टीएलएस 1.3 पर आधारित डोमेन फ़्रंटिंग। भाग 2

परिचय

पहले भाग में लेख हमने एन्क्रिप्टेड एसएनआई (ईएसएनआई) तंत्र का संक्षिप्त विवरण दिया है। उन्होंने दिखाया कि कैसे, इसके आधार पर, आधुनिक डीपीआई सिस्टम (बीलाइन डीपीआई और प्रतिबंधित आरकेएन रूट ट्रैकर के उदाहरण का उपयोग करके) द्वारा पता लगाने से बचना संभव है, और इस तंत्र के आधार पर डोमेन फ्रंटिंग के एक नए संस्करण की भी खोज की।

लेख के दूसरे भाग में, हम अधिक व्यावहारिक चीज़ों की ओर बढ़ेंगे जो RedTeam विशेषज्ञों के लिए उनके कठिन कार्य में उपयोगी होंगी। अंत में, हमारा लक्ष्य अवरुद्ध संसाधनों तक पहुंच प्राप्त करना नहीं है (ऐसी तुच्छ चीजों के लिए हमारे पास अच्छे पुराने वीपीएन हैं)। सौभाग्य से, जैसा कि वे कहते हैं, हर स्वाद, रंग और बजट के लिए वीपीएन प्रदाताओं की एक विशाल विविधता मौजूद है।

हम डोमेन-फ्रंटिंग तंत्र को आधुनिक रेडटीम टूल, जैसे कोबाल्ट स्ट्राइक, एम्पायर इत्यादि पर लागू करने का प्रयास करेंगे, और उन्हें आधुनिक सामग्री फ़िल्टरिंग सिस्टम की नकल करने और उनसे बचने के लिए अतिरिक्त क्षमताएं देंगे।

पिछली बार हमने ओपनएसएसएल लाइब्रेरी में ईएसएनआई तंत्र लागू किया था और परिचित कर्ल उपयोगिता में इसका सफलतापूर्वक उपयोग किया था। लेकिन, जैसा कि वे कहते हैं, आप केवल एक मुर्गे से संतुष्ट नहीं होंगे। निःसंदेह, मैं उच्च-स्तरीय भाषाओं में भी कुछ ऐसा ही लागू करना चाहूँगा। लेकिन, दुर्भाग्य से, इंटरनेट पर एक त्वरित खोज हमें निराश करती है, क्योंकि ईएसएनआई तंत्र के लिए समर्थन पूरी तरह से केवल गोलांग में लागू किया गया है। इस प्रकार, हमारे पास ज्यादा विकल्प नहीं हैं: या तो हम पैच किए गए ओपनएसएसएल लाइब्रेरी का उपयोग करके शुद्ध सी या सी ++ में लिखते हैं, या हम क्लाउडफ्लेयर से एक अलग गोलंग फोर्क का उपयोग करते हैं और अपने टूल को वहां पोर्ट करने का प्रयास करते हैं। सिद्धांत रूप में, एक और विकल्प है, अधिक क्लासिक, लेकिन साथ ही समय लेने वाला - पायथन के लिए ईएसएनआई समर्थन लागू करना। आख़िरकार, https को संभालने के लिए Python भी OpenSSL का उपयोग करता है। लेकिन हम इस विकल्प को किसी और के द्वारा विकसित करने के लिए छोड़ देंगे, और हम स्वयं गोलांग में कार्यान्वयन से संतुष्ट रहेंगे, खासकर जब से हमारा प्रिय कोबाल्ट स्ट्राइक तीसरे पक्ष के टूल (बाहरी सी 2 चैनल) द्वारा निर्मित संचार चैनल के साथ काम करने में पूरी तरह से सक्षम है। - हम इस बारे में लेख के अंत में बात करेंगे।

और कोशिश करें...

गो में कार्यान्वित उपकरणों में से एक नेटवर्क में धुरी बनाने के लिए हमारा विकास है - एक टनलर rsockstun, जो, वैसे, अब माइक्रोसॉफ्ट और सिमेंटेक के टूल द्वारा वैश्विक स्थिरता को बाधित करने के उद्देश्य से बहुत दुर्भावनापूर्ण सॉफ़्टवेयर के रूप में पहचाना गया है...

