⚠️ 注意：此工具不再处于积极维护状态。

DoHC2

DoHC2 允许通过 HTTPS 上的 DNS (DoH) 利用 Ryan Hanson 的 ExternalC2 库 (https://github.com/ryhanson/ExternalC2) 进行命令与控制 (C2)。该项目专为流行的对抗模拟与红队操作软件 Cobalt Strike (https://www.cobaltstrike.com) 而构建。

演示

该项目于 2018 年 10 月 23 日在 Mitre ATT&CKcon 上发布。

幻灯片： 用 ATT&CK 与安全举措唱反调

博客文章： DOH！DNS Over HTTPS 可能给企业带来风险

图示

用法

1. 安装并启动 Cobaltstrike teamserver。
2. 启动一个 beacon_http/beacon_https 监听器 - 注意 这个可以被防火墙隔离，但你需要它才能让 External C2 正常工作。
3. 加载脚本 'external_c2.cna' 来启动 ExternalC2 端口 2222（关闭防火墙）。
4. 为 python3 服务器安装依赖。
5. 允许 53/udp 端口访问互联网（或访问 DoH 提供商的 IP 范围）。
6. 在你的域名上创建一个 A 记录，指向 teamserver/DNS 服务器 IP，即 [A] entry.example.org -> 000.000.000.000
7. 创建一个 NS 记录，指向用于发送通道 (INPUTDOMAIN) 的 A 记录，即 [NS] send.example.org -> entry.example.org。
8. 创建一个 NS 记录，指向用于接收通道 (OUTPUTDOMAIN) 的 A 记录，即 [NS] receive.example.org -> entry.example.org。
9. 在 DoHC2.py 中更改 INPUTDOMAIN 和 OUTPUTDOMAIN。更改加密密钥/IV - 这用于加密从 Teamserver 到客户端的路径（仅加密 Stager）。根据 DoH 提供商将 max_records 从 1 更改，某些提供商会重新排序返回的记录，目前尚未处理。DNS 服务器使用最大值 5 效果良好。