إنشاء مجموعات قواعد تلقائيًا لـ Apache mod_rewrite أو Nginx لإعادة توجيه HTTP C2 الذكية

يقوم هذا المشروع بتحويل ملف تعريف Cobalt Strike إلى ملف تكوين mod_rewrite .htaccess أو Nginx وظيفي لدعم إعادة توجيه الوكيل العكسي HTTP إلى خادم فريق Cobalt Strike. يوفر استخدام الوكيل العكسي حماية لخوادم C2 الخلفية من التنميط والتحقيق والإشعاع الخلفي العام للإنترنت.

ملاحظة: يجب اختبار الإخراج وضبطه حسب الحاجة قبل النشر، ولكن هذه البرامج النصية يجب أن تتولى المهام الثقيلة.

الميزات

• يتطلب الآن Python 3.0+
• يدعم ميزات URI المخصصة لـ Cobalt Strike اعتبارًا من CS 4.0
• قواعد إعادة الكتابة بناءً على URIs C2 الصالحة (HTTP GET و POST و Stager) وسلسلة وكيل المستخدم المحددة.
  • النتيجة: سيتم توجيه الطلبات فقط إلى نقاط نهاية C2 الصالحة بسلسلة UA محددة افتراضيًا إلى خادم الفريق.
• يستخدم ملف تعريف Malleable C2 مخصص لبناء ملف .htaccess مع قواعد mod_rewrite المقابلة
• يستخدم ملف تعريف Malleable C2 مخصص لبناء تكوين Nginx مع قواعد proxy_pass المقابلة
• الوكيل HTTP أو HTTPS إلى خادم فريق Cobalt Strike
• إعادة توجيه HTTP 302 إلى موقع شرعي للطلبات غير المتطابقة

بدء سريع

مثال havex.profile مضمن لاختبار سريع.

1. تشغيل البرنامج النصي على ملف تعريف
2. حفظ الإخراج إلى .htaccess أو /etc/nginx/nginx.conf على جهاز إعادة التوجيه الخاص بك
3. التعديل حسب الحاجة
4. إعادة تحميل/إعادة تشغيل خادم الويب

مثال استخدام Apache mod_rewrite باستخدام ملف تضمين عن بعد

python3 cs2modrewrite.py -i havex.profile -c https://TEAMSERVER -r https://GOHERE -o /etc/apache2/redirect.rules

مثال لتكوين Apache

<VirtualHost *:80>
    ServerAdmin webmaster@localhost
    DocumentRoot /var/www/html
    RemoteIPHeader X-Forwarded-For

    ErrorLog /var/log/apache2/redirector_error.log
    CustomLog /var/log/apache2/redirector_access.log combined
    ErrorDocument 401 " "
    ErrorDocument 403 " "
    ErrorDocument 404 " "
    ErrorDocument 500 " "
    ErrorDocument 503 " "

    # Include redirect.rules
    Include /etc/apache2/redirect.rules
</VirtualHost>

ضع في اعتبارك تحديث رأس خادم Apache و ServerTokens والتسجيل بشيء مثل التالي.

## Update Apached Server Header, ServerTokens, and logging
echo "Update Update Apached Server Header, ServerTokens, and logging"
sed -i -e 's/\(ServerTokens\s\+\)OS/\1Prod/g' /etc/apache2/conf-enabled/security.conf
sed -i -e 's/\(ServerSignature\s\+\)On/\1Off/g' /etc/apache2/conf-enabled/security.conf
echo "SecServerSignature Server" >> /etc/apache2/conf-enabled/security.conf
echo "LogLevel alert rewrite:trace2" >> /etc/apache2/conf-enabled/security.conf

## Update Apached remoteip.conf
echo "Update Apached remoteip.conf"
echo "RemoteIPHeader X-Forwarded-For" >> /etc/apache2/conf-enabled/remoteip.conf

## Restart apache server
echo "Restart apache server"
systemctl restart apache2

مثال استخدام Apache mod_rewrite باستخدام ملف .htaccess

python3 cs2modrewrite.py -i havex.profile -c https://TEAMSERVER -r https://GOHERE -o /var/www/html/.htaccess

