搜索

[15727] 2020-08-14_C2的一些隐藏策略与防丢失

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2020-08-14_C2的一些隐藏策略与防丢失 C 2 的 一 些 隐 藏 策 略 与 防 丢 失 n J c x 9 1   F r e e B u f   2 0 2 0 - 0 8 - 1 4 推 荐 一 个 r e p o ： 各 种 隧 道 ， 加 密 （ 各 种 隧 道 ， 加 密 （ i c m p 隧 道 隧 道 / d n s 隧 道 隧 道 / s s h 隧 道 隧 道 / h t t p 隧 道 ） 隧 道 ） 我 们 先 介 绍 一 下   I C M P 协 议 ： I C M P 的 内 容 是 放 在 i p 数 据 包 的 数 据 部 分 里 传 输 的 ， I C M P 是 基 于 I P 协 议 工 作 的 ， 我 们 要 区 别 于 传 输 层 ， 它 仍 然 属 于 网 络 层 协 议 。 I C M P 报 文 包 含 在 I P 数 据 报 中 ， I P 报 头 在 I C M P 报 文 的 最 前 面 。 一 个 I C M P 报 文 包 括 I P 报 头 （ 至 少 2 0 字 节 ） 、 I C M P 报 头 （ 至 少 八 字 节 ） 和 I C M P 报 文 （ 属 于 I C M P 报 文 的 数 据 部 分 ） 。 当 I P 报 头 中 的 协 议 字 段 值 为 1 时 ， 就 说 明 这 是 一 个 I C M P 报 文 。 重 点 关 注 C h e c k s u m   字 段 和 D a t a 字 段 ， 因 为 我 们 改 变 D a t a 字 段 的 时 候 ， C h e c k s u m 也 要 改 变 , 我 们 把 我 们 的 p a y l o a d 或 者 数 据 放 到 D a t a 字 段 里 面 即 可 . 我 们 分 别 使 用 ， L i n u x 和 W i n d o w s 测 试 一 下 ，   L i n u x   p i n g   发 出 的 D a t a 的 内 容 为   ： ! ” # $ % & ’ ( ) * + , - . / 0 1 2 3 4 5 6 7   ，   W i n d o w s   p i n g   的 发 出 的 D a t a 的 内 容 为 a b c d e f g h i j k l m n o p q r s t u v w a b c d e f g h i . 一 般 攻 击 者 会 把 P a y l o a d 放 到 D a t a   字 段 里 面 ， 返 回 的 内 容 也 放 到 D a t a 里 面 。 下 面 抓 包 一 个 恶 意 软 件 ， 使 用 i c m p 隧 道 传 输 的 ： 我 们 可 以 在   D a t a   里 面 可 以 看 到 一 个 l s ： 返 回 的 系 统 目 录 数 据 是 放 到 D a t a 里 面 的 。 简 单 介 绍 一 下   D N S 协 议 ： D N S 协 议 是 一 个 应 用 层 协 议 ， 用 来 将 域 名 转 换 为 I P 地 址 （ 也 可 以 将 I P 地 址 转 换 为 相 应 的 域 名 地 址 ） ， 类 似 一 个 分 布 式 数 据 库 ， 数 据 通 过 u d p 传 输 , I P 报 头 中 的 协 议 字 段 值 为 1 7 .   D N S 隧 道 抓 包 如 下 ： 我 在 被 控 机 上 抓 包 ， 如 图 ， 可 以 看 出 受 控 机 器 一 直 T X T 请 求   C e n t O S   控 制 机 ： h t t p s : / / g i t h u b . c o m / a l p h a S e c l a b / a w e s o m e - r a t . g i t
可 以 看 出 我 们 的 p a y l o a d 是   放 到 T X T 字 段 里 面 ， 由 C e n t O S   控 制 机 响 应 给 客 户 端 的 ： 然 后 ， 数 据 都 分 段 放 到 子 域 名 里 面 ， 分 多 次 ， 再 次 用 请 求 的 方 式 ， 发 送 到 我 们 的 控 制 机 器 上 了 可 以 看 出 D N S 隧 道 的 一 些 特 征 ： 1 ，   请 求 的 T y p e 一 般 都 是 T X T （ 为 了 能 够 加 入 更 多 的 信 息 ） 。 2 ，   p a y l o a d 部 分 一 般 都 会 编 码 （ 可 能 为 b a s e 6 4 、 2 进 制 或 1 6 进 制 ） 后 放 到 子 域 名 里 面 ， 而 且 多 变 ， 不 一 致   3 ，   D N S 发 生 频 率 很 高 ， 短 时 间 为 了 发 送 大 量 数 据 ， 会 产 生 大 量 请 求 。 更 多 的 内 容 ， 见 本 人 的 详 细 文 章 介 绍 ， 如 下 ： N I D S ( s u r i c a t a ) 中 的 I C M P 隐 蔽 隧 道 检 测 h t t p s : / / w w w . f r e e b u f . c o m / a r t i c l e s / e s / 2 4 3 4 8 6 . h t m l N I D S （ s u r i c a t a ） 中 的 D N S 隐 蔽 隧 道 检 测 h t t p s : / / w w w . f r e e b u f . c o m / a r t i c l e s / n e t w o r k / 2 4 4 0 9 4 . h t m l D G A   算 法 算 法 D G A 是 恶 意 程 序 所 使 用 的 一 种 D N S 技 术 ， 用 于 隐 藏 C 2 服 务 器 。 恶 意 软 件 通 常 使 用 它 们 来 逃 避 基 于 域 名 的 防 火 墙 、 N I D S 拦 截 。 