RedCaddy

Redirecionador C2 baseado em caddy

Índice

• Visão geral
• Recursos
• Nota
• Início rápido
• Passo a passo
• Referências

Visão geral

Gera caddyfile com perfis maleáveis de C2

Recursos

• Bloquear IP por país GEOIP
• Permitir requisições por correspondência de cabeçalho
• Lista negra de User-Agent & IP
• Suportar múltiplos redirecionamentos
• Warden de porta do TeamServer

Nota

• O "redwarden_parser.py" em modules é de RedWarden por mgeeky
• Muita inspiração deste artigo: 🇬🇧 Carregando os tacos de golfe do Tortellini
• Listas negras de IP provenientes de RedGuard's IP Blacklists
• Listas negras de User-Agent provenientes de mitchellkrogza's UA blacklists
• self-signed-cert.py modificado a partir de CarbonCopy

Início rápido

• Gere certificado autoassinado
• Compile o caddy personalizado com módulos específicos (opcional)
• Certifique-se de que set trust_x_forwarded_for "true"; já esteja habilitado no perfil maleável de C2
• Copie seu perfil maleável de C2 para o RedCaddy
• Adicione suas regras de redirecionamento em arquivos (Ex.: chains.list)
• Por fim, gere o Caddyfile com o horrível script python.

Passo a passo

• 1. Gere certificados autoassinados com "self-signed-cert.py" :
  python3 self-signed-cert.py -t [Https Server]
  Como você pode ver, localhost.* são gerados em core/cert-out
  

• 2. Habilite set trust_x_forwarded_for "true"; no perfil maleável de C2
  

• 3. Os cabeçalhos Host & Referer precisam ser definidos em cada bloco de cliente do perfil maleável de C2
  ⚠️ Nota: o subdomínio falso deve existir no atributo SAN (subject alternative name) dos certificados autoassinados
  

• 4. Copie o perfil C2 para o RedCaddy
  Eu uso threatexpress‘s jquery-c2.4.3.profile como demonstração
  

• 5. Edite as regras de redirecionamento em "chains.list"
  443:https:192.168.128.64:10001 significa que o tráfego de entrada da porta *:443 é redirecionado para o localhost (backend C2)

git clone https://github.com/XiaoliChan/RedCaddy-core.git
cd cmd/caddy
go get github.com/aksdb/caddy-cgi/v2
go get github.com/XiaoliChan/caddy-maxmind-geolocation@self
CGO_ENABLED=0 go build
upx --best --lzma caddy

• P: Por que não usar formato json ou yaml?
  R: Desculpe, não sei como escrever caddyfile em formato json/yaml.

• P: É possível responder 404 para rotas sem correspondência?
  R: Bem, o caddy não consegue fazer isso ¯\(ツ)/¯.

Referências

• Parser de perfil C2 maleável
• 🇬🇧 Carregando os tacos de golfe do Tortellini
• Cobalt stagger
• Como criar certificados autoassinados
• Controle de acesso do Caddy