【蓝队技能】【C2流量分析】MSF&CS&Sliver

蓝队技能


MSF&CS&Sliver


总结


前言

不同C2工具的流量特征都有细微差别,学会分析方法后就可以进行分析


一、MSF

1.1 流量分析

MSF流量特征过于明显,看如下这篇文章即可
MSF流量分析

1.2 特征提取

  1. 结果以明文方式显示在流量中(TCP明文)
  2. 响应流量中存在MZ,DOS等特殊字段(TCP密文)
  3. 固定的请求头和响应头(HTTP)
  4. 固定的JA3和JA3S的特征值(HTTPS)

二、CS

1.1 流量分析

首先上线CS,然后进行抓包










1.2 特征提取

HTTP:

  1. 固定的数据包头
bash 复制代码
GET /cx HTTP/1.1
Accept: */*
Cookie: bdzPTdzddRyt8AtQGdzr+KRL8ELTYDxGwRBe1bbadiMeqzoQv8RzS+WrkPvInIXiUun/YnVPlpkrKLYgeGSrI8Dth0UMYPqZopauQTHqvQ5tRxOTQGiA2i8RIsArr5L1UEnFQEcLRXBmZ+QbR+Qizq+rIfUxxoxJMoeIckJNSdw=
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; WOW64; Trident/5.0; Avant Browser)
Host: 192.168.189.128:1111
Connection: Keep-Alive
Cache-Control: no-cache

HTTP/1.1 200 OK
Date: Wed, 16 Oct 2024 12:42:39 GMT
Content-Type: application/octet-stream
Content-Length: 0
  1. 路径的checksum8算法(路径算出来是92或者93)
java 复制代码
public class EchoTest {
    public static long checksum8(String text) {
        if (text.length() < 4) {
            return 0L;
        }
        text = text.replace("/", "");
        long sum = 0L;
        for (int x = 0; x < text.length(); x++) {
            sum += text.charAt(x);
        }

        return sum % 256L;
    }

    public static void main(String[] args) throws Exception {
        System.out.println(checksum8("Yle2"));
    }
}
  1. 心跳包解析

获取文件后使用工具进行分析(https://github.com/DidierStevens/DidierStevensSuite)

HTTPS

  1. 证书特征(.store)

  2. 源码特征(ja3,ja3s)
    client hello 4d5efa96609dc906f796e63cff009c2a db36bad574044a5104a59b0c676991ef
    server hello 15af977ce25de452b96affa2addb1036 2253c82f03b621c5144709b393fde2c9
    CS详细流量分析

二、Sliver

1. 特征分析

HTTP:

  1. 路径特征:server\configs\http-c2.go
  2. 固定url路径
  3. 参数名称的构造规律
  4. 参数值的长度及规律
  5. sessionID/Cookie的交换
  6. Cookie的名称生成、cookie值的长度及规律

根据路径文件名,后缀,cookie这些信息到源码里面的数组随机组合配合分析排查

HTTPS:

  1. ja3/ja3s(19e29534fd49dd27d09234e639c4057e,f4febc55ea12b31ae17cfb7e614afda8)

相关推荐
安全系统学习4 小时前
网络安全之SQL RCE漏洞
安全·web安全·网络安全·渗透测试
聚铭网络9 小时前
案例精选 | 某省级税务局AI大数据日志审计中台应用实践
大数据·人工智能·web安全
GLAB-Mary10 小时前
AI会取代网络工程师吗?理解AI在网络安全中的角色
网络·人工智能·web安全
galaxylove13 小时前
Gartner发布最新指南:企业要构建防御性强且敏捷的网络安全计划以平衡安全保障与业务运营
网络·安全·web安全
mooyuan天天21 小时前
DVWA靶场通关笔记-文件上传(Medium级别)
web安全·文件上传·文件上传漏洞·dvwa靶场·文件上传mime
速盾cdn1 天前
速盾:高防CDN还有哪些冷知识?
网络·web安全
m0_738120721 天前
玄机——某学校系统中挖矿病毒应急排查
网络·安全·web安全
浩浩测试一下10 天前
渗透测试指南(CS&&MSF):Windows 与 Linux 系统中的日志与文件痕迹清理
linux·运维·windows·安全·web安全·网络安全·系统安全
安全系统学习10 天前
【网络安全】DNS 域原理、危害及防御
算法·安全·web安全·网络安全·哈希算法
我看就这样吧11 天前
内网提权-脏牛提权(Metasploitable2)
web安全