使 用 D G A 的 恶 意 软 件 将 不 断 尝 试 连 接 生 成 的 D G A 域 名 列 表 里 面 的 域 名 ， 直 到 完 成 C 2 通 信 。 D G A 算 法 最 早 是 在 2 0 0 8 年 的 C o n f i c k e r 恶 意 软 件 中 发 现 的 。 C o n f i c k e r 的 第 一 个 变 体 （ 变 体 A ） 每 天 使 用 日 期 作 为 种 子 来 产 生 2 5 0 个 不 同 的 域 名 。 后 来 F B I 进 行 了 报 复 ， 逆 向 了 C o n f i c k e r ， 并 注 册 恶 意 软 件 使 用 的 所 有 域 （ 真 的 假 的 ？ ） 。 随 着 C o n f i c k e r 恶 意 软 件 的 发 展 ， 引 入 了 另 外 4 种 恶 意 软 件 变 体 （ 从 B 到 E ） ， 变 体 C 每 天 生 成 超 过 5 0 , 0 0 0 个 域 ， 从 中 随 机 选 择 仅 5 0 0 个 域 以 尝 试 与 C & C 服 务 器 进 行 通 信 。 传 统 僵 尸 网 络 基 础 架 构 D G A 僵 尸 网 络 基 础 架 构
D G A 算 法 生 成 逻 辑 B a n j o r i   D G A   域 名 生 成 算 法 D G A 的 优 点 1 、 使 用 D G A 的 僵 尸 网 络 有 较 为 健 壮 的 寻 址 方 式 ， 可 对 抗 D N S 域 名 黑 名 单 拦 截 、 态 势 感 知 系 统 以 及 特 征 码 检 测 系 统 。 2 、 D G A 是 一 种 理 想 的 备 用 信 道 ， 可 作 为 b a c k   u p 手 段 恢 复 僵 尸 网 络 控 制 。 D G A 的 缺 点 1 、 需 要 遍 历 D G A 列 表 ， 寻 址 效 率 低 。 2 、 大 量 N X   D o m a i n 流 量 导 致 通 信 易 被 检 测 发 现 。 3 、 如 果 D G A 数 量 过 多 ， 出 于 时 间 和 金 钱 成 本 开 销 ， 攻 击 者 难 以 全 部 注 册 ， 安 全 人 员 可 以 抢 注 并 通 过 s i n k   h o l e 手 段 劫 持 僵 尸 网 络 利 用 一 些 在 线 网 站 或 者 程 序 做 为 利 用 一 些 在 线 网 站 或 者 程 序 做 为 C 2   S e r v e r 或 者 中 转 或 者 中 转 C 2   S e r v e r 真 实 真 实 I P 比 如 ，   g m a i l ， g i t h u b ， t w i t t e r ， t e l e g r a m 等 等 主 要 有 两 种 玩 法 ： 1 ，   直 接 做 C 2   S e r v e r 比 如 ，   g e t l o o k 2 3 使 用 G i t H u b   I s s u e s 作 为 C 2 d e f   m a p _ t o _ l o w e r c a s e _ l e t t e r ( s ) :         r e t u r n   o r d ( ' a ' )   +   ( ( s   -   o r d ( ' a ' ) )   %   2 6 ) d e f   n e x t _ d o m a i n ( d o m a i n ) :         d l   =   [ o r d ( x )   f o r   x   i n   l i s t ( d o m a i n ) ]         d l [ 0 ]   =   m a p _ t o _ l o w e r c a s e _ l e t t e r ( d l [ 0 ]   +   d l [ 3 ] )         d l [ 1 ]   =   m a p _ t o _ l o w e r c a s e _ l e t t e r ( d l [ 0 ]   +   2 * d l [ 1 ] )         d l [ 2 ]   =   m a p _ t o _ l o w e r c a s e _ l e t t e r ( d l [ 0 ]   +   d l [ 2 ]   -   1 )         d l [ 3 ]   =   m a p _ t o _ l o w e r c a s e _ l e t t e r ( d l [ 1 ]   +   d l [ 2 ]   +   d l [ 3 ] )         r e t u r n   ' ' . j o i n ( [ c h r ( x )   f o r   x   i n   d l ] ) s e e d   =   ' e a r n e s t n e s s b i o p h y s i c a l o h a x . c o m '   #   1 5 3 7 2   e q u a l   t o   0   ( s e e d   =   0 ) d o m a i n   =   s e e d f o r   i   i n   r a n g e ( 1 0 0 0 ) :         p r i n t ( d o m a i n )         d o m a i n   =   n e x t _ d o m a i n ( d o m a i n ) z f r p e s t n e s s b i o p h y s i c a l o h a x . c o m h d q u e s t n e s s b i o p h y s i c a l o h a x . c o m u m c u e s t n e s s b i o p h y s i c a l o h a x . c o m h r b y e s t n e s s b i o p h y s i c a l o h a x . c o m y s r t e s t n e s s b i o p h y s i c a l o h a x . c o m k g t e e s t n e s s