搜索

[20345] 2020-07-20_内网流量规避

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-07-20_内网流量规避 内 网 流 量 规 避 K h a n 安 全 攻 防 实 验 室   2 0 2 0 - 0 7 - 2 0 以 下 文 章 来 源 于 酒 仙 桥 六 号 部 队   ， 作 者 队 员 编 号 0 3 9 这 是   酒 仙 桥 六 号 部 队 酒 仙 桥 六 号 部 队   的 第   3 9   篇 文 章 。 全 文 共 计 2 1 2 9 个 字 ， 预 计 阅 读 时 长 8 分 钟 。 I D S 和 和 I P S 概 述 概 述 I D S 和 和 I P S 概 述 概 述 I D S 和 和 I P S 概 述 概 述 I D S 和 和 I P S 概 述 概 述 I D S 和 和 I P S 概 述 概 述 I D S 和 和 I P S 概 述 概 述 I D S 和 和 I P S 概 述 概 述 I D S 和 和 I P S 概 述 概 述 I D S 和 和 I P S 概 述 概 述 I D S 和 和 I P S 概 述 概 述 I D S 和 和 I P S 概 述 概 述 I D S 和 和 I P S 概 述 概 述 I D S 和 和 I P S 概 述 概 述 I D S 和 和 I P S 概 述 概 述 I D S 和 和 I P S 概 述 概 述 I D S 和 和 I P S 概 述 概 述 I D S 和 和 I P S 概 述 概 述 I D S 和 和 I P S 概 述 概 述 I D S 和 和 I P S 概 述 概 述 I D S 和 和 I P S 概 述 概 述 I D S 和 和 I P S 概 述 概 述 I D S 和 和 I P S 概 述 概 述 I D S 和 和 I P S 概 述 概 述 I D S 和 和 I P S 概 述 概 述 I D S 和 和 I P S 概 述 概 述 I D S 和 和 I P S 概 述 概 述 I D S 和 和 I P S 概 述 概 述 I D S （ i n t r u s i o n   d e t e c t i o n   s y s t e m ） 入 侵 检 测 系 统 ， 旁 路 检 测 设 备 ， 工 作 在 网 络 层 ， 并 行 接 在 内 网 所 需 防 护 设 备 的 链 路 上 ， 通 过 抓 取 流 量 分 析 数 据 包 ， 匹 配 规 则 库 检 测 到 恶 意 数 据 进 行 报 警 处 理 。 I P S （ I n t r u s i o n - p r e v e n t i o n   s y s t e m ） 入 侵 防 御 系 统 ， 可 覆 盖 网 络 层 和 应 用 层 ， 比 I D S 多 了 主 动 防 御 ， 阻 断 攻 击 的 功 能 。 知 道 I P S 的 工 作 原 理 之 后 ， 最 直 接 的 方 法 就 是 将 自 己 的 流 量 伪 装 或 者 隐 藏 自 己 的 流 量 。 那 么 如 何 实 现 呢 ？ 下 面 我 们 来 介 绍 两 种 方 法 。 酒 仙 桥 六 号 部 队 酒 仙 桥 六 号 部 队   . 知 其 黑 ， 守 其 白 。   分 享 知 识 盛 宴 ， 闲 聊 大 院 趣 事 ， 备 好 酒 肉 等 你 ！
D N S D N S D N S D N S D N S D N S D N S D N S D N S D N S D N S D N S D N S D N S D N S D N S D N S D N S D N S D N S D N S D N S D N S D N S D N S D N S D N S b e a c o n + C o b a l t S t r i k e b e a c o n + C o b a l t S t r i k e b e a c o n + C o b a l t S t r i k e b e a c o n + C o b a l t S t r i k e b e a c o n + C o b a l t S t r i k e b e a c o n + C o b a l t S t r i k e b e a c o n + C o b a l t S t r i k e b e a c o n + C o b a l t S t r i k e b e a c o n + C o b a l t S t r i k e b e a c o n + C o b a l t S t r i k e b e a c o n + C o b a l t S t r i k e b e a c o n + C o b a l t S t r i k e b e a c o n + C o b a l t S t r i k e b e a c o n + C o b a l t S t r i k e b e a c o n + C o b a l t S t r i k e b e a c o n + C o b a l t S t r i k e b e a c o n + C o b a l t S t r i k e b e a c o n + C o b a l t S t r i k e b e a c o n + C o b a l t S t r i k e b e a c o n + C o b a l t S t r i k e b e a c o n + C o b a l t S t r i k e b e a c o n + C o b a l t S t r i k e b e a c o n + C o b a l t S t r i k e b e a c o n + C o b a l t S t r i k e b e a c o n + C o b a l t S t r i k e b e a c o n + C o b a l t S t r i k e b e a c o n + C o b a l t S t r i k e 将 数 据 通 过 d n s 隧 道 进 行 传 输 ， 基 于 u d p ， 利 用 5 3 端 口 ， 隐 蔽 性 强 。 