RedCaddy

Redirecteur C2 basé sur caddy

Table des matières

• Aperçu
• Fonctionnalités
• Remarque
• Démarrage rapide
• Étape par étape
• Références

Aperçu

Génère un caddyfile avec des profils C2 malléables

Fonctionnalités

• Bloque les IP par pays GEOIP
• Autorise les requêtes par correspondance d'en-têtes
• Liste noire des user-agents et des IP
• Prend en charge plusieurs redirections
• Warden du port TeamServer

Remarque

• Le « redwarden_parser.py » sous modules provient de RedWarden par mgeeky
• Beaucoup d'inspiration de cet article : 🇬🇧 Carrying the Tortellini's golf sticks
• Listes noires d'IP provenant des IP Blacklists de RedGuard
• Listes noires de User-Agent provenant des UA blacklists de mitchellkrogza
• self-signed-cert.py modifié à partir de CarbonCopy

Démarrage rapide

• Générer un certificat auto-signé
• Compiler le caddy personnalisé avec les modules spécifiques (optionnel)
• Assurez-vous que set trust_x_forwarded_for "true"; est déjà activé dans le profil C2 malléable
• Copiez votre profil C2 malléable dans RedCaddy
• Ajoutez vos règles de redirection dans des fichiers (par ex. chains.list)
• Enfin, générez le Caddyfile avec le vilain script python.

Étape par étape

• 1. Générez des certificats auto-signés avec « self-signed-cert.py » :
  python3 self-signed-cert.py -t [Https Server]
  Comme vous pouvez le voir, les localhost.* sont générés dans core/cert-out
  

• 2. Activez set trust_x_forwarded_for "true"; dans le profil C2 malléable
  

• 3. En-têtes Host & Referer à définir dans chaque bloc client du profil C2 malléable
  ⚠️ Remarque : le faux sous-domaine doit exister dans l'attribut SAN (subject alternative name) des certificats auto-signés
  

• 4. Copiez le profil C2 dans RedCaddy
  J'utilise threatexpress‘s jquery-c2.4.3.profile comme démonstration
  

• 5. Modifiez les règles de redirection dans « chains.list »
  signifie que le trafic entrant sur le port *:443 est redirigé vers localhost (backend C2)

git clone https://github.com/XiaoliChan/RedCaddy-core.git
cd cmd/caddy
go get github.com/aksdb/caddy-cgi/v2
go get github.com/XiaoliChan/caddy-maxmind-geolocation@self
CGO_ENABLED=0 go build
upx --best --lzma caddy

• Q : Pourquoi ne pas utiliser le format json ou yaml ?
  R : Désolé, je ne sais pas écrire de caddyfile au format json/yaml.

• Q : Peut-on répondre avec un 404 pour les routes non correspondantes ?
  R : Eh bien, caddy ne peut pas faire ça ¯\(ツ)/¯.

Références

• Parseur de profil Malleable C2
• 🇬🇧 Carrying the Tortellini's golf sticks
• Cobalt stagger
• Comment créer des certificats auto-signés
• Contrôle d'accès Caddy