低成本隐藏加速你的C2

声明

本文作者：北美第一突破手 本文字数：1100

阅读时长：15分钟

附件/链接：点击查看原文下载

声明：请勿用作违法用途，否则后果自负

本文属于【狼组安全社区】原创奖励计划，未经许可禁止转载

前言

本文章只限于学习参考，不允许进行任何的非法活动！

发生任何问题和作者没有一点关系！

仅提供思路参考！

事情起源是这样的

图片

Keac师傅问我有没有试过使用pierced上线CS，我之前是不知道这个东西是啥的，后来去了看了一下，发现是一个利用某个开发平台的工具，作用是可以把本地搭建的服务器转发到平台提供的服务器上，这个工具就是将这个功能整合到一起，这样方便开发，工具支持HTTP和TCP转发，就是内网穿透工具。

本文链接【https://c.wgpsec.org/p/10054】欢迎留言讨论

一、工具使用

项目地址为：https://github.com/mzlogin/ding-tunnel

图片

首先我们将工具下载到本地：

图片

由于CS是运行在liunx主机上，所以我们直接进入liunx的页面，然后运行： chmod 777 ding # 加权 ./ding -config=./ding.cfg -subdomain=kris 80 # 执行命令 命令参数说明：

• -subdomain 您需要使用的域名前缀，该初始将匹配到 vaiwan.com，比如我上面的值是kris 80，运行以后就把b本地的80端口映射到kris.vaiwan.com

在windos上打开phpstudy，然后运行一下穿透：

图片

可以发现已经将本地的服务穿透出去了，这就是这个工具的使用方式，在此基础上我们利用他作为我们的 CS 服务器进行上线 平台服务器上线CS 我们在虚拟机里面启动一下CS：

图片

然后连接一下：

图片

接着在CS上监听80端口，并且使用工具转发出去：

图片

图片

然后请求一下外网的域名，看看在CS的日志中是否能够监听的到：

图片

可以监听得到，没有问题 那么我们如果直接使用这个监听器可以直接上线吗？答案是不允许的，如果直接使用这个监听器上线的话是不能上线的，回连的地址是10.1.1.5，所以我们采用其他的方法进行上线，我的思路是这样的，我们直接访问域名解析的IP的话，会发现并不是我们自己的服务，那么服务器是怎么判断我们的网站是用户自己的网站呢？在之前我们知道CDN上线的方式是使用HOST头的方式进行上线，那么是不是也是一样的方法呢？我们测试一下： 域名的解析地址为：114.55.250.207 我们直接curl一下：

图片

很明显不是我们的服务，在CS的web日志中也没有发现东西：

图片

于是按照CDN的上线方式进行测试：

图片

果然没错，根据HOST头进行定位，那么这样就可以按照CDN上线的方式进行配置监听：

图片

生成一下CS马子并且执行：

图片

执行一下命令：

图片

在微步中看看分析：

图片

看看转发的监听：

图片

完美隐藏，这样只需要使用的时候打开就可一直使用了，缺点是不能和VPS一样想用就用，并且是不能看到控制主机的外网IP，需要自己手动备注一下。

当然你甚至还可以把C2管理端口使用不同工具映射出来。。。。

二、其他推荐工具

上文讲到的平台仅用于钉钉开发使用，这里再给大家推荐一个平台

图片

https://suidao.io/

开源地址：https://github.com/SpringHgui/FastTunnel

图片

图片

后记

后面大家可以尝试一些新的东西，比如我自己想到：

• 利用 proxychains4 对你出口的流量进行隐藏
• 利用其他的免费开发平台进行上线
• ......
• 这种应该会有日志记录，所以用的时候还得小心
• 阅读原文可在评论区讨论~