इस मामले में भी पिछले विकास का उपयोग करना बहुत अच्छा होगा। लेकिन यहां एक छोटी सी समस्या खड़ी हो जाती है. तथ्य यह है कि प्रारंभ में rsockstun का तात्पर्य सर्वर के साथ एक तुल्यकालिक एसएसएल संचार चैनल के उपयोग से है। इसका मतलब यह है कि कनेक्शन एक बार स्थापित होता है और सुरंग के संचालन की पूरी अवधि के लिए मौजूद रहता है। और, जैसा कि आप समझते हैं, https प्रोटोकॉल ऑपरेशन के इस मोड के लिए नहीं है - यह अनुरोध-प्रतिक्रिया मोड में काम करता है, जहां प्रत्येक नया http अनुरोध एक नए टीसीपी कनेक्शन के भीतर मौजूद होता है।

इस योजना का मुख्य नुकसान यह है कि सर्वर क्लाइंट को तब तक डेटा स्थानांतरित नहीं कर सकता जब तक क्लाइंट नया http अनुरोध नहीं भेजता। लेकिन, सौभाग्य से, इस समस्या को हल करने के लिए कई विकल्प हैं - http प्रोटोकॉल के माध्यम से डेटा स्ट्रीमिंग (आखिरकार, हम किसी तरह अपने पसंदीदा टीवी शो देखने और https पर चलने वाले पोर्टल से संगीत सुनने का प्रबंधन करते हैं, लेकिन वीडियो और ऑडियो प्रसारित करना और कुछ नहीं है) स्ट्रीमिंग डेटा की तुलना में)। HTTP प्रोटोकॉल पर पूर्ण विकसित टीसीपी कनेक्शन के संचालन का अनुकरण करने वाली तकनीकों में से एक वेबसॉकेट तकनीक है, जिसका मुख्य सार क्लाइंट और वेब सर्वर के बीच एक पूर्ण नेटवर्क कनेक्शन व्यवस्थित करना है।

सौभाग्य से हमारे लिए (हुर्रे!!!), यह तकनीक सभी क्लाउडफ्लेयर टैरिफ योजनाओं में डिफ़ॉल्ट रूप से शामिल है और ईएसएनआई के साथ संयोजन में बढ़िया काम करती है। यह वही है जिसका उपयोग हम अपने टनलर को डोमेन-फ़्रंटिंग का उपयोग करने और आधुनिक डीपीआई से छिपने के लिए सिखाने के लिए करेंगे।

वेबसॉकेट के बारे में थोड़ा

सबसे पहले, हम संक्षेप में और सरल शब्दों में वेबसॉकेट के बारे में बात करेंगे ताकि सभी को पता चल सके कि हम किसके साथ काम करेंगे।

वेबसॉकेट तकनीक आपको स्थापित टीसीपी कनेक्शन को तोड़े बिना अस्थायी रूप से http कनेक्शन से मानक नेटवर्क सॉकेट स्ट्रीमिंग पर स्विच करने की अनुमति देती है। जब कोई क्लाइंट किसी वेबसॉकेट पर स्विच करना चाहता है, तो वह अपने http अनुरोध में कई http हेडर सेट करता है। दो आवश्यक हेडर - कनेक्शन: अपग्रेड करें и अपग्रेड: वेबसोकेट. वह वेबसोकेट प्रोटोकॉल संस्करण को भी जबरदस्ती निर्दिष्ट कर सकता है (सेक-वेबसॉकेट-संस्करण: 13) और बेस64 वेबसोकेट पहचानकर्ता जैसा कुछ (सेकंड-वेबसॉकेट-कुंजी: DAGDJSiREI3+KjDfwxm1FA==). सर्वर उसे http कोड 101 स्विचिंग प्रोटोकॉल के साथ प्रतिक्रिया देता है और हेडर भी सेट करता है कनेक्शन, अपग्रेड и सेक-वेबसॉकेट-स्वीकार. स्विचिंग प्रक्रिया को नीचे स्क्रीनशॉट में स्पष्ट रूप से प्रदर्शित किया गया है:

इसके बाद, WebSocket कनेक्शन की स्थापना को पूर्ण माना जा सकता है। क्लाइंट और सर्वर दोनों से कोई भी डेटा अब http के साथ नहीं, बल्कि वेबसॉकेट हेडर के साथ प्रदान किया जाएगा (वे बाइट 0x82 से शुरू होते हैं)। अब सर्वर को डेटा ट्रांसफर करने के लिए क्लाइंट से अनुरोध की प्रतीक्षा करने की आवश्यकता नहीं है, क्योंकि टीसीपी कनेक्शन टूटा नहीं है.

