Sleight

Empire HTTP(S) C2 리디렉터 설정 스크립트입니다.

사용법:

Sleight는 3가지 방법으로 사용할 수 있습니다.

1) HTTP 리디렉터 설정:

1. Sleight를 실행하고 Empire 통신 프로필을 입력합니다.
2. Empire C2의 IP 주소와 수신 포트를 입력합니다.
3. HTTPS 프롬프트에 '아니요'라고 답합니다.
4. 잘못된 요청을 모두 리디렉션할 사이트를 입력합니다.
5. 'Host' 속성이 리디렉터의 도메인으로 설정된 Empire HTTP 리스너를 시작합니다.

HTTP 리디렉터 참고 자료:

• https://thevivi.net/2017/11/03/securing-your-empire-c2-with-apache-mod_rewrite/

2) HTTPS 리디렉터 설정:

1. Sleight를 실행하고 Empire 통신 프로필을 입력합니다.
2. Empire C2의 IP 주소와 수신 포트를 입력합니다.
3. HTTPS 프롬프트에 '예'라고 답합니다.
4. 잘못된 요청을 모두 리디렉션할 사이트를 입력합니다.
5. 리디렉터에 할당된 도메인을 입력합니다(Let's Encrypt 인증서 생성용).
6. certbot 프롬프트에 동의합니다.
7. 'Host' 속성이 리디렉터의 도메인으로 설정된 Empire HTTPS 리스너를 시작합니다.

HTTPS 리디렉터 설정 참고 사항:

• 인증서 생성은 리디렉터의 도메인이 성공적으로 전파된 후에만 작동합니다.
• 리디렉터의 도메인에 대해 DOMAIN.com과 www.DOMAIN.com 모두에 DNS 항목이 필요합니다.
• C2 서버에서 HTTPS 리스너를 시작할 때 'CertPath' 속성에 Empire에 포함된 기본 HTTPS 인증서('/empire/data/' 디렉터리에 위치)를 사용할 수 있습니다.

HTTPS 리디렉터 참고 자료:

• https://bluescreenofjeff.com/2018-04-12-https-payload-and-c2-redirectors/
• https://posts.specterops.io/automating-apache-mod-rewrite-and-cobalt-strike-malleable-c2-profiles-d45266ca642

3) 규칙만 사용(설정 없음):

Sleight를 사용하여 Empire 통신 프로필을 mod_rewrite 규칙으로 변환하고 리디렉터를 설정하지 않으려면, 통신 프로필을 입력한 후 "proceed with setup" 프롬프트에 '아니요'라고 답하기만 하면 됩니다.

4) CLI 인자:

Sleight를 비대화형으로 사용하려면 기본 출력에서 명령줄 인자를 확인할 수 있습니다. 시작 시 정의되지 않은 값은 실행 중에 프롬프트로 입력받게 됩니다.

예시:

$ sudo python sleight.py -c profiles/default.txt

$ sudo python sleight.py --modeHTTPS=y --myDomain=3xample.com --ip=My.C2.IP.Address --redirectDomain=example.com -c profiles/default.txt --proceed=n --port=80