搜索

[26872] 2019-12-09_【安全研究】Domainfronting域名前置网络攻击技术

文档创建者：s7ckTeam
浏览次数：56
最后更新：2025-01-19
2019-12-09_【安全研究】Domainfronting域名前置网络攻击技术 【 安 全 研 究 】 D o m a i n   f r o n t i n g 域 名 前 置 网 络 攻 击 技 术 深 信 服 安 全 团 队   M s 0 8 0 6 7 安 全 实 验 室   2 0 1 9 - 1 2 - 0 9 千 里 百 科 千 里 百 科 D o m a i n   F r o n t i n g 基 于 H T T P S 通 用 规 避 技 术 ， 也 被 称 为 域 前 端 网 络 攻 击 技 术 。 这 是 一 种 用 来 隐 藏 M e t a s p l o i t ， C o b a l t   S t r i k e 等 团 队 控 制 服 务 器 流 量 ， 以 此 来 一 定 程 度 绕 过 检 查 器 或 防 火 墙 检 测 的 技 术 ， 如 A m a z o n   , G o o g l e ， A k a m a i   等 大 型 厂 商 会 提 供 一 些 域 前 端 技 术 服 务 。 下 列 将 会 使 用 A m a z o n   提 供 C l o u d F r o n t   ( C D N ) 服 务 举 例 。   背 景 背 景 在 虚 拟 主 机 中 搭 建 多 个 网 站 服 务 ， 为 了 方 便 我 们 区 分 它 们 ， 可 以   I P + P o r t 名 称   等 方 式 去 访 问 它 们 , 但 是 如 果 是 S S L / T L S 的 话 。 根 据 H T T P S 的 工 作 原 理 ， 浏 览 器 在 访 问 一 个 H T T P S 站 点 时 ， 先 与 服 务 器 建 立 S S L 连 接 。 建 立 连 接 的 第 一 步 就 是 请 求 服 务 器 的 证 书 。 而 服 务 器 在 发 送 证 书 时 ， 是 不 知 道 浏 览 器 访 问 的 是 哪 个 域 名 的 ， 所 以 不 能 根 据 不 同 域 名 发 送 不 同 的 证 书 。 因 此 就 引 入 一 个 扩 展 叫 S N I ， S N I 是 为 了 解 决 一 个 服 务 器 使 用 多 个 域 名 和 证 书 的 S S L / T L S 扩 展 ， 做 法 就 是 在   C l i e n t H e l l o   中 补 上   H o s t   信 息 。 图 1 域 前 端 的 关 键 思 想 是 在 不 同 的 通 信 层 使 用 不 同 的 域 名 ， 是 一 种 隐 藏 连 接 真 实 端 点 来 规 避 互 联 网 审 查 的 技 术 。 在 应 用 层 上 运 作 时 ， 域 前 置 使 用 户 能 通 过 H T T P S 连 接 到 被 屏 蔽 的 服 务 ， 而 表 面 上 像 在 与 另 一 个 完 全 不 同 的 站 点 通 信 。 此 技 术 的 原 理 为 在 不 同 通 信 层 使 用 不 同 的 域 名 。 此 技 术 的 原 理 为 在 不 同 通 信 层 使 用 不 同 的 域 名 。 在 明 文 的 D N S 请 求 和 T L S 服 务 器 名 称 指 示 （ S N I ） 中 使 用 无 害 的 域 名 来 初 始 化 连 接 ， 而 实 际 要 连 接 的 被 封 锁 域 名 仅 在 创 建 加 密 的 H T T P S 连 接 后 发 出 ， 在 H o s t 头 中 携 带 了 另 一 个 恶 意 C 2 域 名 （ H o s t 头 对 于 检 查 器 是 不 可 见 的 ， 但 是 对 于 接 收 H T T P S 请 求 的 前 端 服 务 器 是 可 见 的 ） 。
