搜索

[10535] 2016-09-23_隐秘通讯与跳板？C&C服务器究竟是怎么一回事

文档创建者：s7ckTeam
浏览次数：21
最后更新：2025-01-18
2016-09-23_隐秘通讯与跳板？C&C服务器究竟是怎么一回事 隐 秘 通 讯 与 跳 板 ？ C & C 服 务 器 究 竟 是 怎 么 一 回 事 A r t h u r K i l l e r   F r e e B u f   2 0 1 6 - 0 9 - 2 3 C & C 服 务 器 ， 其 全 称 为 服 务 器 ， 其 全 称 为 c o m m a n d   a n d   c o n t r o l   s e r v e r 。 我 们 在 诸 多 文 章 中 曾 看 到 过 ， 。 我 们 在 诸 多 文 章 中 曾 看 到 过 ， C & C 服 务 器 不 仅 可 以 为 攻 击 者 提 供 便 利 服 务 器 不 仅 可 以 为 攻 击 者 提 供 便 利 的 资 源 管 理 平 台 ， 也 可 以 保 障 其 个 人 隐 私 安 全 。 今 天 ， 我 们 就 通 过 一 个 几 个 的 资 源 管 理 平 台 ， 也 可 以 保 障 其 个 人 隐 私 安 全 。 今 天 ， 我 们 就 通 过 一 个 几 个 C & C 服 务 器 的 搭 建 实 验 教 程 让 大 家 了 解 一 下 什 服 务 器 的 搭 建 实 验 教 程 让 大 家 了 解 一 下 什 么 是 么 是 C & C 服 务 器 ， 以 了 解 如 何 应 对 利 用 服 务 器 ， 以 了 解 如 何 应 对 利 用 C & C 的 攻 击 行 为 。 的 攻 击 行 为 。 无 无 C & C 服 务 器 通 讯 服 务 器 通 讯 故 事 故 事 * 本 文 中 涉 及 的 故 事 纯 属 虚 构 ， 如 有 雷 同 实 数 巧 合 某 天 ， 某 攻 击 者 通 过 固 定 的 外 网 I P 控 制 了 一 个 处 在 外 网 的 用 户 。 两 台 设 备 的 交 流 完 全 是 点 对 点 交 流 的 ， 并 且 交 流 方 式 是 主 动 式 交 流 。 由 于 该 用 户 由 购 买 了 几 台 电 脑 ， 一 个 I P 已 经 不 够 用 了 ， 所 以 就 在 家 里 面 配 置 了 一 台 路 由 器 。 虽 然 用 户 可 以 访 问 外 网 ， 但 是 这 样 就 导 致 用 户 所 有 的 电 脑 设 备 都 处 在 一 个 内 网 中 。 攻 击 者 没 有 办 法 控 制 用 户 的 电 脑 ， 所 以 又 入 侵 了 他 的 路 由 器 做 了 一 个 端 口 转 发 ， 然 后 继 续 控 制 该 用 户 。
V P N   C & C 服 务 器 通 讯 服 务 器 通 讯 故 事 故 事 随 后 该 攻 击 者 发 现 自 己 的 外 网 I P 属 于 动 态 I P 地 址 。 只 要 一 断 线 ， I P 地 址 就 会 改 变 。 为 了 能 够 持 久 的 进 行 监 听 会 话 ， 攻 击 者 租 用 了 一 台 V P S 服 务 器 ， 在 上 面 搭 建 了 一 个 p p t p 代 理 ， 随 后 用 i p t a b l e 做 了 端 口 转 发 ， 并 且 将 交 流 方 式 改 为 反 弹 式 交 流 。 技 术 解 析 技 术 解 析 有 的 时 候 ， 地 方 宽 带 运 营 商 会 有 各 种 各 样 的 规 则 ， 这 样 将 会 导 致 控 制 端 的 网 络 非 常 不 稳 定 。 记 得 我 在 2 0 1 2 年 的 时 候 是 使 用 电 信 的 宽 带 对 后 门 进 行 控 制 ， 但 是 电 信 给 我 的 I P 属 于 一 个 内 网 I P 。 随 后 打 电 话 给 客 服 改 成 公 网 I P ， 但 是 这 个 I P 是 动 态 的 ， 每 天 都 在 变 化 。 这 样 复 杂 的 网 络 环 境 ， 攻 击 者 需 要 一 个 稳 定 和 安 全 的 C & C 服 务 器 。 以 下 为 本 次 实 验 的 环 境 ： w i n   1 0   一 台 K a l i   L i n u x   一 台 L i n o d e   V P S   一 个 在 这 里 ， 我 们 先 使 用 K a l i   L i n u x 作 为 控 制 端 ， w i n   1 0 则 为 病 毒 感 染 的 设 备 ， 而 V P S 则 作 为 一 个 C & C 服 务 器 。 首 先 在 L i n o d e 上 租 用 一 台   V P S ， 我 们 可 以 看 到 这 台 V P S 的 公 网 I P 为 1 3 9 . 1 6 2 . 5 . 1 2 4 。 为 了 方 便 教 程 ， 我 使 用 V e i l 编 译 一 个 m e t e r p r e t e r 的 p a y l o a d 。 其 设 置 如 下 监 听 I P ： 1 3 9 . 1 6 2 . 5 . 1 2 4 （ V P S 的 公 网 I P ） 监 听 端 口 ： 1 0 2 4 （ 随 意 填 写 ） P a y l o a d 种 类 ： p y t h o n / m e t e r p r e t e r / r e v _ t c p 加 密 方 式 ： P y h e r i o n
