Sumap⽹络测绘探测C&C远控在野情况分析

Sumap⽹络测绘探测C&C远控在野情况分析
2021-01-12 16:21:42 Author: www.secpulse.com(查看原文) 阅读量:259 收藏

Sumap⽹络测绘探测C&C远控在野情况分析

在⽇渐激烈的⽹络对抗中，伴随渗透⼿段的更新换代，远控为了满⾜需求随之发展，种类繁多，常⻅的远控有：Cobalt Strike、Metasploit Framework、Empire、PoshC2、Pupy等。

在常⻅的远控中，Cobalt Strike是熟知的渗透测试利器，功能⼗分强⼤，可扩展性强，从前期载荷⽣成、诱饵捆绑、钓⻥攻击到载荷植⼊⽬标成功后的持续控制、后渗透阶段都可以很好⽀持，⼏乎覆盖攻击链的各个阶段。并且⽀持多种上线⽅式，以及多种丰富的配置可以达到⾮常好的隐蔽效果。CS teamserver团队服务器⼜可以使众多CS客户端连上它，以进⾏团队协作。Metasploit Framework能够提供众多漏洞利⽤，这两款远控功能强⼤且容易上⼿，因此也是⼴⼤redteamer的必备武器。

C&C作为全球范围红队的基础设施，⻓期部署在世界各个⻆落，如何通过探测C&C服务器成为了⼀个问题。传统的流量规则只能对⼩范围的C2设施进⾏识别，有⼀定的局限性。对于全⽹的资产识别，通过⽹络测绘来进⾏扫描识别C2会不会更全⾯呢？

互联⽹在⾼速发展的今天，传统的⽹络安全⼤多⾯向局部安全未曾考虑整体全⽹环境下的⽹络安全，这样也造成了近年来攻击者频繁⾯向全⽹展开攻击。数亿的物联⽹设备安全问题被⼤范围的暴露出来。同时攻击者在⾯向全⽹攻击既包括传统攻击⽅式WEB攻击，缓冲区溢出攻击，数据库攻击。同时也涵盖新型的针对物联⽹设备和⼯控设备层⾯的攻击也越发频繁。Sumap⽹络空间测绘拥有快速资产探测能⼒，以及资产监测能⼒，资产漏洞管理能⼒形成了⼀套基于全球⽹络空间资产安全整体安全解决⽅案。

Metasploit

1.Metasploit 框架简介

在⽇常渗透测试中，Metasploit是常⽤的⼀款⼯具安全漏洞利⽤⼯具，它拥有最新的公开漏洞利⽤、后渗透利⽤模块等，它集成了各个平台常⻅的漏洞，拥有各种操作系统的shellcode，同时可以作为C&C维持⽬标权限。Meterpreter作为meatasploit框架的⼀个扩展模块，meterpreter是metasploit框架中的

⼀个扩展模块，作为溢出成功以后的攻击载荷使⽤，攻击载荷在溢出攻击成功以后给我们返回⼀个控制通道。使⽤它作为攻击载荷能够获得⽬标系统的⼀个meterpretershell的链接。meterpretershell作为渗透模块有很多有⽤的功能，⽐如添加⼀个⽤户、隐藏⼀些东⻄、打开shell、得到⽤户密码、上传下载远程主机的⽂件、运⾏cmd.exe、捕捉屏幕、得到远程控制权、捕获按键信息、清除应⽤程序、显示远程主机的系统信息、显示远程机器的⽹络接⼝和IP地址等信息。

2.msf特征分析

开始对msf的reverse_http进⾏分析，在msf的metasploit- framework/lib/msf/core/handler/reverse_http.rb#83中

OptString.new('HttpUnknownRequestResponse',

'The returned HTML response body when the handler receives a request that is not from a payload',

default: '<html><body><h1>It works!</h1></body></html>'

)

通过分析特征，发现模仿的是apache的初始⻚⾯

https://raw.githubusercontent.com/apache/httpd/5f32ea94af5f1e7ea68d6fca58f0ac2478cc18c5/d ocs/docroot/index.html

但实际测试，apache的初始⻚⾯请求为：

< HTTP/1.1 200 OK

< Connection: keep-alive

< Content-Length: 45

⽽msf的apche⻚⾯为：

< HTTP/1.1 200 OK

< Connection: keep-alive

< Content-Length: 44

两者相⽐较Content-Length并不相同，相⽐apache原始⻚⾯多了\n。

在sumap平台中可以直接搜索

全球分布:

截⽌发稿前探测到msf reverse_http(s)全⽹有682台，同时sumap⽀持reverse_tcp连接查询。直接搜索:

tags:"Metasploit Rex httpd"

rex httpd.png

探测到全⽹有8,048台

Cobalt Strike

1.Cobalt Strike Payload Staging

在Cobalt Strike的攻击框架中，payload是执⾏攻击的内容，payload拆分为：payload stage和payload stager。stager是⼀个⼩程序，通常是⼿⼯优化的汇编指令，⽤于下载stage、把它注⼊内存中运⾏。 stage则就是包含了很多功能的代码块，⽤于接受和执⾏我们控制端的任务并返回结果。stager通过各种

⽅式(如http、dns、tcp等)下载stage并注⼊内存运⾏这个过程称为Payload Staging。Cobalt strike也提供了传统的⽅式，打包成⼀个完整的exe、dll，上传运⾏与teamserver回连通讯，这种是Payload Stageless，⽣成Stageless的客户端可以在Attack->Package->Windows Executeable（s）下⽣成。

通过官⽹的⽂档，因为如果开启了 staging（分阶段），任何⼈都能连到你的服务器上，请求⼀个 payload、并分析它的内容，从⽽可以从你的 payload 配置中获取信息。

所以可以通过构造，传⼊满⾜要求的uri就能够下载cs的beacon，

在 /src/main/java/cloudstrike/WebServer.java 中可以看到uri的check规则。

所以只需要构造根据4位的数字和⼤⼩字⺟组合满⾜求和取模等于92(93)即可

import random

def generate_checksum(input):

trial = ""

total = 0

while total != input:

total = 0

trial = ''.join(random.sample("abcdefghhijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ1234567890",4))

for i in range(4):

total = (total + ord(trial[i:i+1]))% 256

return trial

if __name__ == '__main__':

uri_x86 = generate_checksum(92)

uri_x64 = generate_checksum(93)

print(uri_x64)

print(uri_x86)

这⾥的逻辑做了⼀个判断，直接访问返回⼀个 404 Not Found ，但是带有满⾜条件的校验码访问会直接下载beacon的stage⽂件。

拿到stage⽂件后，需要抑或解密，这⾥我参考https://sysopfb.github.io/malware,/cobaltstrike/2020/ 03/24/beacon-in-azure.html改写了⼀下python3的脚本

import sys

import struct

filename = sys.argv[1]

data = open(filename, 'rb').read()

t = bytearray(data[0x45:])

(a,b) = struct.unpack_from('<II', t)

key = a

t2 = t[8:]

out = ""

with open(filename+'_decoded', 'wb') as f:

for i in range(len(t2)//4):

temp = struct.unpack_from('<I', t2[i*4:])[0]

temp ^= key

out = struct.pack('<I', temp)

print(out)

key ^= temp

f.write(out)

得到解密后的⽂件然后再使⽤⽹上公开的脚本对配置⽂件进⾏解析https://github.com/Sentinel-One/Co baltStrikeParser

在这个脚本⾥cs3.x异或的0x69，cs4.x异或的0x2e，查看我⼿中的4.1版本

cs3.x版本和cs4.x版本的异或字节不⼀致，但是都可以解密出来，说明解密算法并没有改变，那么势必可

以通过改变密钥来bypass获取配置信息，其实这种情况只需要爆破256位就能解决了( for x in range(1, 0xff) )，对于扫stager我更建议是在不需要stager的时候在Manage Web Server⾥kill掉 stager和stager64，需要的时候直接在listeners⾥edit。

Sumap根据此特征已经集成到搜索语法中，可以通过搜索 tags:"CS Beacon" 直接搜索到相关数据。中国地区相关数据不参与统计

2.Cobalt Strike server

空格bug存在与Cobalt Strike发布3.13之前的版本，Cobalt Strike的 "Team Server" Web服务器是基于 NanoHTTPD，这是⼀个⽤Java编写的开源Web服务器。但是，此Web服务器⽆意中在其所有HTTP响应中返回了多余的空⽩符，可以通过这个空格进⾏识别

snort规则： /^HTTP/1.1 200 OK \r\nContent-Type: [^\r\n]{0,100}\r\nDate: [^\r\n]

{0,100} GMT\r\n(Content-Length: \d+\r\n)\r\n ，⽼版本的Cobalt Strike⽹络服务器的所有 HTTP响应中都有空格，通过snort规则可以抛砖引⽟，既然所有HTTP响应都有空格，那么可以通过访问 Cobalt Strike的web端⼝，检测返回头就能识别Cobalt Strike了。