##  0x00 網路測繪角度下的C&C威脅分析

在日漸激烈的網路對抗中，伴隨滲透手段的更新換代，遠控為了滿足需求隨之發展，種類繁多，常見的遠控有：Cobalt Strike、Metasploit Framework、Empire、PoshC2、Pupy等。

在常見的遠控中，Cobalt Strike是熟知的滲透測試利器，功能十分強大，可擴充套件性強，從前期載荷生成、誘餌捆綁、釣魚攻擊到載荷植入目標成功後的持續控制、後滲透階段都可以很好支援，幾乎覆蓋攻擊鏈的各個階段。並且支援多種上線方式，以及多種豐富的配置可以達到非常好的隱蔽效果。CS teamserver團隊伺服器又可以使眾多CS客戶端連上它，以進行團隊協作。Metasploit Framework能夠提供眾多漏洞利用，這兩款遠控功能強大且容易上手，因此也是廣大redteamer的必備武器。

C&C作為全球範圍紅隊的基礎設施，長期部署在世界各個角落，如何透過探測C&C伺服器成為了一個問題。傳統的流量規則只能對小範圍的C2設施進行識別，有一定的侷限性。對於全網的資產識別，透過網路測繪來進行掃描識別C2會不會更全面呢？

## 0x01 網路空間測繪

網際網路在高速發展的今天，傳統的網路安全大多面向區域性安全未曾考慮整體全網環境下的網路安全，這樣也造成了近年來攻擊者頻繁面向全網展開攻擊。數億的物聯網裝置安全問題被大範圍的暴露出來。同時攻擊者在面向全網攻擊既包括傳統攻擊方式WEB攻擊，緩衝區溢位攻擊，資料庫攻擊。同時也涵蓋新型的針對物聯網裝置和工控裝置層面的攻擊也越發頻繁。Sumap網路空間測繪擁有快速資產探測能力，以及資產監測能力，資產漏洞管理能力形成了一套基於全球網路空間資產安全整體安全解決方案。

## 0x02 具體分析

### Metasploit

#### 1.Metasploit 框架簡介

在日常滲透測試中，Metasploit是常用的一款工具安全漏洞利用工具，它擁有最新的公開漏洞利用、後滲透利用模組等，它整合了各個平臺常見的漏洞，擁有各種作業系統的shellcode，同時可以作為C&C維持目標許可權。Meterpreter作為meatasploit框架的一個擴充套件模組，meterpreter是metasploit框架中的一個擴充套件模組，作為溢位成功以後的攻擊載荷使用，攻擊載荷在溢位攻擊成功以後給我們返回一個控制通道，使用它作為攻擊載荷能夠獲得目標系統的一個meterpretershell的連結。meterpretershell作為滲透模組有很多有用的功能，比如新增一個使用者、隱藏一些東西、開啟shell、得到使用者密碼、上傳下載遠端主機的檔案、執行cmd.exe、捕捉螢幕、得到遠端控制權、捕獲按鍵資訊、清除應用程式、顯示遠端主機的系統資訊、顯示遠端機器的網路介面和IP地址等資訊。

#### 2.msf特徵分析

開始對msf的reverse_http進行分析，在msf的[metasploit-framework/lib/msf/core/handler/reverse_http.rb#83](https://github.com/rapid7/metasploit-framework/blob/2cb2e38c49e8a896032811e5bcb71bbe2ba7297c/lib/msf/core/handler/reverse_http.rb#L83)中

```
        OptString.new('HttpUnknownRequestResponse',
          'The returned HTML response body when the handler receives a request that is not from a payload',
          default: '<h1>It works!</h1>'
        )
```

透過分析特徵，發現模仿的是apache的初始頁面

https://raw.githubusercontent.com/apache/httpd/5f32ea94af5f1e7ea68d6fca58f0ac2478cc18c5/docs/docroot/index.html

但實際測試，apache的初始頁面請求為：

```
< HTTP/1.1 200 OK
< Connection: keep-alive
< Content-Length: 45
```

