RedWarden - موجه مرن قابل للتشكيل لـ CobaltStrike

(المعروف سابقًا باسم إضافة proxy2's malleable_redirector)

دعونا نرفع مستوى مرونة موجهات C2 أمام فرق الاستجابة للحوادث، أليس كذلك؟

RedWarden

شهد مجال فرق الاختراق الأحمر عدة أفكار رائعة حول كيفية مواجهة فرق الاستجابة للحوادث وتضليلهم مع تقديم شبكة موجهات C2 مقاومة في نفس الوقت.

يجمع هذا العمل العديد من تلك الأفكار الرائعة في أداة واحدة خفيفة الوزن، تحاكي Apache2 في جوهرها كخادم وكيل عكسي بسيط HTTP(S).

من خلال الجمع بين فهم ملفات تعريف Malleable C2، ومعرفة تجمعات عناوين IP الضارة، ومرونة إضافة منطق فحص وتوجيه خاطئ جديد بسهولة - نتج عن ذلك طارد ماهر لعمليات فحص فرق الاستجابة للحوادث.

RedWarden

إذا وصلت أي حزمة واردة غير صالحة إلى RedWarden - يمكنك redirect (إعادة توجيه)، أو reset (إعادة تعيين)، أو مجرد proxy (وكيل) بعيدًا!

كل إدخال في ذلك القاموس يقبل تعبيرًا منتظمًا يتم مطابقته مع البيانات الوصفية الجغرافية (IP Geo) المحددة لعنوان IP الخاص بالند الوارد. نستخدم ثلاثة إدخالات في الخاصية `country` للسماح بالطلبات التي تحتوي على إحدى القيم المحددة. بعد تعيين ذلك في التهيئة الخاصة بك، يمكنك التحقق مما إذا كان عنوان IP آخر سيتم تمريره عبر مُحدد الموقع الجغرافي لـ RedWarden أم لا باستخدام أداة `ipLookupHelper` التي تقبل معاملًا ثانيًا: ![ipLookupHelper IP Geo discriminator](https://assets.kitploit.com/production/public/readmes/4322/f67983439349d959f5ce0b08c45e53de3664d82796fd15273f3bb72f831ac7dc.png) يخبرك السطر الأخير جدًا ما إذا كانت الحزمة سيتم حظرها أو قبولها. وهذا كل شيء! قم بتكوين قيود الموقع الجغرافي IP بحكمة وأمان، وافحص بعناية سجلات RedWarden لأي إدخالات DROP متعلقة بالموقع الجغرافي IP، وحافظ على حركة C2 الخاصة بك نظيفة ومرتبة! ### إصلاح طلبات Beacon المعدلة إذا كنت تستخدم أنظمة وسيطة مثل AWS Lambda أو CloudFlare كموجهات نطاق أمامي / معيدات توجيه، فمن المؤكد أنك واجهت موقفًا حيث لم يتمكن بعض حزمك من قبولها من قبل Teamserver لأنها انحرفت عن العقد القابل للتشكيل (malleable contract) المتفق عليه. سواء كان رأس HTTP معدل أو محذوف، أو إعادة ترتيب الكوكيز أو أي شيء آخر - أراهن أن ذلك أضاع ساعات كثيرة من حياتك. لمكافحة مشاكل عملية إعداد قنوات C2 والتلاعب بالأنظمة الوسيطة، تقدم RedWarden وظيفة لإصلاح حزم Beacon. تفعل ذلك عن طريق التحقق مما يتوقعه الملف الشخصي القابل للتشكيل (Malleable Profile) من الحزمة، ويمكنها استعادة رؤوس HTTP المكونة إلى قيمها المتفق عليها وفقًا لمتطلبات الملف الشخصي. ضع في اعتبارك الملف الشخصي البسيط التالي:``` http-get { set uri "/api/abc"; client { header "Accept-Encoding" "gzip, deflate"; metadata { base64url; netbios; base64url; parameter "auth"; } } ...