然 后 需 要 对 V P S 进 行 一 个 简 单 的 设 置 ， 通 过 S S H 连 接 V P S ， 然 后 进 行 u p d a t e 。 随 后 安 装 p p t p 的 基 本 组 件 对 / e t c / p p t p d . c o n f 文 件 进 行 编 辑 ， 添 加 L o c a l   I P 地 址 和 r e m o t e   I P 地 址 。         然 后 编 辑 / e t c / p p p / c h a p - s e c r e t s 文 件 ， 设 置 p p t p 的 账 号 和 密 码 。 l o c a l i p   1 9 2 . 1 6 8 . 0 . 1 r e m o t e i p   1 9 2 . 1 6 8 . 0 . 2
然 后 再 编 辑 / e t c / p p p / o p t i o n s 文 件 ， 将 m s - d n s 设 置 为 根 服 务 器 地 址 ， 如 8 . 8 . 8 . 8 之 类 的 。 再 继 续 编 辑 / e t c / p p p / o p t i o n s 文 件 ， 添 加 n e t . i p v 4 . i p _ f o r w a r d = 1 ， 其 意 义 是 使 I P 能 够 转 发 。 保 存 后 可 以 使 用 s y s c t l   - p 检 查 一 下 。         输 入 命 令 / e t c / i n i t . d / p p t p d   r e s t a r t ， 让 p p t p 服 务 重 启 ， 然 后 安 装 i p t a b l e ， 并 且 设 置 相 关 命 令 。 i p t a b l e 安 装 ： a p t - g e t   i n s t a l l   i p t a b l e s i p t a b l e 设 置 ： 1 .   i p t a b l e s   - t   n a t   - A   P O S T R O U T I N G   - s   1 9 2 . 1 6 8 . 0 . 0 / 2 4   - o   e t h 0   - j   M A S Q U E R A D E 2 .   i p t a b l e s - s a v e   >   / e t c / i p t a b l e s . p p t p 3 .   c d   / e t c / n e t w o r k / i f - u p . d / 4 .   v i   i p t a b l e s 5 .   c h m o d   + x   / e t c / n e t w o r k / i f - u p . d / i p t a b l e s f r e e b u f   p p t p d   f r e e b u f   * 写 入 以 下 内 容 # ! / b i n / s h i p t a b l e s - r e s t o r e   <   / e t c / i p t a b l e s . p p t p
到 目 前 这 一 步 p p t p 已 经 可 以 连 接 到 外 网 了 ， 但 是 还 不 够 ， 我 们 需 要 对 其 进 行 端 口 转 发 。 大 家 可 以 使 用 i p t a b l e 继 续 来 做 端 口 转 发 ， 或 者 使 用 r i n e t d 之 类 的 端 口 转 发 工 具 。         安 装 r i n e t d ： s u d o   a p t - g e t   i n s t a l l   r i n e t d 然 后 编 辑 / e t c / r i n e t d . c o n f 文 件 ， 写 入 0 . 0 . 0 . 0   1 2 0 4   1 9 2 . 1 6 8 . 0 . 2   1 2 0 4 。 其 意 义 是 把 所 有 通 过 1 0 2 4 端 口 连 接 本 机 的 I P 映 射 到 内 网 I P 中 的 1 0 2 4 端 口 。 保 存 之 后 可 以 重 启 r i n e t d 服 务 器 ， 或 者 通 过 p k i l l 命 令 关 闭 r i n e t d ， 然 后 通 过 该 命 令 ” r i n e t d   - c   / e t c / r i n e t d . c o n f “ 调 用 刚 才 保 存 的 c o n f 文 件 开 启 r i n e t d 程 序 。 对 K a l i 中 P P T P 的 连 接 做 一 下 更 改 ， 主 要 是 使 用 M P P E 点 对 点 加 密 连 接 ， 并 且 不 发 送 P P P 响 应 数 据 包 。
        V P N 连 接 没 什 么 问 题         然 后 打 开 M e t a s p l o i t ， 找 到 h a n d l e r ， 并 且 对 其 进 行 设 置 。 监 听 I P ： 1 9 2 . 1 6 8 . 0 . 2 监 听 端 口 ： 1 0 2 4
在 w i n 1 0 客 户 端 激 活 木 马 ， 然 后 可 以 看 到 h a n d l e r 和 p a y l o a d 已 经 成 功 搭 建 起 了 会 话 。 也 许 教 程 有 点 绕 ， 但 是 技 术 逻 辑 很 清 晰 。 首 先 是 后 门 持 续 对 V P S 进 行 监 听 ， 而 V P S 则 是 把 被 监 听 端 口 的 流 量 转 发 到 自 己 的 内 网 I P 上 ， 而 客 户 端 在 连 接 到 V P N 后 对 这 个 内 网 I P 进 行 监 听 即 可 。 如 下 图 所 示 ： W e b   C & C 服 务 器 通 信 服 务 器 通 信 故 事 故 事 慢 慢 的 ， V P S 服 务 器 商 场 发 现 攻 击 者 把 一 台 V P S 服 务 器 当 作 C & C 服 务 器 。 这 个 攻 击 者 就 思 考 得 改 变 一 下 数 据 交 流 的 方 式 ， 于 是 用 微
