redi

HTTP RATs (CobaltStrike Beacon, meterpreter, आदि) और CobaltStrike DNS Beacon के साथ संगत स्वचालित रीडायरेक्टर सेटअप। यह स्क्रिप्ट या तो nginx रिवर्स प्रॉक्सी, या dnsmasq का उपयोग करके DNS प्रॉक्सी/फ़ॉरवर्डर सेट कर सकती है। यदि HTTPS चुना गया है, तो यह स्वचालित रूप से letsencrypt certbot सेट करेगी और आपके रीडायरेक्टर डोमेन नाम के लिए वैध letsencrypt SSL प्रमाणपत्र प्राप्त करेगी, और उत्पन्न कॉन्फ़िगरेशन का उपयोग करके nginx प्रारंभ करेगी।

रिवर्स प्रॉक्सी विधि एक से अधिक रीडायरेक्टर सेट करने की अनुमति देती है, जिनमें से प्रत्येक के पास अपना स्वयं का वैध प्रमाणपत्र होता है, सभी एक ही CobaltStrike HTTPS stager/listener की ओर इशारा करते हैं, भले ही CobaltStrike self-signed/untrusted प्रमाणपत्र का उपयोग कर रहा हो।

स्क्रिप्ट द्वारा उत्पन्न nginx कॉन्फ़िगरेशन को संशोधित करके अतिरिक्त सुविधाएँ जोड़ना भी संभव है। उदाहरण के लिए, आप केवल उस ट्रैफ़िक को प्रॉक्सी करना चुन सकते हैं जो आपके CobaltStrike malleable c2 प्रोफ़ाइल से मेल खाता है और अन्यथा एक स्थिर पृष्ठ या एक अलग प्रॉक्सी प्रदान कर सकते हैं। कॉन्फ़िगरेशन original source IP जोड़ने के लिए user-agent हेडर को संशोधित करता है ताकि आप इसे सीधे अपने CobaltStrike web logs में देख सकें (नीचे चित्र देखें)।

कुछ कॉन्फ़िगरेशन समायोजन के साथ आप beacon के HTTPS ट्रैफ़िक को teamserver के HTTP listener पर SSL offload भी कर सकते हैं!

लाभ

• letsencrypt certbot का उपयोग करके HTTPS के लिए स्वचालित SSL सेटअप।
• स्वचालित nginx और dnsmasq कॉन्फ़िगरेशन।
• HTTP रीडायरेक्टर के लिए एक्सेस लॉग (डिफ़ॉल्ट nginx लॉग)।
• nginx कॉन्फ़िगरेशन को अनुकूलित करके HTTP हेडर पर बेहतर नियंत्रण।
• एक से अधिक वैध HTTPS रीडायरेक्टर सेटअप की अनुमति देता है।
• आसान ट्रैकिंग के लिए user-agent हेडर में original source ip जोड़ता है।
• कोई port bending आवश्यक नहीं है।
• SSL offloading संभव है, ताकि आप backend HTTP listener पर SSL beacon पहुंचा सकें !! (विशेष सेटअप की आवश्यकता है)।

उपयोग कैसे करें

git clone https://github.com/taherio/redi.git
cd redi
chmod u+x redi.sh
./redi.sh <redirector domain> <teamserver ip/domain> <http/https>

#alternatively for dns redirector
./redi.sh <teamserver ip> dns

एक से अधिक डोमेन के साथ HTTPS रीडायरेक्टर सेट करने का उदाहरण

./redi.sh first.myredirector.ca,second.myredirector.ca,third.myredirector.ca myteamserver.com https

HTTPS रीडायरेक्टर सेट करने का उदाहरण

./redi.sh myredirector.ca myteamserver.com https

DNS रीडायरेक्टर सेट करने का उदाहरण

./redi.sh 192.0.0.1 dns

उत्पन्न HTTPS कॉन्फ़िग का नमूना

server {
    listen 443 ssl;
    server_name myredirector.ca;

    ssl on;
    ssl_certificate 	/etc/letsencrypt/live/myredirector.ca/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/myredirector.ca/privkey.pem;

    location / {
        proxy_pass         https://myteamserver.com:443/;
        proxy_redirect     off;
        proxy_set_header   Host             $host;
        proxy_set_header   "User-Agent" "${http_user_agent} - Original IP ${remote_addr}";
    }
}