गोलांग में वेबसॉकेट के साथ काम करने के लिए कई लाइब्रेरी हैं। उनमें से सबसे लोकप्रिय हैं गोरिल्ला वेबसाकेट और मानक WebSocket. हम बाद वाले का उपयोग करेंगे, क्योंकि... यह सरल है, छोटा है और, जैसा कि वे कहते हैं, थोड़ा तेज़ काम करता है।

rsockstun क्लाइंट कोड में, हमें Net.dial या tls.dial कॉल को संबंधित WebSocket कॉल से बदलने की आवश्यकता है:

हम अपनी सुरंग के क्लाइंट हिस्से को सार्वभौमिक बनाना चाहते हैं और सीधे एसएसएल कनेक्शन और वेबसॉकसेट प्रोटोकॉल दोनों के माध्यम से काम करने में सक्षम बनाना चाहते हैं। इसके लिए हम एक अलग फंक्शन बनाएंगे funcconnectForWsSocks(पता स्ट्रिंग, प्रॉक्सी स्ट्रिंग) त्रुटि {...} के साथ सादृश्य द्वारा कनेक्टफॉरसॉक्स() और हम इसका उपयोग वेब सॉकेट के साथ काम करने के लिए करेंगे यदि क्लाइंट शुरू करते समय निर्दिष्ट सर्वर पता ws: या wss: (सिक्योर वेबसॉकेट के मामले में) से शुरू होता है।

सुरंग के सर्वर साइड के लिए, हम वेब सॉकेट के साथ काम करने के लिए एक अलग फ़ंक्शन भी बनाएंगे। यह http वर्ग का एक उदाहरण बनाएगा और http कनेक्शन हैंडलर (wsHandler फ़ंक्शन) सेट करेगा:

और हम सभी कनेक्शन प्रोसेसिंग लॉजिक (पासवर्ड का उपयोग करके क्लाइंट प्राधिकरण, यमक्स सत्र की स्थापना और समाप्ति) को वेबसॉकेट कनेक्शन हैंडलर में रखेंगे:

हम प्रोजेक्ट संकलित करते हैं और सर्वर भाग लॉन्च करते हैं:

./rsockstun –listen ws:127.0.0.1:8080 –pass P@ssw0rd

और फिर ग्राहक भाग:

./rsockstun -connect ws:127.0.0.1:8080 –pass P@ssw0rd

और हम स्थानीय होस्ट पर कार्य की जाँच करते हैं:

आइए डोमेन फ़्रंटिंग पर आगे बढ़ें

ऐसा लगता है कि हमने वेबसोकेट का पता लगा लिया है। अब सीधे ईएसएनआई और डोमेन फ्रंटिंग पर चलते हैं। जैसा कि पहले उल्लेख किया गया है, DoH और eSNI के साथ काम करने के लिए हमें कंपनी से एक विशेष गोलांग शाखा लेने की आवश्यकता है CloudFlare. हमें eSNI समर्थन (pwu/esni) वाली एक शाखा की आवश्यकता है।

हम इसे स्थानीय रूप से क्लोन करते हैं या संबंधित ज़िप को डाउनलोड और अनकंप्रेस करते हैं:

git clone -b pwu/esni https://github.com/cloudflare/tls-tris.git

फिर हमें GOROOT निर्देशिका की प्रतिलिपि बनाने, क्लोन शाखा से संबंधित फ़ाइलों को बदलने और इसे मास्टर के रूप में सेट करने की आवश्यकता है। डेवलपर को इस सिरदर्द से बचाने के लिए, CloudFlare के लोगों ने एक विशेष स्क्रिप्ट तैयार की है - _dev/go.sh। हमने अभी इसे लॉन्च किया है. मेकफ़ाइल के साथ स्क्रिप्ट स्वयं सब कुछ करेगी। केवल मनोरंजन के लिए, आप विवरण के लिए मेकफ़ाइल के अंदर देख सकते हैं।

