टीएलएस 1.3 पर आधारित फ्रंट-एंड डोमेन। भाग २

परिचय

लेख के पहले भाग में , हमने एन्क्रिप्टेड SNI (eSNI) तंत्र का संक्षिप्त विवरण दिया। उन्होंने दिखाया कि कैसे, इसके आधार पर, आधुनिक डीपीआई सिस्टम (बीलाइन डीपीआई का उपयोग करके और उदाहरण के लिए आईएलवी रूटरक्राइब का उपयोग करके) का पता लगाना संभव है, साथ ही इस तंत्र के आधार पर डोमेन फ्रंट-एंड के एक नए संस्करण की खोज करना।

लेख के दूसरे भाग में, हम और अधिक व्यावहारिक चीजों की ओर बढ़ेंगे जो RedTeam अपने कठिन काम में विशेषज्ञों के लिए उपयोगी होंगे। अंत में, हमारा लक्ष्य अवरुद्ध संसाधनों तक पहुँच प्राप्त करना नहीं है (ऐसी सामान्य बातों के लिए, हमारे पास एक अच्छा पुराना वीपीएन है)। सौभाग्य से, बहुत सारे वीपीएन प्रदाता हैं, जैसा कि वे कहते हैं, हर स्वाद, रंग और बजट के लिए।

हम आधुनिक RedTeam टूल के लिए डोमेन-फ्रोन्टिंग तंत्र को लागू करने की कोशिश करेंगे, उदाहरण के लिए, जैसे कोबाल्ट स्ट्राइक, एम्पायर इत्यादि, और उन्हें आधुनिक सामग्री फ़िल्टरिंग सिस्टम की नकल करने और उसे विकसित करने के लिए अतिरिक्त अवसर प्रदान करते हैं।

पिछली बार, हमने ओपनएसएसएल पुस्तकालय में ईएसएनआई तंत्र को लागू किया था और इसे परिचित कर्ल उपयोगिता में सफलतापूर्वक उपयोग किया था। लेकिन एक कर्ल, जैसा कि वे कहते हैं, पूर्ण नहीं होगा। बेशक, मैं उच्च-स्तरीय भाषाओं में कुछ इसी तरह लागू करना चाहता हूं। लेकिन, दुर्भाग्य से, नेटवर्क की विशालता की एक सरसरी खोज हमें निराश करती है, क्योंकि eSNI तंत्र के लिए समर्थन केवल GOLANG में पूरी तरह से लागू है। इस प्रकार, हमारी पसंद बहुत बड़ी नहीं है: हम या तो शुद्ध C या C ++ में लिखे गए OpenSSL लाइब्रेरी का उपयोग करते हुए लिखते हैं, या हम CloudFlare से एक अलग GOLANG कांटा का उपयोग करते हैं और वहां अपने टूल को पोर्ट करने का प्रयास करते हैं। सिद्धांत रूप में, एक और विकल्प है, अधिक क्लासिक, लेकिन समय लेने वाली भी - अजगर के लिए ईएसएनआई समर्थन को लागू करना है। आखिरकार, https के साथ काम करने के लिए भी पायथन ओपनएसएसएल का उपयोग करता है। लेकिन हम इस विकल्प को किसी और के लिए विकास के लिए छोड़ देंगे, और हम गोलंग पर कार्यान्वयन के साथ संतुष्ट रहेंगे, खासकर जब से हमारे प्रिय कोबाल्ट स्ट्राइक तीसरे पक्ष के उपकरण (बाहरी सी 2 चैनल) द्वारा निर्मित संचार चैनल के साथ काम करने में सक्षम हैं - हम लेख के अंत में इस बारे में बात करेंगे।

कठिन प्रयास करें ...

Go पर लागू किए गए उपकरणों में से एक नेटवर्क के अंदर पिवट करने के लिए हमारा विकास है - रस्कोस्टुन ट्यूनर , जो कि संयोगवश, अब Microsoft और Symantec टूल द्वारा बहुत दुर्भावनापूर्ण सॉफ़्टवेयर के रूप में पाया जाता है जिसका उद्देश्य विश्व स्थिरता का उल्लंघन करना है ...