图 2   演 示 演 示 在 A m a z o n   C l o u d F r o n t 是 一 种 内 容 交 付 网 络 服 务 。 它 为 用 户 提 供 了 一 个 全 局 分 布 式 缓 存 ， 用 于 托 管 在 其 服 务 器 上 的 文 件 。 这 减 少 了 客 户 服 务 器 上 的 负 载 ， 并 允 许 C D N 提 供 来 自 与 请 求 者 数 据 中 心 的 缓 存 内 容 ， 当 客 户 端 连 接 到 C l o u d F r o n t 的 时 候 ， 其 根 据 H O S T 头 来 判 断 客 户 端 想 要 请 求 的 域 名 ， 在 做 域 前 置 攻 击 时 候 ， 只 要 在 C l o u d F r o n t 中 挑 选 一 个 受 信 任 域 名 ， 如 " h t t p s : / / d o c s . t e l e m e t r y . m o z i l l a . o r g " ， 看 起 来 是 一 个 合 法 白 名 单 域 名 ， 将 他 做 为 前 置 域 名 来 躲 避 防 火 墙 审 查 。 图 3 在 A m a z o n   C l o u d F r o n t 申 请 一 个 账 户 并 建 立 一 个 C l o u d F r o n t ， 在 " O r i g i n   D o m a i n   N a m e " 写 入 自 己 的 C & C 控 制 器 域 名 如 G o d s o n g . t e s t ， 其 他 设 置 按 自 己 需 求 来 。
图 4 申 请 完 毕 之 后 会 自 动 分 发 一 个 随 机 域 名   x x x . c l o u d f r o n t . n e t 样 式 ， 将 颁 发 的 随 机 域 名 指 向 真 实 C 2 服 务 器 ， 用 户 访 问 此 域 名 时 候 会 解 析 到 真 实 的 C & C 服 务 器 。 图 5 域 名 前 置 因 为 使 用 了 合 法 前 置 域 名 做 诱 饵 ， 在 使 用 域 名 前 置 因 为 使 用 了 合 法 前 置 域 名 做 诱 饵 ， 在 使 用 H T T P S 链 接 时 ， 链 接 时 ， D N S 请 求 的 也 都 是 合 法 域 名 ， 而 在 请 求 的 也 都 是 合 法 域 名 ， 而 在 H O S T 中 请 求 修 改 请 中 请 求 修 改 请 求 指 向 为 我 们 求 指 向 为 我 们 C & C 服 务 器 ， 相 当 于 请 求 合 法 域 名 之 后 把 流 量 转 发 到 了 中 转 服 务 器 ， 相 当 于 请 求 合 法 域 名 之 后 把 流 量 转 发 到 了 中 转 w e b 上 。 上 。
图 6 在 C l o u d F r o n t 为 我 分 配 了 一 个 域 名 ， 此 域 名 转 发 到 我 的 C & C 地 址 上 ， 在 原 始 C & C 服 务 器 W e b 存 放 了 一 个 名 为 6 . t x t 记 事 本 ， 地 址 为 h t t p s : / / w w w . g o d s o n g . t e s t / 6 . t x t 。 图 7 访 问 A w s 颁 发 的 域 名 h t t p s : / / d 3 0 5 b l u 4 1 2 1 c 3 m . c l o u d f r o n t . n e t / 6 . t x t ， 能 返 回 原 始 流 量 转 发 说 明 测 试 成 功 。 图 8 使 用 合 法 白 名 单 作 为 前 置 域 名 ， 修 改 H o s t 指 向 为 我 们 的 C & C 域 名 。 w g e t   - U   d e m o   - q   - O -   d o c s . t e l e m e t r y . m o z i l l a . o r g / 6 . t x t   - - h e a d e r    
如 下 图 就 成 功 利 用 M o z i l l a 白 名 单 域 名 技 术 来 隐 藏 真 实 恶 意 流 量 。 图 9 在 实 际 应 用 中 ， 可 以 使 用 C o b a l t   S t r i k e   ， E m p i r e ，   M e t a s p l o i t 等 工 具 修 改 其 配 置 文 件 来 控 制 流 量 传 输 ， 下 文 使 用 C o b a l t   S t r i k e 演 示 ， 设 置 一 个 P r o f i l e 扩 展 并 且 指 定 H o s t 头 为 d 3 0 5 b l u 4 1 2 1 c 3 m . c l o u d f r o n t . n e t 。 