إعداد ونصائح Apache Rewrite

تمكين Rewrite و Proxy

apt-get install apache2
a2enmod rewrite headers proxy proxy_http ssl cache
a2dismod -f deflate
service apache2 reload

ملاحظة: https://bluescreenofjeff.com/2016-06-28-cobalt-strike-http-c2-redirectors-with-apache-mod_rewrite/ "أشار e0x70i في التعليقات أدناه أنه إذا كان ملف تعريف Cobalt Strike Malleable C2 الخاص بك يحتوي على رأس Accept-Encoding لـ gzip، فقد يقوم تثبيت Apache الخاص بك بضغط هذا المرور افتراضيًا ويتسبب في عدم استجابة Beacon أو عمله بشكل غير صحيح. للتغلب على ذلك، قم بتعطيل mod_deflate (عبر a2dismod deflate وأضف علامة No Encode ([NE]) إلى قواعد إعادة الكتابة الخاصة بك. (شكرًا لك، e0x70i!)"

تمكين دعم SSL

تأكد من وجود الإدخالات التالية في تكوين الموقع (أي /etc/apache2/available-sites/*.conf)

# Enable SSL
SSLEngine On
# Enable SSL Proxy
SSLProxyEngine On
# Trust Self-Signed Certificates generated by CobaltStrike
SSLProxyVerify none
SSLProxyCheckPeerCN off
SSLProxyCheckPeerName off
SSLProxyCheckPeerExpire off

.HTACCESS

إذا كنت تخطط لاستخدام mod_rewrite في ملفات .htaccess (بدلاً من ملف تكوين الموقع)، فستحتاج أيضًا إلى تمكين استخدام ملفات .htaccess عن طريق تغيير AllowOverride None إلى AllowOverride All. لجميع مواقع الويب، قم بتحرير /etc/apache2/apache.conf

<Directory /var/www/>
    Options FollowSymLinks MultiViews
    AllowOverride All
    Order allow,deny
    allow from all
</Directory>

أخيرًا، أعد تشغيل Apache مرة أخرى لضمان العمل.

service apache2 restart

استكشاف الأخطاء وإصلاحها

إذا كنت بحاجة إلى استكشاف سلوك قاعدة إعادة التوجيه، فقم بتمكين تتبع الأخطاء التفصيلي في ملف تكوين موقعك بإضافة السطر التالي.

LogLevel alert rewrite:trace5

بعد ذلك، أعد تحميل Apache وراقب /var/log/access.log /var/log/error.log لمعرفة القواعد المتطابقة.

مثال استخدام Nginx

تثبيت Nginx

apt-get install nginx nginx-extras

ملاحظة: nginx-extras ضروري لرؤوس الخادم المخصصة. إذا لم تتمكن من الحصول على هذه الحزمة، فقم بتعليق سطر رأس الخادم في ملف التكوين الناتج.

إنشاء قواعد إعادة التوجيه

احفظ إخراج cs2nginx.py إلى /etc/nginx/nginx.conf وقم بالتعديل حسب الحاجة (معلمات SSL).

python3 ./cs2nginx.py -i havex.profile -c https://127.0.0.1 -r https://www.google.com -H mydomain.local >/etc/nginx/nginx.conf

أخيرًا، أعد تشغيل nginx بعد تعديل ملف تكوين الخادم.

service nginx restart

أفكار نهائية

بمجرد تكوين إعادة التوجيه وعملها، تأكد من أن خوادم C2 الخاصة بك تسمح فقط بالدخول من جهاز إعادة التوجيه وعناوين IP الموثوقة (VPN، نطاقات المكاتب، إلخ).

ضع في اعتبارك إضافة حماية إضافية لجهاز إعادة التوجيه باستخدام قيود GeoIP (mod_maxmind) وقوائم سوداء لوكلاء المستخدمين السيئين ونطاقات IP. شكرًا @curi0usJack على الأفكار.

المراجع

• جوي فيست وأندرو تشايلز - منشور مدونة cs2modrewrite.py

• @bluescreenofjeff - معيدات توجيه Cobalt Strike HTTP C2 مع Apache mod_rewrite

• آدم براون - إعادة توجيه HTTPS مرنة للفريق الأحمر باستخدام Nginx

• Apache - توثيق Apache mod_rewrite