इस मामले में पिछले विकास का उपयोग करना बहुत अच्छा होगा। लेकिन यहां एक छोटी सी समस्या पैदा होती है। तथ्य यह है कि rsockstun शुरू में सर्वर के साथ एक तुल्यकालिक एसएसएल संचार चैनल के उपयोग का अर्थ है। इसका मतलब है कि कनेक्शन एक बार स्थापित है और सुरंग संचालन की पूरी अवधि के लिए मौजूद है। और, जैसा कि आप समझते हैं, https प्रोटोकॉल ऑपरेशन के इस तरीके के लिए डिज़ाइन नहीं किया गया है - यह अनुरोध-प्रतिक्रिया मोड में काम करता है, जहां प्रत्येक नया http-अनुरोध एक नए tcp कनेक्शन के ढांचे के भीतर मौजूद होता है।

इस योजना का मुख्य नुकसान यह है कि सर्वर तब तक क्लाइंट को डेटा ट्रांसफर नहीं कर सकता है जब तक कि क्लाइंट एक नया http अनुरोध नहीं भेजता है। लेकिन, सौभाग्य से, इस समस्या को हल करने के लिए कई विकल्प हैं - http प्रोटोकॉल के माध्यम से डेटा स्ट्रीमिंग करना (अंत में, हम किसी तरह अपने पसंदीदा टीवी शो देखते हैं और https पर चलने वाले पोर्टल्स से संगीत सुनते हैं, और वीडियो और ऑडियो ट्रांसमिशन वह नहीं है स्ट्रीमिंग डेटा के अलावा)। Http प्रोटोकॉल पर एक पूर्ण tcp कनेक्शन के संचालन का अनुकरण करने के लिए तकनीकों में से एक WebSockets प्रौद्योगिकी है, जिसका मुख्य सार क्लाइंट और वेब सर्वर के बीच पूर्ण नेटवर्क कनेक्शन का संगठन है।

हमारी किस्मत (hooray hooray !!!) के लिए, यह तकनीक डिफ़ॉल्ट रूप से सभी CloudFlare टैरिफ योजनाओं में शामिल है और eSNI के साथ संयोजन में महान काम करती है। यह वही है जो हम अपनी सुरंग को डोमेन-मोर्चों का उपयोग करने और आधुनिक डीपीआई से छिपाने के लिए सिखाने के लिए उपयोग करेंगे।

WebSockets के बारे में थोड़ा सा

सबसे पहले, हम संक्षेप में और सरल शब्दों में वेब सॉकेट्स के बारे में बताएंगे ताकि सभी को इस बात का अंदाजा हो कि हम किसके साथ काम करेंगे।

वेब सॉकेट तकनीक आपको स्थापित tcp कनेक्शन को तोड़ने के बिना एक नेटवर्क सॉकेट पर मानक स्ट्रीमिंग डेटा पर http कनेक्शन से अस्थायी रूप से स्विच करने की अनुमति देता है। जब कोई ग्राहक वेब सॉकेट पर स्विच करना चाहता है, तो वह अपने http अनुरोध में कई http हेडर सेट करता है। दो आवश्यक हेडर हैं कनेक्शन: अपग्रेड और अपग्रेड: वेबस्कैट । यह वेबसोकेट प्रोटोकॉल संस्करण ( Sec-Websockset-Version: 13 ) और बेस 64 वेब सॉकेट आइडेंटिफायर ( Sec-WebSocket-Key: DAGDJSiREI3 + KjDwwxm1FA == ) जैसा कुछ भी मजबूर कर सकता है। सर्वर http-कोड 101 स्विचिंग प्रोटोकॉल के साथ प्रतिक्रिया करता है और कनेक्शन, अपग्रेड और सेक-वेब-सॉकेट- हेडर भी सेट करता है। स्विचिंग प्रक्रिया नीचे स्क्रीनशॉट में सचित्र है:



उसके बाद, WebSocket कनेक्शन को पूरा माना जा सकता है। क्लाइंट और सर्वर दोनों का कोई भी डेटा अब http के साथ नहीं, बल्कि WebSocket हेडर (वे बाइट 0x82 से शुरू होता है) के साथ सप्लाई किया जाएगा। डेटा को स्थानांतरित करने के लिए अब सर्वर को क्लाइंट से अनुरोध के लिए प्रतीक्षा करने की आवश्यकता नहीं है tcp कनेक्शन टूटा नहीं है।

वेब सॉकेट सॉकेट्स गिरोह में कई पुस्तकालय हैं। इनमें से सबसे लोकप्रिय गोरिल्ला वेबस्केट और मानक वेबसोकेट हैं । हम बाद का उपयोग करेंगे, क्योंकि यह सरल, छोटा और काम करता है, जैसा कि वे कहते हैं, थोड़ा तेज।

Rsockstun क्लायंट कोड में, हमें नेटवर्थ या tls.dial कॉल्स को संबंधित वैबसाइट सॉकेट से बदलना होगा:





हम अपनी सुरंग के ग्राहक को सार्वभौमिक बनाना चाहते हैं और दोनों को प्रत्यक्ष ssl कनेक्शन और WebSockset प्रोटोकॉल के माध्यम से काम करने में सक्षम बनाते हैं। ऐसा करने के लिए, हम एक अलग फ़ंक्शन func connectForWsSocks (एड्रेस स्ट्रिंग, प्रॉक्सी स्ट्रिंग) त्रुटि {...} को connectForSocks () के साथ बनाएंगे और हम इसका उपयोग वेब सॉकेट्स के साथ काम करने के लिए करेंगे यदि सर्वर शुरू होने पर क्लाइंट के साथ शुरू होगा। ws: या wss: (सिक्योर वेबस्केट के मामले में)।

सुरंग के सर्वर साइड के लिए, हम वेब सॉकेट के साथ काम करने के लिए एक अलग कार्य करेंगे। Http वर्ग का एक उदाहरण इसमें बनाया जाएगा और एक http कनेक्शन हैंडलर (wsHandler फ़ंक्शन) सेट किया जाएगा:



और हम कनेक्शन को संसाधित करने के लिए सभी तर्क डालेंगे (क्लाइंट को पासवर्ड के साथ अधिकृत करना, यमक्स सत्र को स्थापित करना और समाप्त करना) वेबसोकेट कनेक्शन हैंडलर में:



हम परियोजना को संकलित करते हैं, सर्वर भाग शुरू करते हैं:

./rsockstun –listen ws:127.0.0.1:8080 –pass P@ssw0rd 

और फिर ग्राहक हिस्सा:

 ./rsockstun -connect ws:127.0.0.1:8080 –pass P@ssw0rd 

और हम स्थानीय होस्ट पर काम की जाँच करते हैं:

हम डोमेन-फ्रोंटिंग के लिए पास होते हैं

हमें लगता है कि वेब सॉकेट्स को हटा दिया गया है। अब आइए सीधे eSNI और डोमेन-मोर्चों पर जाएं। जैसा कि पहले उल्लेख किया गया है, DoH और eSNI के साथ काम करने के लिए, हमें CloudFlare से गोलंग की एक विशेष शाखा लेने की आवश्यकता है। हमें eSNI समर्थन (pwu / esni) के साथ एक शाखा की आवश्यकता है।

हम इसे स्थानीय स्तर पर खुद को क्लोन करते हैं या संबंधित ज़िप को डाउनलोड और विस्तारित करते हैं:

 git clone -b pwu/esni https://github.com/cloudflare/tls-tris.git 

फिर हमें GOROOT निर्देशिका की प्रतिलिपि बनाने की आवश्यकता है, क्लोन की गई शाखा से संबंधित फ़ाइलों को बदलें और इसे मुख्य के रूप में सेट करें। डेवलपर को इस सिरदर्द से बचाने के लिए, CloudFlare के लोगों ने एक विशेष स्क्रिप्ट तैयार की - _dev / go.sh. बस इसे चलाओ। मेकफाइल के साथ स्क्रिप्ट सबकुछ खुद करेगी। मनोरंजन के लिए - आप विवरण के लिए मेकफाइल के अंदर देख सकते हैं।

