大部分成功的入侵活动都需要收集目标的大量信息（并不是所有入侵都需要）。开始入侵前的所有工作都可以归为侦查阶段

• 收到任务或目标

• 准备工具

• 准备基础设施

• 攻陷其他系统获得肉鸡

• 创建账号

• 创建域名

• 确定目标

• 个体

• 组织

• 调研组织

• 技术性

• 业务方面信息

入侵往往不会无缘无故地发生。收到任务和目标是指攻击者决定发起入侵的原因，当然除了一些带有极强目的性的入侵活动外，还会有一些网络技术爱好者和白帽子发起的攻击行为。任何攻击组织或个人产生入侵意图的过程对于网络防御方来说都是不可能观察到的。

准备工具包括要在目标上使用的新漏洞EXP、后门或植入程序。这可能来自于与他人交易、个人研究或这些因素的某种组合的结果。

准备基础设施实际上可能涉及另一个入侵活动。攻击者需要计算机和网络来执行入侵，并且为了隐藏自身不会使用自己的系统和网络直接发起攻击。建立基础设施可能包括入侵其他计算机以获取其控制权、注册域名、创建/窃取用于传递的电子邮件帐户。此外，还存在利用云服务来建立基础设施的情况（例如 Amazon Web Services [AWSl和其他基础设施即服务。

除此之外，攻击组织必须要了解攻击目标组织的行业信息。例如攻击军队，如何快速找到想要访问的军事机密数据；收集航空航天信息以用于向航空航天工程师发送相关主题的钓鱼邮件；攻击企业时收集目标企业的组织架构、业务交易相关方，以从子公司或供应链突破企业网络；收集到目标组织的网络拓扑、软件使用情况有利于攻击组织制定攻击计划，找到企业网络的薄弱点进行边界突破。

侦查例子：搜索美国军方F-22战斗机相关信息

1、针对特定人物的搜索，例如身份不公开的、从事特定高价值（国家间竞争或限制出口）的技术开发相关人员

2、针对电子邮件地址进行的搜索，例如：[email protected]

3、针对特定关键词进行搜索，例如JSF ALIS【JSF全名：Joint Strike Fighter Program；ALIS全名：autonomic logistics information system】

4、针对特定漏洞页面进行搜索，例如：site:orgname.com+filetype:.asp

武器化是将为任务选择的所有工具和基础设施整合在一起的过程。可以将其视为制造将在目标环境中引爆的弹头。必须配置后门以连接到所需的基础设施，然后将其打包成可以逃避边界防御的形式。在针对性网络钓鱼攻击的情况下，后门和恶意代码需要与一个良性文档打包成载体文档。

一个非常典型的武器化工具的例子是Metasploit框架及其组件模块。一些msf模块会留下痕迹，而一些攻击者可能无意中在入侵的过程中保留了痕迹（例如重用包含某些独特属性的载体文档，如作者字段等）。

事实上，攻击者使用了特定的后门或投放器可能并不引人注目。然而，他们在选择和使用这些工具时所展现的人为指纹，即敌对方选择的形式，非常有趣。识别配置数据、文件路径、凭证和编码密钥等方面的选择，是分析人员需要特别关注的内容，以便追踪特定的攻击者。

武器化阶段的典型例子是攻击者利用office漏洞而制作的钓鱼word文档，分析师可以根据恶意文档的作者信息、文档创建的元数据、原始文档路径等信息追踪攻击者。

所有的投递手段都有一些共同特征，都必须有基础设施、利用一些工具以及对恶意代码做一些混淆。

投递的一个例子：

以上HTTP响应中包括重要的信息：

• Last-modified头表示恶意代码的投递时间

• 投递恶意代码的手段是在网页中嵌入iframe标签

• Server字段的服务器类型