而msf的apche頁面為：

```
< HTTP/1.1 200 OK
< Connection: keep-alive
< Content-Length: 44
```

兩者相比較Content-Length並不相同，相比apache原始頁面多了\n。

在sumap平臺中可以直接搜尋

```
tags:"MSF http"
```

![](http://img.blog.itpub.net/blog/2020/12/25/1ef46e1a49921edb.png?x-oss-process=style/bb)

全球分佈:

![](http://img.blog.itpub.net/blog/2020/12/25/884af40abdd61beb.png?x-oss-process=style/bb)

截止發稿前探測到msf reverse_http(s)全網有682臺，同時sumap支援reverse_tcp連線查詢。

直接搜尋:

```
tags:"Metasploit Rex httpd"
```

![](http://img.blog.itpub.net/blog/2020/12/25/8cca3ee3c288fba0.png?x-oss-process=style/bb)

探測到全網有8,048臺

###  Cobalt Strike

####  1.Cobalt Strike Payload Staging

在Cobalt Strike的攻擊框架中，payload是執行攻擊的內容，payload拆分為：payload stage和payload stager。stager是一個小程式，通常是手工最佳化的彙編指令，用於下載stage、把它注入記憶體中執行。stage則就是包含了很多功能的程式碼塊，用於接受和執行我們控制端的任務並返回結果。stager透過各種方式(如http、dns、tcp等)下載stage並注入記憶體執行這個過程稱為Payload Staging。Cobalt strike也提供了傳統的方式，打包成一個完整的exe、dll，上傳執行與teamserver回連通訊，這種是Payload Stageless，生成Stageless的客戶端可以在Attack->Package->Windows Executeable（s）下生成。

透過官網的文件，因為如果開啟了 staging（分階段），任何人都能連到你的伺服器上，請求一個payload、並分析它的內容，從而可以從你的 payload 配置中獲取資訊。

![](http://img.blog.itpub.net/blog/2020/12/25/e7f27e9aca3d702c.png?x-oss-process=style/bb)

所以可以透過構造，傳入滿足要求的uri就能夠下載cs的beacon，在`/src/main/java/cloudstrike/WebServer.java`中可以看到uri的check規則。

![](http://img.blog.itpub.net/blog/2020/12/25/1e1fac0f73b3b0f5.png?x-oss-process=style/bb)

所以只需要構造根據4位的數字和大小字母組合滿足求和取模等於92(93)即可

```python
import random

def generate_checksum(input):
    trial = ""
    total = 0
    while total != input:
        total = 0
        trial = ''.join(random.sample("abcdefghhijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ1234567890",4))
        for i in range(4):
            total = (total + ord(trial[i:i+1]))% 256
    return trial

if __name__ == '__main__':
    uri_x86 = generate_checksum(92)
    uri_x64 = generate_checksum(93)
    print(uri_x64)
    print(uri_x86)
```

這裡的邏輯做了一個判斷，直接訪問返回一個`404 Not Found`，但是帶有滿足條件的校驗碼訪問會直接下載beacon的stage檔案。

![](http://img.blog.itpub.net/blog/2020/12/25/082edd678356e186.png?x-oss-process=style/bb)

拿到stage檔案後，需要異或解密，這裡我參考https://sysopfb.github.io/malware,/cobaltstrike/2020/03/24/beacon-in-azure.html改寫了一下python3的指令碼

```python
import sys
import struct

filename = sys.argv[1]
data = open(filename, 'rb').read()
t = bytearray(data[0x45:])
(a,b) = struct.unpack_from('<ii t="" key="a" t2="t[8:]" out="" with="" open="" as="" f:="" for="" i="" in="" range="" temp="struct.unpack_from('<I'," print="" f.write="" cs3.x="" x="" web="" server="" sumap="" beacon="" strike="" snort="" ok="" gmt="" cobalt="" teamserver="" ioc="" msf="">
                        </ii>

Sumap網路測繪探測C&C遠控在野情況分析

相關文章