关于云函数无法回显的解答

阅读量316323

发布时间 : 2021-05-13 16:30:39

 

前两天笔者写了一篇文章:Red Team 又玩新套路,竟然这样隐藏 C2(https://www.anquanke.com/post/id/239180)

有读者之后反馈,照着文中的方法做,虽然可以上线,但是发送命令不能正常回显。

笔者重新看了一下之后发现,确实存在这个问题,因此写出这篇文章,记录一下定位问题的过程,给出解决方案。

有些童靴可能没时间细看,笔者在此总结下,主要是以下两个问题导致云函数不能正确回显数据:

  1. 云函数自动编码
  2. 增加 post 参数传递

下面,我会详细写出问题的定位流程以及最后的解决方案。

 

问题定位

首先,访问下载配置文件的 URL,发现可以正常下载。通过主机可以正常上线可知,云函数的 get 转发应该是正常的。

打开 beacon 指令页面,发送一下数据看看。

发现出现了如下字样:

这意味着什么呢?意味着被控机已经收到了指令。

指令显示受控机已经呼叫了服务器,且发送了 19 byte 的数据。

但是在返回执行指令的结果数据时,转发出现了问题。

查看受控端发送的 post 数据包如下:

发现受控端正常 post 了数据,云函数也正常返回状态 200。

那应该是云函数出现了问题。

查看了一下云函数的 post 日志:

原来是云函数擅自将 body 字段的数据进行 unicode 编码了。

推测是因为 byte 的二进制字段没办法放入云函数的 dict 字典中。

所以,这里需要修改 post 上传包的 body 字段,自己手动编码一下,然后再解码后转发给 CS 服务器。(解决方案参见下文“修改方法”中的方法一)

再试一下,发现还不行。

再次进行抓包,发现 CS 的上线包 post 是带参数传输的,如图所示:

而我们在云函数中没有传递这个参数,导致虽然受控机接收到了命令,且正确发送了数据,但是云函数转发的时候丢失了这个参数,即 id=85774 这个参数。

在云函数中加上就好了。(解决方案参见下文“修改方法”中的方法一)

这样之后就能正确回显了。

另外,有读者表示,可以直接使用 api 网关进行转发。

这个思路很好,也比较简单,相较于云函数来说更容易部署。

不过笔者没有时间去复现了,不知道会出现什么问题。

云函数有更多的可拓展性,因为原则上来说,云函数可以对数据进行任意变换,甚至可以加解密等,可以对流量有更好的保护。

 

修改方法

// 方法一

1. 开启网关 base64 编码,并在函数中 base64 解码,body=base64.b64decode(body) 。

在网关设置中开启 base64 编码,然后只设定特定 header 触发(不然会把 get 请求也进行 base64 编码)。

然后在函数中解码传输就好了,如下:

2. 增加参数传递函数。

params=event[‘queryString’]
resp=requests.post(cs_server_address+path,headers=headers,data=body,timeout=20,params=params)

如图所示

// 方法二(懒人版)

开启网关 base64 编码,在网关设置中开启 base64 编码,然后只设定特定 header 触发(不然会把 get 请求也进行 base64 编码)。

然后直接复制(云函数)代码到云函数,记得更改自己的上线地址。(关注公众号“微步在线研究响应中心”,回复“云函数”,可获取完整云函数代码。)

 

总结

笔者本意是想通过攻击复现,帮助大家明白 RT 的各种隐藏 C2 的技巧,方便之后做对应的防守策略。

其实,实际过程中 RT 可能使用各种方法综合进行隐匿, 详情可参见:红队攻防基础建设-神隐之路 – 安全客,安全资讯平台,作者依然是我们的老朋友「风起」。

上篇文章发出后,有很多读者选择亲自动手去尝试,这个精神很好!笔者也是看到有些读者有疑问,不想直接无视,所以在某个下午继续探究了下这些问题并做出解答。

然而,不希望大家在尝试成功之后,将该类攻击用作除了 Red vs Blue 外的其他用途。若有用作任何违法用途,与本文无关。互联网并非法外之地,即使使用该方法隐藏 C2,我们依然有方法溯源到人,望耗子尾汁。

本文作者:微步在线情报组,获取完整云函数代码请关注微信公众号“微步在线研究响应中心”,回复关键词【云函数】

本文由微步在线研究响应团队原创发布

转载,请参考转载声明,注明出处: https://www.anquanke.com/post/id/239864

安全客 - 有思想的安全新媒体

分享到:微信
+14赞
收藏
微步在线研究响应团队
分享到:微信

发表评论

内容需知
合作单位
  • 安全客
  • 安全客
Copyright © 北京奇虎科技有限公司 三六零数字安全科技集团有限公司 安全客 All Rights Reserved 京ICP备08010314号-66