做网站买什么品牌笔记本好,营销型网站更受用户欢迎的原因是,建设人才网站,黄冈网站建设与推广哪家好一、工具介绍
Xiebro是由Golang和 .NET编写#xff0c;提供支持的多人和多服务器 C2/后开发框架。它支持多种通信协议#xff0c;包括TCP、websocket等#xff0c;并且在客户端与Xiebro服务器之间的通信通常采用AES加密来保障安全性和隐蔽性。
二、工具原理分析
Xiebro C…一、工具介绍
Xiebro是由Golang和 .NET编写提供支持的多人和多服务器 C2/后开发框架。它支持多种通信协议包括TCP、websocket等并且在客户端与Xiebro服务器之间的通信通常采用AES加密来保障安全性和隐蔽性。
二、工具原理分析
Xiebro C2工具在生成木马时AES密钥硬编码在木马中木马与C2服务器通信使用AES算法来加密通信内容,流程见下图。 图1工具原理图 固定字段 字段用途 Pac_ket 区分传输数据内容比如传输的心跳或者命令下发 Controler_HWID 生成的唯一ID用于区分不同的受控主机 ProcessID 进程ID ListenerName 监听器的名字 ReadInput 被控端命令结果返回 WriteInput 控制端命令下发
表一传输固定字段用途
木马运行后被控端会发一个上线请求内容分为固定字段和对应数据固定字段为Pac_ket、ProcessID、ListenerName、Controler_HWID、Info等数据其中Controler_HWID为生成的唯一ID用于区分不同的受控主机。 图2AES密钥和上线请求的图
木马交互时心跳为固定json格式内容为{Pac_ket: ClientPing, Message: DDDD}经过AES加密后将加密数据发送给服务端默认木马心跳是15秒一次。 图3心跳
服务端命令下发和被控端返回命令结果格式大致相同服务端下发命令内容分为固定字段和对应数据固定字段为Pac_ket、WriteInput、TargetClient、HWID将命令放在WriteInput中经过AES加密后将加密数据发送给受控端。被控端返回命令结果内容分为固定字段和对应数据固定字段为Pac_ket、Controler_HWID、ProcessID、ListenerName、ReadInput将命令结果放在ReadInput中传输给服务端。 图4被控端返回命令结果 图5流量分析 图6解密后的命令结果返回内容 三、工具检测
根据分析结果此工具具有心跳且心跳包的载荷长度有规律虽然载荷经过加密看不到明文通过心跳行为模型能够实现对Xiebro C2工具的有效检测如果工具使用者不对默认密钥进行更换也可通过规则检测工具默认格式字段加密后的特征。 图7Xiebro检出结果 四、总结
利用Xiebro C2工具进行CC通信攻击者可以将通信内容加密从而规避传统明文流量设备的检测但是基于人工智能、流行为特征检测的加密威胁智能检测系统能够检测此类加密通信行为。如今越来越多的攻击者采用加密通信的C2工具以提升攻击的隐蔽性。观成科技安全研究团队持续追踪这些C2工具的最新动态积极研究和更新针对加密流量的检测技术。