स्क्रिप्ट चलाने के बाद, प्रोजेक्ट संकलित करते समय, हमें स्क्रिप्ट द्वारा तैयार की गई स्थानीय निर्देशिका को GOROOT के रूप में निर्दिष्ट करने की आवश्यकता होगी। हमारे मामले में यह इस तरह दिखता है:

GOROOT="/opt/tls-tris/_dev/GOROOT/linux_amd64" go build ….

इसके बाद, हमें वांछित डोमेन के लिए सार्वजनिक ईएसएनआई कुंजियों का अनुरोध करने और पार्स करने की कार्यक्षमता को सुरंग में लागू करने की आवश्यकता है। हमारे मामले में, ये CloudFlare फ्रंटएंड सर्वर से सार्वजनिक eSNI कुंजियाँ होंगी। ऐसा करने के लिए, हम तीन फ़ंक्शन बनाएंगे:

func makeDoTQuery(dnsName string) ([]byte, error)
func parseTXTResponse(buf []byte, wantName string) (string, error)
func QueryESNIKeysForHost(hostname string) ([]byte, error)

कार्यों के नाम, सिद्धांत रूप में, स्वयं बोलते हैं। हम सामग्री esni_query.go फ़ाइल से लेंगे, जो tls-tris का हिस्सा है। पहला फ़ंक्शन DoH (DNS-over-HTTPS) प्रोटोकॉल का उपयोग करके CloudFlare DNS सर्वर के अनुरोध के साथ एक नेटवर्क पैकेट बनाता है, दूसरा क्वेरी परिणामों को पार्स करता है और डोमेन की सार्वजनिक कुंजी के मान प्राप्त करता है, और तीसरा एक है पहले दो के लिए कंटेनर.

इसके बाद, हम अपने नव निर्मित फ़ंक्शन में एक वेब सॉकेट कनेक्शन जोड़ते हैं कनेक्टफॉरडब्लूएससॉक्स किसी डोमेन के लिए eSNI कुंजियों का अनुरोध करने की कार्यक्षमता। जहां सर्वर भाग संचालित होता है, हम टीएलएस पैरामीटर सेट करते हैं, और नकली "कवर डोमेन" का नाम भी सेट करते हैं:

यहां यह ध्यान दिया जाना चाहिए कि प्रारंभ में, टीएलएस-ट्रिस शाखा को डोमेन फ़्रंटिंग के उपयोग के लिए डिज़ाइन नहीं किया गया था। इसलिए, यह नकली सर्वर नाम पर ध्यान नहीं देता है (क्लाइंट-हैलो पैकेट के हिस्से के रूप में एक खाली सर्वरनाम फ़ील्ड भेजा जाता है)। इसे ठीक करने के लिए, हमें संबंधित FakeServerName फ़ील्ड को TlsConfig संरचना में जोड़ना होगा। हम संरचना के मानक सर्वरनाम फ़ील्ड का उपयोग नहीं कर सकते, क्योंकि इसका उपयोग आंतरिक टीएलएस तंत्र द्वारा किया जाता है और यदि यह मूल से भिन्न है, तो टीएलएस हैंडशेक एक त्रुटि के साथ समाप्त हो जाएगा। फ़ाइल में TlsConfig संरचना का विवरण शामिल है tls/common.go - हमें इसे ठीक करना होगा:

इसके अतिरिक्त, हमें फ़ाइल में परिवर्तन करना होगा tls/handshake_client.goटीएलएस हैंडशेक बनाते समय हमारे FakeServerName फ़ील्ड का उपयोग करने के लिए:

बस इतना ही! आप प्रोजेक्ट संकलित कर सकते हैं और कार्य की जांच कर सकते हैं। लेकिन स्कैन चलाने से पहले, आपको एक CloudFlare खाता सेट करना होगा। खैर, मैं कैसे कह सकता हूं कि इसे सेट अप करें - बस क्लाउडफ्लेयर पर एक खाता बनाएं और अपने डोमेन को इससे लिंक करें। DoH, WebSocket और ESNI से संबंधित सभी सुविधाएँ डिफ़ॉल्ट रूप से CloudFlare में शामिल हैं। DNS रिकॉर्ड अपडेट होने के बाद, आप eSNI कुंजियों को क्वेरी करके डोमेन के संचालन की जांच कर सकते हैं:

dig +short txt _esni.df13tester.info 

यदि आप अपने डोमेन के लिए कुछ ऐसा ही देखते हैं, तो इसका मतलब है कि सब कुछ आपके लिए काम कर रहा है और आप परीक्षण के लिए आगे बढ़ सकते हैं।

उदाहरण के लिए, हमने DigitalOcean पर Ubuntu VPS लॉन्च किया है। पीएस हमारे मामले में, प्रदाता द्वारा जारी किया गया वीपीएस आईपी पता आरकेएन ब्लैकलिस्ट में समाप्त हो गया। तो अगर आपके साथ भी कुछ ऐसा ही हो तो चौंकिए मत। मुझे अपने वीपीएस तक पहुंचने के लिए वीपीएन का उपयोग करना पड़ा।

हम पहले से संकलित rsockstun को VPS में कॉपी करते हैं (यह, वैसे, गोलांग की एक और सुंदरता है - आप प्रोजेक्ट को स्वयं संकलित कर सकते हैं और इसे किसी भी लिनक्स पर चला सकते हैं, केवल सिस्टम की बिट क्षमता को देखते हुए) और सर्वर भाग लॉन्च करें:

और फिर ग्राहक भाग:

जैसा कि हम देख सकते हैं, क्लाइंट वेबसॉकेट का उपयोग करके क्लाउडफ़ेयर फ्रंटएंड सर्वर के माध्यम से सर्वर से सफलतापूर्वक कनेक्ट हुआ। यह जांचने के लिए कि सुरंग बिल्कुल सुरंग की तरह काम करती है, आप स्थानीय मोज़े5 के माध्यम से कर्ल अनुरोध कर सकते हैं, सर्वर पर खोलें:

अब आइए देखें कि डीपीआई संचार चैनल में क्या देखता है:

सबसे पहले, टनलर, DoH तंत्र का उपयोग करते हुए, गंतव्य डोमेन (पैकेट नंबर 1-19) के लिए eSNI कुंजी के लिए क्लाउडफ्लेयर DNS सर्वर से संपर्क करता है, और फिर फ्रंटएंड सर्वर से संपर्क करता है और डोमेन के पीछे छिपकर एक TLS कनेक्शन स्थापित करता है। www.google.com (यह डिफ़ॉल्ट मान है जब क्लाइंट शुरू होने पर कोई नकली डोमेन निर्दिष्ट नहीं किया जाता है)। अपना नकली डोमेन निर्दिष्ट करने के लिए, आपको -fronfDomain पैरामीटर का उपयोग करना होगा:

अब एक बात और. डिफ़ॉल्ट रूप से, CloudFalre खाता सेटिंग्स लचीले SSL पर सेट होती हैं। इसका मतलब यह है कि क्लाइंट्स से क्लाउडफ्लेयर फ्रंटएंड सर्वर के लिए https अनुरोध हमारे सर्वर पर अनएन्क्रिप्टेड (http) भेजे जाएंगे। यही कारण है कि हमने सुरंग के सर्वर भाग को गैर-एसएसएल मोड ( -सुनें ws:0.0.0.0) में लॉन्च किया, न कि ( -सुनें wss:0.0.0.0) में।

पूर्ण एन्क्रिप्शन मोड पर स्विच करने के लिए, आपको चयन करना होगा पूर्णया पूर्ण (सख्त) यदि सर्वर पर कोई वास्तविक प्रमाणपत्र है। मोड स्विच करने के बाद, हम https प्रोटोकॉल का उपयोग करके CloudFlare से कनेक्शन स्वीकार करने में सक्षम होंगे। सुरंग के सर्वर साइड के लिए स्व-हस्ताक्षरित प्रमाणपत्र बनाना न भूलें।

