记录黑客技术中优秀的内容,传播黑客文化,分享黑客技术精华

红队基础建设之Domain Fronting

2020-03-21 16:51

简介

Domain Fronting(域前缀),是一种隐藏真实C2服务器IP且同时能伪装为与高信誉域名通信的技术。

  • 技术原理图

原理

Domain Fronting的核心技术主要是利用了CDN

举例

  • nslookup

两个网站使用的是同一个CDN

  • 请求klst.96jm.com (301状态)
< HTTP/1.1 301 Moved Permanently
< Server: Tengine
< Date: Sat, 21 Mar 2020 05:58:57 GMT
< Content-Type: text/html
< Content-Length: 278
< Connection: keep-alive
< Location: https://klst.96jm.com/
< Via: cache4.cn899[,0]
< Timing-Allow-Origin: *
< EagleId: 3cddc21815847703378007817e
<
<!DOCTYPE HTML PUBLIC "-//IETF//DTD HTML 2.0//EN">
<html>
<head><title>301 Moved Permanently</title></head>
<body bgcolor="white">
<h1>301 Moved Permanently</h1>
<p>The requested resource has been assigned a new permanent URI.</p>
<hr/>Powered by Tengine</body>
</html>
* Connection #0 to host klst.96jm.com left intact
  • 请求 www.shhorse.com.cn (403状态)
< HTTP/1.1 403 Forbidden
< Server: Tengine
< Content-Type: text/html
< Content-Length: 597
< Connection: keep-alive
< Cache-Control: no-cache
< x-alicdn-da-ups-status: endOs,0,403
< Via: cache11.l2cm12-6[50,0], cache2.cn899[86,0]
< Timing-Allow-Origin: *
< EagleId: 3cddc21615847703796571626e
<
<html>
<head>
  • 请求CDN
curl klst.96jm.com -H "www.shhorse.com.cn" -v

实践

配置CDN

  • Tips

但由于某云有一个有趣的特点:当 CDN 配置中的源 IP 为自己云的服务器时,加速时会跳过对域名的检验,直接与配置中的域名绑定的源服务器IP进行通信。利用该特性,我们不需要真正去申请 CDN 时所填写的域名中配置解析相应的 CNAME 了。换言之,只要我们的C2服务器属于该云的服务器,那么我们就无需申请域名,只需要在申请 CDN 时随便填一个没有人绑定过的域名就好了,而且这个域名我们可以填成任何高信誉的域名,例如xxx.microsoft.com.

  • 申请CDN

马赛克处是你c2的IP

  • 过几分钟查看状态

配置CobaltStrike

  • 配置C2 profile

  • WebLog查看请求

  • 添加一个监听器

Agent Generator

  • 下载地址
https://codeload.github.com/mdsecactivebreach/CACTUSTORCH/zip/master
  • 加载

  • 生成

  • 执行

  • 查看通讯
Netstat -an

发现是与CDN进行通讯,隐藏了真实的c2

参考

“`
https://www.anquanke.com/post/id/195011
“`


知识来源: https://www.chabug.org/web/1373.html

阅读:43458 | 评论:0 | 标签:AI

想收藏或者和大家分享这篇好文章→复制链接地址

“红队基础建设之Domain Fronting”共有0条留言

发表评论

姓名:

邮箱:

网址:

验证码:

ADS

标签云