大 多 数 防 火 墙 和 入 侵 检 测 设 备 对 D N S 流 量 是 放 行 的 ， 能 有 一 定 效 果 的 绕 过 入 侵 检 测 设 备 和 防 火 墙 的 检 测 。 由 于 d n s 传 输 的 过 程 会 经 过 很 多 d n s 节 点 服 务 器 ， 所 以 传 输 速 度 会 相 对 较 慢 。 d n s   b e a c o n 数 据 链 路 数 据 链 路 1 . 被 控 端 收 到 命 令 之 后 ， 向 自 己 记 录 的 d n s 服 务 器 请 求 解 析 域 名 。 2 . 内 网 d n s 收 到 请 求 之 后 找 不 到 该 域 名 ， 将 请 求 交 给 权 威 域 名 服 务 器 查 询 。 3 . 权 威 域 名 服 务 器 向 其 他 服 务 器 同 步 请 求 。 4 . 找 到 对 应 的 i p 为 自 己 的 c s 服 务 器 ， 解 析 请 求 ， 实 现 d n s 数 据 链 路 传 输 。 配 置 方 法 配 置 方 法 配 置 方 法 配 置 方 法 配 置 方 法 配 置 方 法 配 置 方 法 配 置 方 法 配 置 方 法 配 置 方 法 配 置 方 法 配 置 方 法 配 置 方 法 配 置 方 法 配 置 方 法 配 置 方 法 配 置 方 法 配 置 方 法 配 置 方 法 配 置 方 法 配 置 方 法 配 置 方 法 配 置 方 法 配 置 方 法 配 置 方 法 配 置 方 法 配 置 方 法 配 置 方 法 配 置 方 法 配 置 方 法 配 置 方 法 配 置 方 法 配 置 方 法 配 置 方 法 配 置 方 法 配 置 方 法 配 置 方 法 配 置 方 法 配 置 方 法 配 置 方 法 配 置 方 法 配 置 方 法 配 置 方 法 配 置 方 法 配 置 方 法 配 置 方 法 配 置 方 法 配 置 方 法 配 置 方 法 配 置 方 法 配 置 方 法 配 置 方 法 配 置 方 法 配 置 方 法 配 置 配 置 d n s 1 . 申 请 域 名 ， 添 加 A 记 录 ， 将 域 名 与 公 网 i p 进 行 绑 定 。
2 . 添 加 N S 记 录 ， 将 n s 记 录 指 向 到 A 记 录 的 主 机 名 。 N S 记 录 可 设 置 2 - 3 个 ， 只 需 主 机 记 录 不 一 样 就 行 ， 例 ： n s 1   n s 3 。
注 ： 添 加 记 录 注 ： 添 加 记 录 1 0 分 钟 后 生 效 ， 用 分 钟 后 生 效 ， 用 n s l o o k u p 查 询 查 询 n s 记 录 ， 结 果 为 记 录 ， 结 果 为 0 . 0 . 0 . 0 就 是 同 步 成 功 。 就 是 同 步 成 功 。 生 成 生 成 D N S - b e a c o n 监 听 器 监 听 器 1 .   新 建 新 建 d n s - b e a c o n C o b a l t   S t r i k e - - - - L i s t e n e r s , 点 击 a d d 新 建 监 听 器 。 （ 生 成 d n s 监 听 器 后 ， c s 服 务 器 就 相 当 于 一 台 d n s 服 务 器 了 ） 。 2 .   参 数 设 置 参 数 设 置
P a y l o a d ： 选 择 B e a c o n   D N S N a m e ： 自 行 设 定 D N S   H o s t s ： 填 写 你 的 N S 记 录   ( 如 果 有 多 个 N S 记 录 可 以 都 写 上 ) D N S   H o s t s （ S t a g e r ） :   填 写 你 的 任 意 一 条 N S 记 录 3 .   添 加 成 功 添 加 成 功 注 ： D N S   H O S T ( S t a g e r )   字 段 配 置   D N S   B e a c o n   的   T X T   记 录   s t a g e r 。 这 个   s t a g e r   仅 被 用 在 要 求 显 式 s t a g e r   的   C o b a l t   S t r i k e   功 能 中 。 你 的   C o b a l t   S t r i k e   团 队 服 务 器 系 统 也 必 须 对 此 域 名 具 有 权 威 性 。
生 成 生 成 p a y l o a d 目 标 机 为 6 4 位 w i n 7 ， 所 以 勾 选 上 生 成 6 4 位 p a y l o a d 。 放 到 被 控 机 上 运 行 。 之 后 上 线 的 效 果 ， 不 会 显 示 任 何 信 息 。 需 要 使 用 以 下 两 条 命 令 才 能 有 显 示 ： 需 要 使 用 以 下 两 条 命 令 才 能 有 显 示 ： m o d e   d n s     设 置 数 据 通 道 模 式 c h e c k i n     使 b e a c o n 强 制 回 连 一 次 通 道 模 通 道 模 式 有 三 种 ： 式 有 三 种 ： m o d e   d n s   使 用 d n s   A 记 录 的 数 据 通 道 （ i p v 4 ） m o d e   d n s 6   使 用 d n s   A A A A 记 录 的 数 据 通 道 （ i p v 6 ） m o d e   d n s - t x t   使 用 d n s   T X T 记 录 的 数 据 通 道 输 入 完 之 后 等 待 b e a c o n 的 下 一 次 心 跳 连 接 ， d n s 就 会 接 收 带 有 命 令 的 数 据 包 发 送 给 目 标 机 w i n 7 去 执 行 。
