“
默认账户	T1078.001，ATT&CK框架中定义的一种具体攻击技术
有效账户	T1078，默认账户所属的父技术类别
初始访问	攻击链中的一个阶段，攻击者在这个阶段的目标
C2	命令与控制，攻击者用来远程控制被入侵系统的“遥控器“
EDR	端点检测与响应，部署在电脑上的安全监控软件

MITRE ATT&CK 官方文档 - ATT&CK 框架官方资源

🔧 工具与资源（动手试试）

Atomic Red Team - 检测规则测试框架
MITRE ATT&CK Navigator - ATT&CK 可视化工具

📚 学习资料（深入了解）

MITRE ATT&CK 知识库 - ATT&CK 官方资源中心

Keyboard shortcuts

ATT&CK 知识库