搜索

[17023] 2021-07-14_CobaltStrike-DNS隧道设计缺陷

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2021-07-14_CobaltStrike-DNS隧道设计缺陷 C o b a l t S t r i k e - D N S 隧 道 设 计 缺 陷 y u m u s b   F r e e B u f   2 0 2 1 - 0 7 - 1 4 相 信 看 到 这 篇 文 章 的 同 学 已 经 不 需 要 我 去 介 绍 什 么 是 ” C o b a l t S t r i k e ” ， 本 文 将 介 绍 其 D N S 隧 道 交 互 流 程 与 中 间 的 一 些 缺 陷 。 （ 本 文 所 用 版 本 为 4 . 3 ， 在 D N S 隧 道 交 互 中 有 一 些 前 缀 可 以 根 据 p r o f i l e 自 定 义 ， 但 是 缺 陷 部 分 与 之 前 的 版 本 并 无 差 异 ） 交 互 流 程 交 互 流 程 主 要 逻 辑 在   b e a c o n B e a c o n D N S 中 的 D N S S e r v e r . R e s p o n s e   r e s p o n d _ n o s y n c 方 法 。 该 方 法 主 要 传 入 了 两 个 参 数 ： 参 数 1   为 解 析 的 子 域 名 ， 参 数 2 为 解 析 的 类 型 （ C N A M E 、 A 等 ） 。 首 先 判 断 了 解 析 类 型 是 否 为 2 （ N S ， 这 部 分 可 以 参 考 R F C 文 档   h t t p s : / / d a t a t r a c k e r . i e t f . o r g / d o c / h t m l / r f c 1 0 3 5 # s e c t i o n - 3 . 2 . 2 ） ， 此 处 为 4 . 3 版 本 中 的 特 性 ， 可 以 用 来 防 止 主 动 探 测 。 s t a g e 分 发 阶 段 分 发 阶 段 接 下 来 进 入 重 要 的 s t a g e 分 发 阶 段 ：
此 处 的 主 要 判 断 了 子 域 名 是 否 以   ( “ 长 度 为 3 的 字 符 串 ” + ” s t a g e ” ) 或 者 ( “ 长 度 为 3 的 字 符 串 ” + ” 指 定 的 s t a g e r _ s u b h o s t ” ) 开 头 s t a g e r _ s u b h o s t 变 量 是 从 p r o f i l e 配 置 文 件 中 获 取 的 ” . d n s - b e a c o n . d n s _ s t a g e r _ s u b h o s t ” 字 段 ， 该 字 段 可 以 自 主 配 置 。 如 果 符 合 ， 则 进 入 s t a g e 分 发 流 程 。 就 像 这 样 ： 此 处 “ m a i l ” 就 是 攻 击 者 自 定 义 的 d n s _ s t a g e r _ s u b h o s t 。
未 作 自 定 义 配 置 的 ， 默 认 为 ” s t a g e ” 。 此 处 特 征 此 处 特 征 ： 固 定 的 域 名 前 缀 ， 查 询 记 录 为 t x t ， 且 返 回 字 段 有 特 征 可 循 。 虽 然 s t a g e 的 具 体 值 允 许 自 定 义 的 前 缀 ， 且 经 过 了 编 码 。 但 是 t x t 记 录 的 返 回 字 段 长 度 固 定 为 2 5 5 （ 除 去 最 后 一 个 不 满 2 5 5 ） ， 传 输 过 程 中 会 有 大 量 的 返 回 2 5 5 长 度 的 t x t 解 析 。 上 线 阶 段 上 线 阶 段 s t a g e 分 发 完 毕 以 后 （ 或 者 直 接 使 用 了 s t a g e l e s s 模 式 ） ， 来 到 了 我 们 的 上 线 阶 段 。
上 来 就 是 对 前 缀 的 一 通 判 断 ， 这 些 我 们 后 面 再 说 。 重 点 是 此 处 b e a c o n   i d 的 获 取 阶 段 。 我 们 重 点 关 注 C o m m o n U t i l s . i s H e x N u m b e r ( v a r 6 ) & & C o m m o n U t i l s . i s D N S B e a c o n ( v a r 6 ) 通 过 此 逻 辑 ， 可 以 获 取 到 b e a c o n   i d ， 一 个 I D 对 应 C S 界 面 中 的 一 台 机 器 。 所 以 此 处 是 C o b a l t S t r i k e 隧 道 中 必 定 存 在 的 一 环 。 而 i s D N S B e a c o n 方 法 ， 我 们 也 可 以 当 作 判 定 C o b a l t S t r i k e D N S 隧 道 的 重 要 依 据 。 判 定 测 试 判 定 测 试 ： 数 据 传 输 阶 段 数 据 传 输 阶 段 也 就 是 我 们 刚 看 到 的 一 通 判 断 ：
此 处 逻 辑 4 . 3 版 本 与 之 前 的 略 有 不 同 。 4 . 3 以 后 新 增 加 了 从 p r o f i l e 中 取 值 的 部 分 ， 而 之 前 的 版 本 为 固 定 的 c d n . 、 w w w 6 . 、 a p i . 、 w w w . 、 p o s t . 这 些 字 段 为 传 输 阶 段 的 固 定 前 缀 固 定 前 缀 。 就 像 这 样 ： 可 以 用 来 做 什 么 ？ 可 以 用 来 做 什 么 ？ 检 测 检 测 可 以 依 据 这 些 固 定 的 特 征 完 善 检 测 规 则 。 本 人 做 了 一 个 简 单 的 d e m o ， 欢 迎 测 试   h t t p s : / / d e t e c t c s . x n - - 9 t r . c o m / 抹 去 特 征 抹 去 特 征
当 然 ， 红 方 队 员 也 可 以 根 据 这 些 特 征 去 抹 除 ， 不 过 固 定 的 i s D N S B e a c o n 算 法 ， 需 要 对 底 层 进 行 修 改 才 能 保 证 上 线 正 常 ， 想 要 改 掉 对 逆 向 水 平 要 求 较 高 。 搅 屎 搅 屎 根 据 i s D N S B e a c o n 算 法 ， 我 们 可 以 写 一 个 搅 屎 脚 本 。 就 像 这 样 ： 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理