By default all of these checks are enforced. سيؤدي تشغيل `debug: True` إلى إغراق مخزن وحدة التحكم الخاص بك بالكثير من سطور السجل التي تصف كل خطوة يتخذها RedWarden في عملية اتخاذ القرار المعقدة. إذا كنت تريد رؤية النصوص الكاملة لطلباتك واستجاباتك - فاضبط `debug` و `trace` على true وستغرق في عبء التسجيل! ## الأسئلة الشائعة **- هل يمكن لهذا البرنامج العمل بدون ملف تعريف Malleable؟** نعم يمكن ذلك. ومع ذلك، سيتم إيقاف تشغيل منطق فحص الطلب، وباقي الوظائف يجب أن تعمل بشكل جيد: فرض الموقع الجغرافي للـ IP، منطق البحث العكسي، قائمة عناوين IP المحظورة، إلخ. **- هل يمكن تكييف هذا البرنامج بسهولة مع أطر عمل C2 الأخرى أيضًا؟ مثل Mythic، Covenant، إلخ؟** بسهولة لا. مع بعض الجهد - نعم. كما وصفت أدناه، الأداة مكتوبة بشكل سيء مما سيجعل تكييفها مع أطر C2 الأخرى أمرًا مؤلمًا. ومع ذلك، هذا ممكن تمامًا مع بعض الوقت والجهد. **- حزم البيانات الخاصة بي يتم إسقاطها. لماذا؟** حاول تمكين `debug: True` و `trace: True` لجمع أكبر عدد ممكن من السجلات. بعد ذلك ستحتاج إلى مراجعة السجلات وفحص ما يحدث. هل تبدو الحزم تمامًا كما توقعتها في ملف تعريف Malleable الخاص بك؟ أم ربما حدث تلاعب خفي عبر الشبكة يتسبب في قيام RedWarden بإسقاط الحزمة (وقد يتسبب أيضًا في قيام Teamserver بإسقاطها؟). ## المشكلات المعروفة - قد _تضيف_ عبئًا بسيطًا على إنتاجية السكون التفاعلي - منطق معالجة ProxyPass بعيد عن الكمال وهو _مليء جدًا_ بالأخطاء (ولله كم هو قبيح!). - يمكن لأشكال غريبة من ملفات التكوين أن تعطل محلل RedWarden وتجعله يشكو. أسهل طريقة لتجاوز ذلك هي نسخ `example-config.yaml` والعمل عليه بدلاً من ذلك. ## يا إلهي لماذا هذه الشفرة قطعة مهندسة سيئة للغاية؟ الشفرة هي _فوضى عارمة_ - أعترف بذلك - وهناك سبب صادق لذلك أيضًا: تم تطوير المشروع بنسبة 90% خلال مهام الفريق الأحمر الفعلية. كما نعلم جميعًا، تستلزم هذه المهام الكثير من الأشياء التي يجب القيام بها، مما لا يترك وقتًا تقريبًا لتطوير أدوات معقدة بشكل مناسب. ناهيك عن أهمية هذا البرنامج في إعداد المشروع. بدأت الأداة في البداية كبرنامج نصي وكيل بسيط مكتوب بلغة Python2، ثم تطورت لتكون وكيلًا مع إضافات، وتلقت إضافة `malleable_redirector` - ومنذ ذلك الحين وأنا أحاول جاهدًا الحفاظ على التوافق العكسي لـ `proxy2` (مسكين أنا، كنت مثل Microsoft!) مع الإضافات الأخرى التي صنعتها له والالتزام بغرضه الأصلي. لكن حان الوقت للتخلي عنه، وإعادة تسميته والبدء في إصلاح جميع روائح الشفرة السيئة التي تم تقديمها. مع كل ما قيل، يرجى إظهار بعض التعاطف معي عند رفع المشكلات، وتقديم طلبات السحب، وحاول المساعدة بدلاً من الحكم! :-) شكرًا! ## المهام - البحث في إمكانية استخدام خلاصات الاستخبارات التهديدية لأغراض خبيثة - مثل اكتشاف بائعي الأمان استنادًا إلى عناوين IP - إضافة دعم لقاعدة بيانات/واجهة برمجة تطبيقات MaxMind GeoIP - تنفيذ دعم لتوقيعات JA3 في كل من الكشف والحظر والانتحال لتزييف إعدادات nginx/Apache2/المخصصة. - إضافة منطق تتبع فريد للإشارات لتوفير مرونة رفض عمليات التهيئة والاتصال وفقًا لتقدير الوكيل نفسه - تقديم قيد زمني عند تقديم إمكانيات إعادة التوجيه (_الوكيل فقط خلال ساعات العمل_) - إضافة منطق مصادقة وتفويض الوكيل على CONNECT/relay. - إضافة إعادة توجيه مستهدفة لمستخدمي الجوال - إضافة خيارات تكوين لتحديد رؤوس HTTP مخصصة ليتم حقنها، أو تلك التي سيتم إزالتها - إضافة خيارات تكوين لتتطلب وجود رؤوس HTTP محددة في الطلبات التي تمر معايير ProxyPass. - واجهة تفاعلية تسمح بكتابة أحرف بسيطة تتحكم في درجة تفصيل تسجيل المخرجات، على غرار Nmap - إعادة كتابة منطق محلل ملف تعريف Malleable إلى [pyMalleableC2](https://github.com/Porchetta-Industries/pyMalleableC2). عندما بدأت في برمجة منطق المحلل الخاص بي لأول مرة، لم تكن هناك مثل هذه الأدوات على Github. - إعادة هيكلة قاعدة الشفرة بأكملها --- ### ☕ أظهر الدعم ☕ هذا والمشاريع الأخرى هي نتيجة ليالٍ بلا نوم و**الكثير من العمل الجاد**. إذا كنت تحب ما أفعله وتقدر أنني دائمًا أعيد إلى المجتمع، [فكر في شراء فنجان قهوة لي](https://github.com/sponsors/mgeeky) _(أو الأفضل بيرة)_ فقط لقول شكرًا! 💪 --- ## المؤلف``` Mariusz Banach / mgeeky, '19-'21 <mb [at] binary-offensive.com> (https://github.com/mgeeky)