博 当 作 C & C 服 务 器 。 后 门 程 序 和 控 制 程 序 内 置 爬 虫 脚 本 ， 通 过 X P a t h 参 数 或 者 其 它 参 数 抓 取 微 博 中 的 内 容 ， 将 其 当 作 控 制 命 令 。 技 术 解 析 技 术 解 析 这 个 最 能 拿 来 当 作 例 子 的 应 该 是 t w i t t e r ， 实 际 上 攻 击 者 依 靠 t w i t t e r 当 作 C & C 服 务 器 早 就 不 是 新 闻 ， 比 如 2 0 1 5 年 新 闻 《 俄 罗 斯 攻 击 者 是 如 何 滥 用 t w i t t e r 作 为 H a m m e r t o s s   C & C 服 务 器 的 ？ 》 。 还 有 的 攻 击 者 入 侵 D i s c u z 论 坛 ， 把 该 论 坛 当 作 其 C & C 服 务 器 。 这 种 开 放 式 的 C & C 有 些 是 直 接 分 析 H T M L 代 码 ， 将 特 定 的 参 数 值 当 作 命 令 进 行 处 理 ， 有 些 则 是 读 取 j s o n 数 据 等 。 在 G i t H u b 上 公 布 了 一 个 开 源 的 t w i t t e r 后 门 程 序 ， 其 项 目 名 称 叫 做 t w i t t o r 。 项 目 地 址 ： T w i t t o r 这 个 项 目 的 主 要 文 件 如 下 i m p l a n t . p y r e q u i r e m e n t s . t x t t w i t t o r . p y 看 G i t H u b 的 官 方 设 置 ， 我 们 是 到 T w i t t e r 中 创 建 一 个 a p p l i c a t i o n ， 并 且 通 过 p i p 安 装 r e q u i r e m e n t . t x t 里 面 的 一 些 组 件 。 创 建 a p p l o c a t i o n 还 好 理 解 ， 因 为 在 i m p l a n t . p y 文 件 中 ， 它 需 要 t w i t t e r 的 u s e r n a m e ， t o k e n 和 s e c r e t 等 参 数 来 发 送 推 文 。         至 于 r e q u i r e m e n t s . t x t 中 只 有 一 个 p y t h o n 的 第 三 方 库 需 要 安 全 ， 就 是 t w e e p y 库 。 这 个 库 主 要 功 能 是 和 t w i t t e r 的 A P I 建 立 通 讯 。
观 察 i m p l a n t . p y ， 该 文 件 调 用 了 以 下 模 块 f r o m   t w e e p y   i m p o r t   S t r e a m f r o m   t w e e p y   i m p o r t   O A u t h H a n d l e r f r o m   t w e e p y   i m p o r t   A P I f r o m   t w e e p y . s t r e a m i n g   i m p o r t   S t r e a m L i s t e n e r f r o m   u u i d   i m p o r t   g e t n o d e   a s   g e t _ m a c i m p o r t   c t y p e s i m p o r t   j s o n i m p o r t   t h r e a d i n g i m p o r t   s u b p r o c e s s i m p o r t   b a s e 6 4 i m p o r t   p l a t f o r m t w e e p y 我 们 已 经 说 过 了 ， 是 关 于 t w i t t e r   A P I 通 讯 模 块 ， 而 j s o n 模 块 主 要 是 对 j s o n 进 行 解 析 。 而 u u i d 模 块 主 要 是 获 取 目 标 机 器 的 M A C 地 址 的 。 c t y p e s 库 主 要 是 提 供 和 C 语 言 兼 容 的 数 据 类 型 ， 可 以 很 方 便 地 调 用 C   D L L 中 的 函 数 ， 这 样 可 以 很 方 便 和 m e t e r p r e t e r 兼 容 起 来 。 该 文 件 还 调 用 了 t h r e a d i n g 库 ， 这 样 可 以 进 行 多 线 程 任 务 。 同 时 也 调 用 了 s u b p r o c e s s ， 这 样 可 以 创 建 多 个 子 线 程 。 b a s e 6 4 库 主 要 是 对 数 据 进 行 b a s e 6 4 位 转 码 ， 比 如 中 文 等 等 之 类 的 。 而 p l a t f o r m 库 主 要 是 查 看 其 操 作 系 统 的 类 型 ， 版 本 号 等 系 统 信 息 。         先 创 建 t w i t t e r 的 k e y 和 a c c e s s   t o k e n 。
然 后 开 启 可 读 可 写 权 限
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理