抓 包 可 看 到 d n s 发 送 极 小 的 数 据 包 。 在 c s 端 执 行 命 令 ， 查 看 数 据 包 ， 可 发 现 t x t 记 录 里 为 加 密 传 输 ， 并 且 解 析 的 n s 1 级 了 为 0 . 0 . 0 . 0 ， 有 效 的 隐 藏 了 真 实 i p 和 传 输 的 数 据 。 此 时 在 被 控 端 的 设 备 上 查 看 任 务 管 理 器 还 能 看 到 运 行 的 任 务 进 程 。
在 c s 端 打 开 进 程 列 表 ， 选 择 进 程 ， 点 击 I n j e c t ， 将 p a y l o a d 注 入 到 进 程 中 ， 等 待 上 线 后 ， 删 除 原 来 的 p a y l o a d ， 进 行 进 程 隐 藏 。 效 果 如 下 ， 可 以 看 到 已 经 注 入 成 功 ， p r o c e s s 为 s q l s e r v e r . e x e
总 结 ： 优 势 ： 此 方 法 可 以 隐 藏 自 己 的 真 实 i p ， 走 u d p 协 议 ， 所 以 不 会 开 放 额 外 的 端 口 ， 迁 移 进 程 之 后 也 无 法 看 到 p a y l o a d 所 使 用 的 原 始 程 序 ， 同 时 也 对 数 据 进 行 加 密 处 理 。 劣 势 ： 但 由 于 还 是 会 暴 露 自 身 的 域 名 ， 且 现 在 有 一 些 安 全 设 备 已 经 具 备 了 监 测 d n s 流 量 的 功 能 ， 所 以 还 是 会 被 找 到 攻 击 者 的 痕 迹 。 D o m a i n D o m a i n D o m a i n D o m a i n D o m a i n D o m a i n D o m a i n D o m a i n D o m a i n D o m a i n D o m a i n D o m a i n D o m a i n D o m a i n D o m a i n D o m a i n D o m a i n D o m a i n D o m a i n D o m a i n D o m a i n D o m a i n D o m a i n D o m a i n D o m a i n D o m a i n D o m a i n F r o n t i n g F r o n t i n g F r o n t i n g F r o n t i n g F r o n t i n g F r o n t i n g F r o n t i n g F r o n t i n g F r o n t i n g F r o n t i n g F r o n t i n g F r o n t i n g F r o n t i n g F r o n t i n g F r o n t i n g F r o n t i n g F r o n t i n g F r o n t i n g F r o n t i n g F r o n t i n g F r o n t i n g F r o n t i n g F r o n t i n g F r o n t i n g F r o n t i n g F r o n t i n g F r o n t i n g D o m a i n   F r o n t i n g ， 中 文 译 名   “ 域 前 置 ”   或   “ 域 名 前 置 ” ， 用 于 隐 藏 服 务 器 真 实 i p 并 伪 装 成 高 信 誉 域 名 与 目 标 通 讯 ， 来 规 避 I D S 的 流 量 检 测 ， D o m a i n   F r o n t i n g   的 核 心 技 术 是   C D N 。 C D N 请 求 机 制 ： 请 求 机 制 ： 如 果 有 多 台 设 备 使 用 同 一 个 c d n 服 务 器 ， 那 么 服 务 器 就 可 以 通 过 h o s t 头 去 寻 找 指 定 的 真 实 服 务 器 。
同 一 个 c d n 服 务 器 下 不 存 在 多 个 i p 绑 定 一 个 域 名 ， 绑 定 同 样 的 域 名 会 有 错 误 提 示 。 配 置 方 法 ： 配 置 方 法 ： 配 置 配 置 C D N 购 买 云 服 务 器 ， 开 通 C D N 服 务 。 加 速 域 名 ： 随 便 填 个 高 信 誉 的 域 名 实 现 域 名 伪 造 ， 例 如 ： o s s . m i c r o s o f t . c o m ， a b c . g o o g l e . c o m 之 类 的 。 I P ： 填 写 c s 服 务 器 的 i p 地 址 。 过 几 分 钟 等 状 态 变 为 正 常 运 行 即 可 。 复 制 C N A M E ， 去 站 长 工 具 上 p i n g ， 响 应 的 i p 就 是 各 大 机 房 的 c d n 服 务 器 i p 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理