b i o p h y s i c a l o h a x . c o m h f s n e s t n e s s b i o p h y s i c a l o h a x . c o m n j x f e s t n e s s b i o p h y s i c a l o h a x . c o m l p a g e s t n e s s b i o p h y s i c a l o h a x . c o m k a c u e s t n e s s b i o p h y s i c a l o h a x . c o m 用 G m a i l   做 C 2   S e r v e r h t t p s : / / g i t h u b . c o m / m a l d e v e l / g d o g 用 G i t h u b   做 C 2   S e r v e r h t t p s : / / g i t h u b . c o m / m a l d e v e l / c a n i s r u f u s 用 t e l e g r a m   做 C 2   S e r v e r h t t p s : / / g i t h u b . c o m / b l a z e i n f o s e c / b t 2
解 析 出 来 就 是 2 ，   把 C 2   S e r v e r   I P   或 者 D n s 域 名 藏 起 来 （ 比 如 ， 藏 到 r e p o 里 面 ） ， 解 析 到 真 正 的 C 2 的 地 址 。 注 意 ： 上 文 中 提 到 的 内 容 只 是 用 作 技 术 讨 论 ， 请 勿 用 于 非 法 用 途 ！ 精 彩 推 荐 精 彩 推 荐 1 .   w h o a m i 2 .   " r n U s e r   a c c o u n t s   f o r   J O H N - P C r n r n - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - r n A d m i n i s t r a t o r                         G u e s t                                         J o h n                                           r n T h e   c o m m a n d   c o m p l e t e d   s u c c e s s f u l l y . r n r n - - - - J o h n " 3 .     " r n U s e r   a c c o u n t s   f o r   B E A - C H I - T - 7 P R 0 1 r n r n - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - r n 5 u p e r v i s o r                               A d m i n i s t r a t o r                         G u e s t                                         r n J o h n   D o e                                   r n T h e   c o m m a n d   c o m p l e t e d   s u c c e s s f u l l y . r n r n - - - - J o h n   D o e " 4 .     " j o h n - p c a d m i n i s t r a t o r r n - - - - A d m i n i s t r a t o r " 5 .     " w a r z o n e 1 w o r k e r r n - - - - w o r k e r " 6 .     " w i n 7 p r o - m a l t e s t b u f r n - - - - B U F " 7 .     " a n n a - p c a n n a r n - - - - a n n a " 8 .     " j o h n s o n - p c j o h n s o n r n - - - - J o h n s o n " 9 .     " k l o n e - p c a d m i n r n - - - - a d m i n " 1 0 .   " j o h n - p c j o h n r n - - - - J o h n " 1 1 .   " a d m i n - w i n 7 a d m i n r n - - - - A d m i n " 1 2 .   " a d m i n - w i n 7 a d m i n r n - - - - A d m i n " 1 3 .   " a d m i n - w i n 7 a d m i n r n - - - - A d m i n " 1 4 .   " w a r z o n e 1 w o r k e r r n - - - - w o r k e r " 1 5 .   " w a r z o n e 1 w o r k e r r n - - - - w o r k e r " 1 6 .   " w a r z o n e 1 w o r k e r r n - - - - w o r k e r " 1 7 .   " o d - s p l o i t o d r n - - - - o d " 1 8 .   " b e a - c h i - t - 7 p r 0 1 j o h n   d o e r n - - - - J o h n   D o e "
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理