स्क्रिप्ट को काम करने के बाद, परियोजना को संकलित करते समय, हमें स्क्रिप्ट द्वारा तैयार की गई स्थानीय निर्देशिका के रूप में इंगित करना होगा। हमारे मामले में, यह इस तरह दिखता है:

 GOROOT="/opt/tls-tris/_dev/GOROOT/linux_amd64" go build …. 

अगला, हमें सुरंग में वांछित डोमेन के लिए सार्वजनिक eSNI कुंजी के अनुरोध और पार्स करने की कार्यक्षमता को लागू करने की आवश्यकता है। हमारे मामले में, ये CloudFlare फ्रंट-एंड सर्वर से सार्वजनिक eSNI कुंजी होंगे। ऐसा करने के लिए, हम तीन कार्य बनाएंगे:

 func makeDoTQuery(dnsName string) ([]byte, error) func parseTXTResponse(buf []byte, wantName string) (string, error) func QueryESNIKeysForHost(hostname string) ([]byte, error) 

कार्यों के नाम, सिद्धांत रूप में, खुद के लिए बोलते हैं। हम esni_query.go फ़ाइल से फिलिंग लेंगे, जो tls-tris का हिस्सा है। पहला फ़ंक्शन DoH प्रोटोकॉल (DNS-over-HTTPS) का उपयोग करके CloudFlare DNS सर्वर के अनुरोध के साथ एक नेटवर्क पैकेट बनाता है, दूसरा क्वेरी परिणामों को पार्स करता है और सार्वजनिक डोमेन कुंजी के मूल्यों को प्राप्त करता है, और तीसरा पहले दो के लिए एक कंटेनर है।

अगला, हम डोमेन के लिए eSNI कुंजियों के अनुरोध के कार्य को वेब सॉकेट connectForWsSocks के लिए हमारे नए बनाए गए कनेक्शन फ़ंक्शन में प्रस्तुत करते हैं । जहां सर्वर पार्ट कार्य करता है, टीएलएस पैरामीटर सेट करें, और नकली "कवर डोमेन" का नाम भी सेट करें:



यहां यह ध्यान दिया जाना चाहिए कि शुरू में, tls-tris शाखा को डोमेन-फ्रोन्टिंग के उपयोग के लिए डिज़ाइन नहीं किया गया था। इसलिए, यह सर्वर के नकली नाम पर ध्यान नहीं देता है (एक खाली सर्वरनाम क्षेत्र क्लाइंट-हेलिकॉप्टर पैकेज के हिस्से के रूप में प्रेषित होता है)। इसे ठीक करने के लिए, हमें TlsConfig संरचना में संबंधित FakeServerName फ़ील्ड जोड़ना होगा। हम संरचना के मानक Servername क्षेत्र का उपयोग नहीं कर सकते, क्योंकि इसका उपयोग आंतरिक tls तंत्र द्वारा किया जाता है और यदि यह मूल से भिन्न होता है, तो tls-handshake एक त्रुटि के साथ समाप्त हो जाएगा। TlsConfig संरचना का वर्णन tls / common.go फ़ाइल में समाहित है - हमें इसे ठीक करना होगा:





इसके अलावा, हमें TLS हैंडशेक जेनरेट करते समय अपने FakeServerName क्षेत्र का उपयोग करने के लिए tls / handshake_client.go फ़ाइल में परिवर्तन करना होगा:



वह सब है! आप परियोजना को संकलित कर सकते हैं और काम की जांच कर सकते हैं। लेकिन इससे पहले कि आप परीक्षण चलाएं, आपको अपना CloudFlare खाता कॉन्फ़िगर करना होगा। ठीक है, आप कैसे सेट अप करने के लिए कहते हैं - बस एक क्लाउडफेयर खाता बनाएं और अपने डोमेन को उसमें बांध दें। DoH, WebSocket और ESNI से संबंधित सभी चिप्स डिफ़ॉल्ट रूप से CloudFlare में शामिल हैं। DNS रिकॉर्ड अपडेट होने के बाद - आप eSNI कुंजी अनुरोध चलाकर डोमेन की जांच कर सकते हैं:

 dig +short txt _esni.df13tester.info 

यदि आप अपने डोमेन के लिए कुछ समान देखते हैं, तो आपके लिए सब कुछ काम करता है और आप परीक्षण के लिए आगे बढ़ सकते हैं।

उदाहरण के लिए, DigitalOcean पर Ubuntu VPS लॉन्च करें। PS हमारे मामले में, प्रदाता द्वारा जारी किया गया VPS IP पता ILV ब्लैक लिस्ट में था। इसलिए अगर आपके साथ भी कुछ ऐसा ही हो तो हैरान मत होइए। मुझे अपने वीपीएस को प्राप्त करने के लिए वीपीएन का उपयोग करना पड़ा।

हम VPS को संकलित rsockstun की नकल करते हैं (यह, वैसे, गोलंग का एक और आकर्षण है - आप अपने दम पर परियोजना को संकलित कर सकते हैं और इसे किसी भी लिनक्स पर चला सकते हैं, सिस्टम की केवल थोड़ी क्षमता को देखते हुए) और सर्वर भाग शुरू कर सकते हैं:



और फिर ग्राहक हिस्सा:



जैसा कि हम देख सकते हैं, क्लाइंट सफलतापूर्वक वेब सॉकेट का उपयोग करके CloudFlare फ्रंट-एंड सर्वर के माध्यम से सर्वर से जुड़ा है। यह सत्यापित करने के लिए कि सुरंग सुरंग की तरह काम करती है, आप सर्वर पर स्थानीय मोजे 5 के माध्यम से एक कर्ल अनुरोध कर सकते हैं:



अब देखते हैं कि संचार चैनल में डीपीआई क्या देखता है:



सबसे पहले, सुरंग तंत्र, DoH तंत्र का उपयोग करते हुए, गंतव्य डोमेन (संकुल संख्या 1-19) के लिए eSNI कुंजी के लिए Cloudflare DNS सर्वर तक पहुँचता है, और फिर सामने के अंत सर्वर तक पहुँचता है और TLS कनेक्शन स्थापित करता है, जो डोमेन www.google.com (इस मान) के नीचे छिपा होता है डिफ़ॉल्ट रूप से, जब एक नकली डोमेन क्लाइंट स्टार्टअप पर सेट नहीं होता है)। अपने नकली डोमेन को निर्दिष्ट करने के लिए, आपको -fronfDomain पैरामीटर का उपयोग करना होगा:





अब एक बात और। डिफ़ॉल्ट रूप से, CloudFalre की खाता सेटिंग्स Flexible SSL पर सेट की जाती हैं। इसका अर्थ है कि क्लाइंट से क्लाउडफ़ेयर फ्रंट-एंड सर्वर के लिए https अनुरोध हमारे सर्वर पर अनएन्क्रिप्टेड (http) फॉर्म में पुनर्निर्देशित किया जाएगा। यही कारण है कि हमने गैर-एसएसएल मोड (-LENEN ws: 0.0.0.0) में सुरंग का सर्वर हिस्सा लॉन्च किया, और (-LSEN wss: 0.0.0.0) नहीं।



पूर्ण एन्क्रिप्शन मोड पर स्विच करने के लिए, आपको सर्वर पर इस प्रमाणपत्र की उपस्थिति के मामले में पूर्ण , या पूर्ण (सख्त) का चयन करना होगा। मोड स्विच करने के बाद, हम https प्रोटोकॉल के माध्यम से CloudFlare से कनेक्शन स्वीकार कर पाएंगे। सुरंग के सर्वर साइड के लिए एक स्व-हस्ताक्षरित प्रमाण पत्र उत्पन्न करना याद रखें।



