Для получения дополнительной информации об использовании инструмента вы можете посетить вики проекта.

Спонсоры

_{Хотите разместить свою рекламу здесь? Свяжитесь со мной}

Возможности

• Высоко настраиваемый и конфигурируемый конвейер фильтров с булевой комбинацией правил позволит скрыть вашу инфраструктуру от самых зорких синих глаз.
• Легко расширяемая структура проекта — каждый может добавить правила для своего C2.
• Интегрированный и курируемый огромный чёрный список IPv4 пулов и диапазонов, связанных с поставщиками ИТ-безопасности, в сочетании с IP-фильтром, чтобы запретить им использовать/атаковать вашу инфраструктуру.
• Парсер профилей Malleable C2 позволяет проверять входящий HTTP(s) трафик на соответствие конфигу Malleable и отклонять непроверенные пакеты.
• Встроенная поддержка domain fronting позволяет немного дополнительно скрыть вашу инфраструктуру.
• Возможность проверять IPv4-адрес запроса по данным IP-геолокации/обратного поиска и сравнивать с указанными регулярными выражениями, чтобы исключать пиров, подключающихся из неразрешённых компаний, стран, городов, доменов и т.д.
• Все входящие запросы могут быть разрешены/запрещены на любой период времени, так что вы можете настроить фильтры рабочего времени.
• Поддержка нескольких прокси с различными конвейерами фильтров в одном экземпляре BounceBack.
• Подробный механизм логирования позволяет отслеживать все входящие запросы и события для анализа поведения синих команд и отладки проблем.

Правила

Основная идея правил — как BounceBack сопоставляет трафик. Инструмент в настоящее время поддерживает следующие типы правил:

• Булевы комбинации правил (and, or, not)
• Анализ IP и подсетей
• Проверка полей геолокации IP
• Зонд обратного поиска доменов
• Сопоставление сырых пакетов с регулярными выражениями
• Проверка трафика по профилям Malleable C2
• Правило рабочего (или нерабочего) времени

Пользовательские правила могут быть легко добавлены: просто зарегистрируйте свой RuleBaseCreator или RuleWrapperCreator. Смотрите уже созданные RuleBaseCreators и RuleWrapperCreators

Страница конфигурации правил находится здесь.

Прокси

Раздел прокси используется для настройки того, где слушать и проксировать трафик, какой протокол использовать и как объединять правила для фильтрации трафика. На данный момент BounceBack поддерживает следующие протоколы:

• HTTP(s) для вашей веб-инфраструктуры
• DNS для ваших DNS-туннелей
• Сырой TCP (с tls или без) и UDP для пользовательских протоколов

Пользовательские протоколы могут быть легко добавлены: просто зарегистрируйте новый тип в менеджере. Примеры реализаций прокси можно найти здесь.

Страница конфигурации прокси находится здесь.

Установка

Просто загрузите последний релиз со страницы релизов, распакуйте его, отредактируйте файл конфигурации и вперёд.

Если вы хотите собрать из исходников, клонируйте репозиторий (не забудьте про GitLFS), установите goreleaser и выполните:

Использование

1. (Опционально) Обновите список banned_ips.txt:

   root@kitploit:~

   bash scripts/collect_banned_ips.sh > data/banned_ips.txt
   

2. Измените config.yml под свои нужды. Настройте правила для сопоставления трафика, прокси для анализа трафика с использованием правил и глобальные параметры для глубокой настройки правил.

3. Запустите BounceBack:

   root@kitploit:~

   ./bounceback
   

   Использование BounceBack:
   -c, --config string Путь к файлу конфигурации в формате YAML (по умолчанию "config.yml")
   -l, --log string Путь к файлу лога (по умолчанию "bounceback.log")
   -v, --verbose count Подробность логирования (0 = info, 1 = debug, 2+ = trace)