RedWarden

الأكثر شعبية

RedWarden - موجه مرن قابل للتشكيل لـ CobaltStrike

ملخص

What to do with the request originating not conforming to Beacon, whitelisting or

ProxyPass inclusive statements:

- 'redirect' it to another host with (HTTP 301),

- 'reset' a TCP connection with connecting client

- 'proxy' the request, acting as a reverse-proxy against specified action_url

(may be dangerous if client fetches something it shouldn't supposed to see!)

Valid values: 'reset', 'redirect', 'proxy'.

Default: redirect

الاستخدام

مثال على الاستخدام

This option repairs Beacon requests's header value by restoring to what was expected in Malleable C2 profile.

If RedWarden validates inbound request's HTTP headers, according to policy drop_malleable_without_expected_header_value:

"[IP: DROP, reason:6] HTTP request did not contain expected header value:"

and detects some header is missing or was overwritten along the wire, the request will be dropped.

We can relax this policy a bit however, since there are situations in which Cache systems (such as Cloudflare) could tamper with our

requests thus breaking Malleable contracts. What we can do is to specify list of headers, that should be overwritten back to their values

defined in provided Malleable profile.

So for example, if our profile expects:

header "Accept-Encoding" "gzip, deflate";

but we receive a request having following header set instead:

Accept-Encoding: gzip

Because it was tampered along the wire by some of the interim systems (such as web-proxies or caches), we can

detect that and set that header's value back to what was expected in Malleable profile.

In order to protect Accept-Encoding header, as an example, the following configuration could be used:

repair_these_headers:

- Accept-Encoding

Default:

أمثلة على المخرجات

ضبط دقيق لسياسات الإسقاط

Fine-grained requests dropping policy - lets you decide which checks

you want to have enforced and which to skip by setting them to False

Default: all checks enabled

[IP: ALLOW, reason:0] Request conforms ProxyPass entry (url="..." host="..."). Passing request to specified host

[IP: ALLOW, reason:2] Peer's IP was added dynamically to a whitelist based on a number of allowed requests

[IP: DROP, reason:1] inbound User-Agent differs from the one defined in C2 profile.

[IP: DROP, reason:2] HTTP header name contained banned word

[IP: DROP, reason:3] HTTP header value contained banned word:

[IP: DROP, reason:4b] peer's reverse-IP lookup contained banned word

[IP: DROP, reason:4e] Peer's IP geolocation metadata contained banned keyword! Peer banned in generic fashion.

[IP: DROP, reason:5] HTTP request did not contain expected header

[IP: DROP, reason:6] HTTP request did not contain expected header value:

[IP: DROP, reason:7] HTTP request did not contain expected (metadata|id|output) section header:

[IP: DROP, reason:8] HTTP request was expected to contain (metadata|id|output) section with parameter in URI:

[IP: DROP, reason:9] Did not found append pattern:

[IP: DROP, reason:10] Did not found append pattern:

[IP: DROP, reason:11] Requested URI does not aligns any of Malleable defined variants:

[IP: DROP, reason:12] HTTP request was expected to contain <> section with URI-append containing prepend/append fragments