एक चतुर पाठक पूछेगा: “विंडोज़ क्लाइंट के बारे में क्या? आखिरकार, निश्चित रूप से, सुरंग का मुख्य उपयोग कॉर्पोरेट मशीनों और सर्वर से बैक कनेक्शन बढ़ाना है, और वहां, एक नियम के रूप में, हमेशा विंडोज़ होती है। मैं विंडोज़ के लिए एक टनलर कैसे संकलित कर सकता हूं, और यहां तक ​​कि एक विशिष्ट टीएलएस स्टैक के साथ भी?" और अब हम एक और सुविधा पेश करेंगे जो दिखाती है कि गोलांग कितना सुविधाजनक है। हम काली से सीधे विंडोज़ के लिए संकलन करते हैं, बस GOOS=windows पैरामीटर जोड़ते हैं:

GOARCH=amd64 GOROOT="/opt/tls-tris/_dev/GOROOT/linux_amd64" GOOS=windows  go build -ldflags="-s -w"

या 32-बिट संस्करण:

GOARCH=386 GOROOT="/opt/tls-tris/_dev/GOROOT/linux_amd64" GOOS=windows  go build -ldflags="-s -w"

सभी! और किसी झंझट की जरूरत नहीं है। वास्तव में यह कारगर है!

निष्पादन योग्य फ़ाइल से अनावश्यक कचरा हटाने के लिए -w और -s कंपाइलर फ़्लैग की आवश्यकता होती है, जिससे यह कुछ मेगाबाइट छोटा हो जाता है। इसके अतिरिक्त, आकार को और कम करने के लिए इसे UPX का उपयोग करके पैक किया जा सकता है।

इसके बजाय एक निष्कर्ष की

लेख में, गोलांग में लिखी सुरंग के उदाहरण का उपयोग करते हुए, हमने टीएलएस 1.3 प्रोटोकॉल की एक दिलचस्प विशेषता पर कार्यान्वित नई डोमेन-फ़्रंटिंग तकनीक के उपयोग को स्पष्ट रूप से प्रदर्शित किया। इसी तरह, उदाहरण के लिए, आप गोलांग में लिखे मौजूदा टूल को क्लाउडफ्लेयर सर्वर के माध्यम से काम करने के लिए अनुकूलित कर सकते हैं एक प्रकार का बाज़ - प्रसिद्ध C2, या कोबाल्टस्ट्राइक बीकन को टीमसर्वर के साथ काम करते समय eSNI डोमेन-फ्रंटिंग का उपयोग करने के लिए बाध्य करें बाहरी C2 चैनल, गोलांग में या ओपनएसएसएल के पैच किए गए संस्करण का उपयोग करके मानक सी++ में कार्यान्वित किया गया, जिसके बारे में हमने लेख के अंतिम भाग में बात की थी। सामान्य तौर पर, कल्पना की कोई सीमा नहीं होती।

टनलर और क्लाउडफ्लेयर का उदाहरण एक अवधारणा के रूप में प्रस्तुत किया गया है और इस प्रकार के डोमेन फ्रंटिंग की दीर्घकालिक संभावनाओं के बारे में कहना अभी भी मुश्किल है। फिलहाल, केवल क्लाउडफ्लेयर ही ईएसएनआई का समर्थन करता है और, सिद्धांत रूप में, कुछ भी उन्हें इस प्रकार की फ्रंटिंग को अक्षम करने से नहीं रोकता है और, उदाहरण के लिए, यदि एसएनआई और ईएसएनआई मेल नहीं खाते हैं तो टीएलएस कनेक्शन तोड़ दें। सामान्य तौर पर, भविष्य बताएगा. लेकिन अभी के लिए, "kremlin.ru की आड़ में" काम करने की संभावना काफी आकर्षक लगती है। क्या यह नहीं?

अद्यतन टनलर कोड, साथ ही संकलित निष्पादन योग्य exe फ़ाइलें, परियोजना की एक अलग शाखा में स्थित हैं GitHub. GitHub पर प्रोजेक्ट पेज पर सभी संभावित टनलर समस्याओं के बारे में एक मुद्दा लिखना बेहतर है।

स्रोत: www.habr.com