设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [21948] 2021-05-08_『红蓝对抗』CobaltStrike反溯源之C ...
返回列表 发新帖
查看: 0|回复: 0

[21948] 2021-05-08_『红蓝对抗』CobaltStrike反溯源之CDN篇

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2021-05-08_『红蓝对抗』CobaltStrike反溯源之CDN篇 『 红 蓝 对 抗 』 C o b a l t   S t r i k e   反 溯 源 之   C D N   篇 L e m o n S e c   2 0 2 1 - 0 5 - 0 8 日 期 ： 2 0 2 1 - 0 5 - 0 8 作 者 ： p b f o c h k 来 源 ： 宸 极 实 验 室     介 绍 ： 本 篇 文 章 主 要 讲 述 常 规 反 溯 源 技 术 中 利 用     对 自 己 的 真 实 地 址 进 行 隐 藏 。 0 x 0 0   前 言 红 蓝 对 抗 演 练 中 ， 蓝 方 对 红 方     地 址 的 溯 源 可 以 对 红 方 造 成 很 大 阻 碍 ， 红 队 有 效 地 隐 藏 自 己 的 真 实 地 址 在 实 战 中 起 着 重 要 作 用 。 本 文 讲 述 通 过     方 式 隐 藏 木 马 在 回 连 过 程 中 的 真 实 地 址 ， 从 而 规 避 被 蓝 方 溯 源 的 风 险 。 0 x 0 1   域 名 准 备 1 . 1   注 册 域 名 注 册 域 名 首 先 我 们 需 要 一 个 域 名 来 与     相 互 配 合 ，     所 映 射 的 域 名 肯 定 不 能 用 自 己 的 域 名 ， 一 不 小 心 就 来 个 当 场 被 捕 。 这 次 推 荐 使 用 国 外 免 费 域 名 网 站   h t t p s : / / w w w . f r e e n o m . c o m   ， 随 便 注 册 一 个     域 名 。 C D N + 域 名 V P S I P C D N + 域 名 C D N V P S . t k
1 . 2   更 改 更 改 D N S 绑 定 自 己     地 址 并 测 试 可 用 后 ， 需 要 更 换     解 析 地 址 （ 名 称 服 务 器 下 文     会 提 到 ） 。 0 x 0 2   C D N 2 . 1   C D N 准 备 准 备   的 全 称 是     ， 即 内 容 分 发 网 络 ， 这 里 我 们 注 册 免 费     h t t p s : / / d a s h . c l o u d f l a r e . c o m   ， 注 册 完 成 后 填 写 之 前 注 册 好 的     域 名 。 V P S D N S C D N C D N C o n t e n t   D e l i v e r y   N e t w o r k C D N . t k
2 . 2   获 取 获 取 D N S 地 址 地 址 进 入     设 置 界 面 ， 在     名 称 服 务 器 处 会 有 两 条     服 务 器 地 址 。 2 . 3   域 名 更 换 域 名 更 换 D N S 服 务 器 服 务 器 返 回     域 名   C D N C l o u d f l a r e D N S f r e e n o m
  处 ， 更 换     名 称 服 务 器 处 的 两 条     服 务 器 地 址 。 2 . 4   开 启 缓 存 开 启 缓 存 进 入 缓 存 设 置 处 开 启 缓 存 ， 否 则 访 问 域 名 时 会 出 现 更 新 延 迟 或 禁 止 访 问 。 0 x 0 3   c o b a l t   s t r i k e   溯 源 测 试 N a m e s e r v e r s C l o u d f l a r e D N S
3 . 1   常 规 查 询 常 规 查 询 （ 1 ） 配 置 完 域 名 与     ， 使 用     命 令 测 试 域 名 效 果 。 （ 2 ） 可 以 看 到 域 名 回 显 地 址 已 经 不 是 我 们 的 真 实 地 址 了 ， 我 们 使 用 搜 索 引 擎 测 试 。 （ 3 ） 因 为 是 国 外 免 备 案 域 名 ，   查 询 域 名 查 不 到 任 何 信 息 。 3 . 2   C o b a l t   S t r i k e   监 听 器 监 听 器 C D N p i n g V P S w h o i s
新 建 监 听 器     或     均 可 ，     与     设 置 为 域 名 ，     设 置 为 支 持 的 端 口 ， 以 下 图 为 例 。   支 持 的 H T T P 端 口 ：   支 持 的 H T T P S 端 口 ： 3 . 3   C o b a l t   S t r i k e 回 连 对 比 回 连 对 比 （ 1 ） 首 先 测 试 常 规 情 况 下 生 成 的     连 接 行 为 。 执 行 过 程 分 析 ： w i n d o w s / b e a c o n _ h t t p / r e v e r s e _ h t t p w i n d o w s / b e a c o n _ h t t p s / r e v e r s e _ h t t p s h o s t b e a c o n s p o r t C l o u d f l a r e 8 0 , 8 0 8 0 , 8 8 8 0 , 2 0 5 2 , 2 0 8 2 , 2 0 8 6 , 2 0 9 5 ; C l o u d f l a r e 4 4 3 , 2 0 5 3 , 2 0 8 3 , 2 0 8 7 , 2 0 9 6 , 8 4 4 3 ; p a y l o a d
网 络 行 为 分 析 ： 可 以 看 到 通 过 普 通 的 溯 源 手 段 即 可 获 取   V P S   的 真 实 地 址 。 （ 2 ） 接 下 来 测 试 域 名 与     流 量 转 发 后 的     连 接 行 为 。 执 行 过 程 分 析 ： 网 络 行 为 分 析 ： C D N p a y l o a d
这 时 指 向 地 址 显 示 的 是 我 们 之 前 设 置 好 的 域 名 ， 指 向 的 为     的 地 址 。 （ 3 ） 生 成 的     在 上 线 机 器 的 端 口 占 用 显 示 为     的 I P 地 址 。 （ 4 ） 目 标 机 器 通 过     转 发 上 线 。 0 x 0 4   总 结 本 文 内 容 主 要 应 用 于 通 过     的 内 容 分 发 来 对 自 己 真 实 的     地 址 进 行 隐 藏 ， I P C D N p a y l o a d C D N C D N C D N C 2   I P C D N
隐 藏 方 法 相 对 于 域 前 置 技 术 来 说 更 加 方 便 部 署 ， 相 对 于 重 定 向 方 法 来 说 暴 露 风 险 更 低 ， 是 反 溯 源 手 段 中 比 较 推 荐 的 一 种 方 式 。 一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 扫 描 关 注 扫 描 关 注 L e m o n S e c 觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦 C D N
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:37 , Processed in 0.275782 second(s), 32 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表