Cobalt Strike域前置反溯源

域前置（英语：Domain fronting）

准备工作:

• 非腾讯云、阿里云之类的VPS

• 域名

Ps:

    问：为什么不能用腾讯云和阿里云之类的VPS呢？
    答：如需要绑定域名，那就必须得备案！

    问：如何获取非腾讯云、阿里云之类的VPS？

    答：因为我买过    非广告（https://www.zhaomu.com）

    问：那我有了Vps，域名怎么办？

    答：因为我买过    非广告（https://account.godaddy.com/）

    问：买完域名之后还需要做什么？

    答：将购买域名的托管转到（https://dash.cloudflare.com/）

                      OK,问题回答完毕！！！

          大家可以先去准备这些前期需要的东西

按照我的理解，我画了两张图片，以供大家参考：

正常的数据包走向

域前置的数据包走向

确当真的准备好了吗？那就开始!!!

 cloudflare操作：

1.添加站点

2.填写你购买的域名    

3.选择免费的套餐

4.上一步完成之后往s里等，等出这个界面就继续操作,填写完成之后，点击保存后在点继续！！！

5.将cloudflare提供的服务器填入godaddy中，到这一步就换到godaddy

 godaddy操作：

1.网域

2.管理DNS

3.名称服务器

4.填入刚刚提供的cloudflare域名服务器

godaddy就不用管了，已经将购买的域名托管给cloudflare了

 cloudflare操作：

1.全部关闭后点击完成    

从godaddy转到cloudflare需要一点时间，继续等待

等待期间可以用多地ping来看你的域名是否解析成功

（https://ping.chinaz.com）

因为之前我测试的原因，绑定了127.0.0.1的ip，所以出现的这个问题

不过不用担心，后续就会全部变成解析服务器的ip了

多地ping能解析之后，返回cloudflare刷新一下页面，提示以下表示完成

2.选择完全

3.开启这两个按钮

4.创建证书将其命名为：server.pem和server.key（保持至本地）

Cobalt_Strike操作：

1.将文件放置linux系统与CS同目录

2.输入以下代码，会多一个cs.store文件

openssl pkcs12 -export -in server.pem -inkey server.key -out spoofdomain.p12 -name 域名 -passout pass:密码

keytool -importkeystore -deststorepass 密码 -destkeypass 密码 -destkeystore cs.store -srckeystore spoofdomain.p12 -srcstoretype PKCS12 -srcstorepass 密码 -alias 域名

3.修改profile

(https://github.com/threatexpress/malleable-c2)

根据自己需要下载对应版本，我的cs是4.5的所以我使用jquery-c2.4.5.profile

下载到本地之后，需要修改一些配置

4.修改teamserver文件，对照之前输入的命令进行修改

5.启动cs服务端

./teamserver vps 密码 ./jquery-c2.4.5.profile

6.生成监听器和payload

找到：Scripted Web Delivery (S）

接下来就差上线了  自己看着办吧，上线就教不了了！！！

原文始发于微信公众号（零攻防）：Cobalt Strike域前置反溯源