红队攻防全流程解析 - 文章 - 开发者社区

RED TEAM

Powered by QAX A-TEAM

Summary

picture.image

情报收集与外网打点

picture.image

基础设施架构设计部署

普通架构：红队人员--》teamserver cs--》目标机缺点：功能未分离、无潜伏通道、回连日志多、灵活性较低演进架构：DNS/HTTP/HTTPS分离server tips：1~2cpu 2G内存 10G硬盘，回连数不超过5台，潜伏通道（根据实际目标环境优先）完整架构：域名和IP（VPS）teamserver（CS）前置机（redictor） CS -》teamservers 1/2/3/... 前置层（SMTP/PAYLOAD/C2/隐蔽C2）

picture.image

选择域名

picture.image

抢注过期域名 expireddomains.net DELETE DOMAIN
tips1: 不要包含世界大厂和杀毒厂商相关的域名，以及和目标相关的域名
tips2：注册目标相关区域常见的域名，记得开隐私保护
其他：www.freshdrop.com www.domcop.com
tips3：检查域名是否被分类，金融、医疗、电商、航空、旅游 great
tips4：去VT、微步检查，域名是否被标黑
tips5：举报滥用规则仔细阅读（freenom 慎用）

培养域名（养号）

搭建正常域名，提交至各安全厂商给站点分类
tips1：把域名A记录解析到大厂ip，使用时候再解析到C2，不用时候解析回大厂ip
tips2：VT 自评， alex 自评

域名解析检测
域名分类检测

domaincheck：

IP检测

外网IP，通过情报站看是否被标黑
使用CDN隐藏真实IP（部分安全厂商会拦截CDN IP）

借鸡生蛋，

subdomain takeover：高信誉域名A解析B -》
高信誉肉鸡做前置转发

C2工具

自定义流量特征：DNS/HTTP/HTTPS/SMB和TCP
Payload加载流程：shellcode/Loader/Stageless/beacon
DNS：如果用到dns通道默认参数必须修改（容易被设备检测），不要用DNS做数据通道
HTTP（S）：不要在uri中的文件后缀设置js、css等静态文件，效果：付费证书>免费证书>自签名证书（Let's Encrypt 免费 3个月过期，开自动续）
CS 3.14

Redirector

Office365、Pastebin、Slack、Facebook、Dropbox、Gmail、Twitter..
缺点：需要硬编码到第三方服务
第三方服务用作C2相关资源汇总


              
  `https://pentestarmoury.com/2017/07/19/s3-buckets-for-good-and-evil/` 
  `https://rhinosecuritylabs.com/aws/hiding-cloudcobalt-strike-beacon-c2-using-amazon-apis/` 
  `https://github.com/daniel-infosec/wikipedia-c2` 
  `https://unit42.paloaltonetworks.com/aggah-campaign-bit-ly-blogspot-and-pastebin-used-for-c2-in-large-scale-campaign https://www.harmj0y.net/blog/powershell/command-and-control-using-active-directory/` 
  `https://blog.netspi.com/databases-and-clouds-sql-server-as-a-c2/` 
  `https://outflank.nl/blog/2017/09/17/blogpost-cobalt-strike-over-external-c2-beacon-home-in-the-most-obscure-ways https://labs.mwrinfosecurity.com/blog/tasking-office-365-for-cobalt-strike-c2` 
  `https://github.com/maldevel/canisrufus` 
  `https://unit42.paloaltonetworks.com/darkhydrus-delivers-new-trojan-that-can-use-google-drive-for-c2-communications https://github.com/byt3bl33d3r/gcat` 
  `https://github.com/maldevel/gdog` 
  `https://www.welivesecurity.com/wp-content/uploads/2019/05/ESET-LightNeuron.pdf` 
  `https://github.com/bkup/SlackShell` 
  `https://github.com/j3ssie/c2s` 
  `https://github.com/praetorian-code/slack-c2bot` 
  `https://github.com/microsoft/skype-dev-bots` 
  `https://github.com/PaulSec/twittor` 
  `https://blog.talosintelligence.com/2017/04/introducing-rokrat.html` 
  `https://www2.fireeye.com/rs/848-DID-242/images/rpt-apt29-hammertoss.pdf` 
  `https://github.com/woj-ciech/Social-media-c2`