转发重定向

搜索文档…
转发重定向
介绍
在部署Cobalt Strike服务器时，我们可能需要前置代理服务器来帮助我们隐藏真实服务器，又或者是进行流量分离防止扫描或主动式的恶意软件探测服务器，再或者是根据目标的不同将其转发到不同的服务器上。
首先我会一次介绍几种重定向的方法
socat
实验环境linux1 C2(192.168.1.215)，linux2 转发(192.168.1.91)，windows目标机
socat转发非常简单只需一条命令
socat TCP4-LISTEN:80,fork TCP4:C2ip:80
一些有用选项
1
-lh将主机名添加到日志消息
2
-v详细数据流量，文本
3
-x详细数据流量，十六进制
4
-d增加详细程度（最多使用4次；建议使用2次）
5
-lf <logfile>记录到文件
Copied!
HTTP Hosts和HTTP Host(Stager)填写转发服务器ip
HTTP Port(C2)填写转发服务器要监听的端口
HTTP Port(Bind)填写C2服务器要监听的端口
转发服务器执行命令
socat -d -d -d -d -lh -v -lf /var/log/socat.log TCP4-LISTEN:80,fork TCP4:C2服务器ip:C2服务器监听Port
将本机80端口的流量直接转发到C2服务器(192.168.1.215)的80端口
socat转发会存在一个问题，就是外部ip会显示为转发服务器的ip，因为socat是原方不动的转发流量
iptables
1
iptables -I INPUT -p tcp -m tcp --dport 转发机监听端口 -j ACCEPT
2
iptables -t nat -A PREROUTING -p tcp --dport 转发机监听端口 -j DNAT --to-destination c2 ip:c2 port
3
iptables -t nat -A POSTROUTING -j MASQUERADE
4
iptables -I FORWARD -j ACCEPT
5
iptables -P FORWARD ACCEPT
6
sysctl net.ipv4.ip_forward=1
Copied!
效果与socat一样不做演示
命令详细使用 https://wangchujiang.com/linux-command/c/iptables.html​
Apache
实验环境linux1 C2(192.168.1.215)，linux2 转发(mywbg.com)，windows目标机
1
apt-get install apache2
2
a2enmod rewrite headers proxy proxy_http ssl cache
3
a2dismod -f deflate
4
a2ensite default-ssl
5
a2dissite 000-default
6
service apache2 reload
Copied!
配置/etc/apache2/sites-enabled/default-ssl.conf 添加如下内容
1
<Directory "/var/www/html">
2
  Options +Indexes +FollowSymLinks +ExecCGI
3
  AllowOverride All
4
  Order allow,deny
5
  Allow from all
6
  Require all granted
7
</Directory>
8
LogLevel alert rewrite:trace5
9
​
10
# Enable SSL
11
SSLEngine On
12
# Enable SSL Proxy
13
SSLProxyEngine On
14
# Trust Self-Signed Certificates generated by CobaltStrike
15
SSLProxyVerify none
16
SSLProxyCheckPeerCN off
17
SSLProxyCheckPeerName off
18
SSLProxyCheckPeerExpire off
Copied!
修改/etc/apache2/ports.conf，注释80端口监听，然后执行以下命令
1
git clone https://github.com/threatexpress/cs2modrewrite
2
cd cs2modrewrite
3
python3 cs2modrewrite.py -i default.profile -c https://192.168.1.215:8080 -r https://www.baidu.com > /var/www/html/.htaccess
4
-i 表示所使用的c2配置文件
5
-c 根据监听器配置设置
6
-r 表示非法访问重定向url
Copied!
Cobalt Strike配置的时候在C2文件里加入如下选项
1
http-config {
2
    set trust_x_forwarded_for "true";
3
}
Copied!
trust_x_forwarded_for 选项决定Cobalt Strike是否使用X-Forwarded-For HTTP头来确定外部ip。使用HTTP重定向器开启此选项，可以让CS显示外部ip的时候不再显示为代理服务器的
以上配置完成后重启apache2访问一下看看是否会自动重定向到百度。
然后启动CS新建监听器，配置如下https hosts和https host(stager)都填写代理服务器ip或域名
​
其他
如果你需要自定义apache ssl证书则需要修改/etc/apache2/sites-enabled/default-ssl.conf
1
SSLCertificateFile	/etc/ssl/certs/ssl-cert-snakeoil.pem
2
SSLCertificateKeyFile /etc/ssl/private/ssl-cert-snakeoil.key
3
#请尽量使用真实的ssl证书
Copied!
以上配置中如果你需要使用http服务来转发你可以不关闭80端口
如果需要修改相关规则可以自行修改/var/www/html/.htaccess
​
Nginx
实验环境linux1 C2(192.168.1.215)，linux2 转发(mywbg.com)，windows目标机
1
apt-get install nginx nginx-extras
2
git clone https://github.com/threatexpress/cs2modrewrite
3
cd cs2modrewrite
4
python3 ./cs2nginx.py -i default.profile -c https://192.168.1.215:8080 -r https://www.baidu.com -H mywbg.com >/etc/nginx/nginx.conf
5
-i 表示所使用的c2配置文件
6
-c 根据监听器配置设置
7
-r 表示非法访问重定向url
8
-H 指向代理主机的域名
Copied!
修改/etc/nginx/nginx.conf
1
#将80端口注释关闭http
2
#listen 80;
3
#listen [::]:80;
4
​
5
#取消443端口注释开启https
6
listen 443 ssl;
7
listen [::]:443 ssl;
8
​
9
#取消ssl证书设置注释配置ssl证书
10
ssl_certificate /root/server.crt;
11
ssl_certificate_key /root/server.key;
Copied!
配置完成后重启nginx，开始配置CS
CS配置C2文件的时候在C2文件里加入如下选项
1
http-config {
2
    set trust_x_forwarded_for "true";
3
}
Copied!
trust_x_forwarded_for 选项决定Cobalt Strike是否使用X-Forwarded-For HTTP头来确定外部ip。使用HTTP重定向器开启此选项，可以让CS显示外部ip的时候不再显示为代理服务器的
Cobalt Strike监听器配置和上面一样不在做演示了
其他
如果你需要使用http服务来转发你可以不关闭80端口，配置证书的时候尽量使用真实的ssl证书
相关规则修改请查看/etc/nginx/nginx.conf
Nginx和apache2细节处理
上面的配置都是基本配置并未处理其他web服务
要处理其他web服务请先在配置apache或nginx时使用真实的SSL以免出现一些因SSL验证导致的错误
使用Scripted Web Delivery (S)时请注意修改nginx.conf或.htaccess
nginx配置里添加对所有以a开头url都进行转发
.htaccess配置里添加对所有以a开头url都进行转发
配置Scripted Web Delivery (S)时我为了方便local Port直接使用和HTTPS监听器相同的端口这样比较方便（注：使用相同的端口需要确保服务相同，HTTPS监听器是Https服务，那么配置Scripted Web Delivery时就必须勾选Enable SSL使用Https，开启Enable SSL必须要先在CS配置文件里配置https-certificate）
因为配置原因使用时把命令行的中的端口删掉即可
cs其他web服务配置参照上面即可
转发器
备忘录：待写
其他
具体怎么设计自己看着来吧我也就随便写写
以前
CS Beacon和监听器
下一个
CDN代理转发
最近更新 1yr ago
复制链接
内容