एक कष्टप्रद पाठक पूछेगा: “विंडोज के तहत ग्राहक खाते के बारे में क्या? वास्तव में, निश्चित रूप से, सुरंग का मुख्य अनुप्रयोग कॉर्पोरेट मशीनों और सर्वरों से बैक-कनेक्ट को जोड़ना है, और वहाँ, एक नियम के रूप में, यह हमेशा विंडोज है। मैं विंडोज के लिए एक सुरंग कैसे संकलित कर सकता हूं, और यहां तक ​​कि एक विशिष्ट टीएलएस स्टैक के साथ भी? ”और अब हम एक और चिप पेश करेंगे, जो बताती है कि गोलंग कितना सुविधाजनक है। हम सीधे काली से खिड़कियों के लिए संकलन करते हैं, बस GOOS = windows पैरामीटर जोड़कर:

 GOARCH=amd64 GOROOT="/opt/tls-tris/_dev/GOROOT/linux_amd64" GOOS=windows go build -ldflags="-s -w" 

या 32-बिट विकल्प:

 GOARCH=386 GOROOT="/opt/tls-tris/_dev/GOROOT/linux_amd64" GOOS=windows go build -ldflags="-s -w" 

वह सब है! और अधिक परेशानियों की आवश्यकता नहीं है। यह वास्तव में काम करता है!



संकलक फ़ाइल से अतिरिक्त कचरा हटाने के लिए कंपाइलर फ्लैग -w और –s की आवश्यकता होती है, जिससे यह एक युगल हबलिट्स से कम हो जाता है। इसके अतिरिक्त, आकार को और कम करने के लिए इसे UPX का उपयोग करके पैक किया जा सकता है।

एक निष्कर्ष के बजाय

हम लेख में, एक गोलंग पर लिखे एक ट्यूनर के उदाहरण का उपयोग करते हुए, स्पष्ट रूप से टीएलएस 1.3 प्रोटोकॉल की एक दिलचस्प विशेषता पर लागू डोमेन-फ्रोन्टिंग की नई तकनीक का उपयोग करते हैं। इसी तरह, आप क्लाउडफ़ेयर सर्वर के माध्यम से काम करने के लिए गोलंग पर लिखे गए मौजूदा टूलकिट को अनुकूलित कर सकते हैं, उदाहरण के लिए, मर्लिन , जाने-माने C2, या कोबाल्टस्ट्राइक बीकन को ESNI डोमेन-फ़्रोन का उपयोग करने के लिए मजबूर करते हैं, जब बाहरी C2 चैनल के माध्यम से Teamserver के साथ काम करते हुए, Golang पर लागू किया जाता है, या मानक C ++ का उपयोग करके। ओपनएसएसएल के पैच किए गए संस्करण, जिसके बारे में हमने लेख के अंतिम भाग में बात की थी। सामान्य तौर पर, कल्पना की कोई सीमा नहीं है।

सुरंग और CloudFlare का उदाहरण एक अवधारणा के रूप में प्रस्तुत किया गया है और इस प्रकार के डोमेन-फ्रंट-फेसिंग की दूर की संभावनाओं के बारे में कहना अभी भी मुश्किल है। फिलहाल, eSNI समर्थन केवल CloudFlare पर उपलब्ध है और, सिद्धांत रूप में, कुछ भी उन्हें इस तरह के फ्रंट-एंड को अक्षम करने से रोकता है और, उदाहरण के लिए, SNI और eSNI मैच नहीं होने पर tls कनेक्शन तोड़ना। सामान्य तौर पर, भविष्य दिखाएगा। लेकिन अभी के लिए, kremlin.ru की आड़ में काम करने की संभावना काफी आकर्षक लगती है। है ना?

अद्यतित सुरंग कोड, साथ ही संकलित निष्पादन योग्य exe फाइलें, github पर एक अलग परियोजना शाखा में स्थित हैं। GitHub पर परियोजना पृष्ठ पर सभी संभावित सुरंग समस्याओं के बारे में समस्या लिखना बेहतर है।