wikiz/redguardC2-Front-Flusskontroll-Tool mit JA3/JARM-Fingerabdruck-Randomisierung, Domain-Fronting, malleable C2 Profilvalidierung und IP-Whitelisting, um Blue Teams, AVs, EDRs und Cyberspace-Kartierung zu umgehen.
Englisch | 中文文档
RedGuard, ein abgeleitetes Tool, das auf Command and Control (C2) front flow control Technologie basiert, hat ein leichteres Design, effiziente Traffic-Interaktion und zuverlässige Kompatibilität mit der Entwicklung in der Go-Programmiersprache.Da Cyberangriffe sich ständig weiterentwickeln , werden die Übungen von Red und Blue Teams zunehmend komplexer, RedGuard wurde entwickelt, um eine bessere C2-Kanal-Verstecklösung für das Red Team bereitzustellen, die die Flusskontrolle für den C2-Kanal bereitstellt, den "bösartigen" Analyseverkehr blockiert und die gesamte Angriffsaufgabe besser abschließt.
RedGuard ist ein C2 Front Flow Control Tool, das Blue Team, AVS, EDR, Cyberspace Search Engine Erkennungen vermeiden kann.
Sie können die kompilierte Version direkt herunterladen und verwenden, oder Sie können das Go-Paket remote herunterladen, um es unabhängig zu kompilieren und auszuführen.```bash git clone https://github.com/wikiZ/RedGuard.git cd RedGuard
go build -ldflags "-s -w" -trimpath
chmod +x ./RedGuard&&./RedGuard
# 0x02 Konfigurationsbeschreibung
## Initialisierung
Wie in der folgenden Abbildung gezeigt, setzen Sie die ausführbaren Berechtigungen und initialisieren Sie RedGuard. Der erste Start generiert eine Konfigurationsdatei im Home-Verzeichnis des aktuellen Benutzers, um eine flexible Funktionskonfiguration zu erreichen. Konfigurationsdateiname: **.RedGuard_CobaltStrike.ini**.
**Inhalt der Konfigurationsdatei:**
Die Konfigurationsoptionen von cert dienen hauptsächlich der Konfigurationsinformationen der SSL-Zertifikat-verschlüsselten HTTPS-Kommunikation zwischen der Probe und der C2-Frontinfrastruktur. Der Proxy wird hauptsächlich verwendet, um die Steuerungsoptionen im Reverse-Proxy-Verkehr zu konfigurieren. Die spezifische Verwendung wird unten ausführlich erklärt.
Die SSL-Zertifikat-verschlüsselte HTTPS-Kommunikation wird im cert-rsa/ Verzeichnis unter dem Verzeichnis, in dem RedGuard ausgeführt wird, generiert. Sie können die grundlegenden Funktionen des Tools starten und stoppen, indem Sie die Konfigurationsdatei ändern **(die Seriennummer des Zertifikats wird gemäß dem Zeitstempel generiert, machen Sie sich keine Sorgen, mit dieser Funktion in Verbindung gebracht zu werden)**. Wenn Sie Ihr eigenes Zertifikat verwenden möchten, benennen Sie sie einfach in ca.crt und ca.key um.```bash
openssl x509 -in ca.crt -noout -text
Zufällige TLS-JARM-Fingerabdrücke werden jedes Mal aktualisiert, wenn RedGuard gestartet wird, um zu verhindern, dass dies zur Authentifizierung der C2-Infrastruktur verwendet wird.
Falls Sie Ihr eigenes Zertifikat verwenden, ändern Sie den HasCert-Parameter in der Konfigurationsdatei auf true, um normale Kommunikationsprobleme zu vermeiden, die durch die Inkompatibilität der CipherSuites-Verschlüsselungssuite mit dem benutzerdefinierten Zertifikat aufgrund der JARM-Verschleierungsrandomisierung verursacht werden.```bash
HasCert = false
### Gefälschte TLS-Zertifikate
Beim Einsatz von Domain Fronting zur Verschleierung von C2-Traffic besitzt der beschleunigte Domainname standardmäßig keine HTTPS-Zertifikatinformationen. Dies ist offensichtlich problematisch, daher muss bei der Konfiguration des Domainnamens auf die Zertifikatseinrichtung geachtet werden. Dies ist auch die Standardgrundlage für die Bestimmung, ob es sich bei der Probe um Domain-Frontend-Traffic handelt.
[^Tencent Cloud]: Konfiguration des Content-Delivery-Network-Zertifikats