图 1 0 创 建 一 个 监 听 器 ， 主 机 写 C l o u d f r o n t . n e t 分 发 域 名 ， 监 听 8 0 端 口 。 w g e t   - U   d e m o   - q   - O -   d o c s . t e l e m e t r y . m o z i l l a . o r g / 6 . t x t   - - h e a d e r     " H o s t : d 3 0 5 b l u 4 1 2 1 c 3 m . c l o u d f r o n t . n e t "
图 1 1 B e a c o n 传 输 器 使 用 白 名 单 域 名 如 下 ： 图 1 2 在 恶 意 程 序 运 行 后 ， 使 用 W i r e s h a r k   抓 取 传 输 流 量 数 据 包 。 如 图 所 示 ， 可 以 看 到 相 关 请 求 如 下 ， 以 此 方 法 来 隐 藏 真 实 C & C 服 务 器 地 址 ， 在 W i r e s h a r k   中 查 看 传 输 流 量 包 H o s t 头 也 同 样 指 向 我 们 C l o u d f r o n t 服 务 器 ， 一 定 程 度 上 隐 蔽 了 真 实 攻 击 机 地 址 。 图 1 3
图 1 4 总 结 总 结 ： D o m a i n   F r o n t i n g 技 术 因 为 我 们 看 到 的 域 只 是 前 端 服 务 器 域 ， 很 难 区 分 那 个 是 正 常 域 名 或 恶 意 域 名 ， 但 实 际 上 恶 意 流 量 都 要 进 入 被 控 端 服 务 器 ， 这 样 的 话 就 会 在 被 控 服 务 器 上 产 生 一 些 恶 意 指 纹 ， 网 络 数 据 包 的 大 小 和 时 间 ， 以 此 方 法 来 观 察 恶 意 特 征 检 测 等 等 。 参 考 文 献 参 考 文 献 [ 1 ] h t t p s : / / w w w . s a n s . o r g / c y b e r - s e c u r i t y - s u m m i t / a r c h i v e s / f i l e / s u m m i t - a r c h i v e - 1 5 4 2 1 3 9 1 0 1 . p d f   图 2 ， 图 6 引 用 此 文 [ 2 ] h t t p : / / w w w . e r t 7 . c o m / s e r v i c e / k n o w l e d g e / 3 9 9 9 . h t m l 新 书 ： 《 内 网 安 全 攻 防 ： 渗 透 测 试 实 战 指 南 》 火 爆 上 市 ！ 新 书 ： 《 内 网 安 全 攻 防 ： 渗 透 测 试 实 战 指 南 》 火 爆 上 市 ！ 购 买 链 接 ： 购 买 链 接 ： h t t p s : / / i t e m . j d . c o m / 1 2 7 4 3 2 1 0 . h t m l M s 0 8 0 6 7 安 全 实 验 室 安 全 实 验 室
专 注 于 普 及 网 络 安 全 知 识 。 团 队 已 出 版 《 W e b 安 全 攻 防 ： 渗 透 测 试 实 战 指 南 》 ， 2 0 1 9 年 年 1 1 月 出 版 《 内 网 安 全 攻 防 ： 渗 透 测 试 实 战 月 出 版 《 内 网 安 全 攻 防 ： 渗 透 测 试 实 战 指 南 》 指 南 》 。 目 前 在 编 P y t h o n 渗 透 测 试 ， J A V A 代 码 审 计 和 逆 向 工 程 等 方 面 书 籍 。 团 队 公 众 号 定 期 分 享 关 于 C T F 靶 场 、 内 网 渗 透 、 A P T 方 面 技 术 干 货 ， 从 零 开 始 、 以 实 战 落 地 为 主 ， 致 力 于 做 一 个 实 用 的 干 货 分 享 型 公 众 号 。 官 方 网 站 ： w w w . m s 0 8 0 6 7 . c o m
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理