红队技巧 | 利用过期域名进行域前置

0x01 前言

域名的选择在攻防是一个非常重要的环节，于是参考了很多文档做个记录

参考:
https://docs.aws.amazon.com/AmazonCloudFront/latest/DeveloperGuide/CNAMEs.html
https://threatexpress.com/blogs/2017/leveraging-expired-domains-for-red-team-engagements/
https://www.youtube.com/watch?v=zSBnM2HcRTw&t=19s
https://www.securityartwork.es/2017/01/24/camouflage-at-encryption-layer-domain-fronting/

0x02 域名猎人

工具:https://github.com/threatexpress/domainhunter

当然其他搜索引擎也能找到过期的域名

https://github.com/Mr-Un1k0d3r/CatMyPhish
https://www.expireddomains.net/

0x03 备用域进行域前置

https://aws.amazon.com/cn/cloudfront/

重定向器和域前置:

https://blog.cobaltstrike.com/2017/02/06/high-reputation-redirectors-and-domain-fronting/

任何具有指向 Cloudfront CDN 的 CNAME 记录的域都可以用作出口通道。

使用备用主机进行域前置

• malwarec2.losenolove.com -> C2服务器
• d16b91n8fagr3u.cloudfront.net -> CloudFront
• a0.awsstatic.com -> 指向CloudFront的域名

大体思路就是，通过HOST伪造将过期域名变成我的域名

wget -U demo -q -O - http://a0.awsstatic.com/foo.txt --header "Host: d16b91n8fagr3u.cloudfront.net"

寻找域名进行使用

https://www.youtube.com/watch?v=zSBnM2HcRTw

视频当中会涉及发现和滥用具有 CNAME 记录的可信域到 CloudFront CDN 实例以建立 C2 通道

0x04 结尾

这种操作有效的隐藏了我们的C2，同时能够阻止一定的蓝队进行的反制。通过这篇文章的记录，我们应该自己动手尝试。学进脑里的是理论，动手实践的是经验！

从现在开始，星球定价125元！日后只有慢慢涨没有跌价！现在入股不亏，持续输出原创文章，还是小有干货的！