红队APT-流量隐匿篇&安全测试&反拉黑&隐藏源IP&隧道代理池&秒切IP访问&绕防护设备
➢ 红队APT-流量隐匿-C2证书&特征分析
➢ 红队APT-溯源隐藏-C2通讯&中转节点
➢ 红队APT-溯源隐藏-IP通讯&反制拉黑溯源
安全态势日益严峻，各大组织普遍采用了综合的安全产品，如态势感知系统、WAF和硬件防火墙等，这些措施加大了渗透测试和攻防演练的难度。即使是一些基本的漏洞验证、端口扫描，也可能导致测试IP被限制，从而阻碍了测试工作。更进一步，通过IP追踪，测试者可能会被追溯到其真实身份。在某些情况下，测试过程中可能会接到来自XXX省应急响应中心的电话，或者收到某些云服务供应商的警告通知甚至封号。本课将从实战的角度，介绍如何在渗透、攻防中通过各种方式绕过安全产品拦截以及避免安全人员溯源。
从防守和运维的角度来看，使用安全设备来监测并响应告警是安全运营人员日常操作的一部分。一旦发生端口扫描、漏洞探测、Web攻击等告警时运营人员会第一时间封锁攻击源IP，以终止潜在威胁，这种快速响应有助于阻止潜在攻击者的进一步行动。鉴于运营人员会根据安全设备（如探针、态势感知和WAF等）上的告警信息来采取封禁、溯源或者上报网警等一系列措施，安全测试人员需要采取一些策略来减轻封禁、溯源对测试的影响。一种方法是更改测试IP，人工慢速测试，减缓IP被封锁速度。另一种方法是实现快速扫描，每次请求后更换IP，这样即使运营人员封锁了某个IP，对渗透测试的影响也会降到最低。此外，为避免被运营人员、蓝队成员溯源，测试人员所使用的服务器、流量卡等设备也应保证匿名性，避免被溯源导致的失分。
#主要有以下方法：
1. 物联网卡+移动WIFI设备
2. 云平台云函数接口调用
3. 自建代理池+隧道代理
4. 机场节点+clash.meta+隧道代理
#测试使用场景：
不管信息收集还是后渗透过程中，重要是IP的数据通讯均可以使用到此类技术
工具有代理配置直接设置
工具无代理配置配合Proxifier
●态势感知系统实时监测
●防火墙封禁绕过
●CC拦截绕过
●攻击溯源隐藏身份
●漏洞扫描隐藏IP
●端口扫描隐藏IP
●C2回连隐藏IP
●..........
#快代理轮询代理池-实现每次访问都切换ip
1、购买隧道代理参数属性
2、管理隧道配置添加白名单
3、在相关安全工具或平台配置
curl -x xxx.com:xxxx ipinfo.io
#Clash轮询代理池-实现每次访问都切换ip
1、进入 Settings---Profiles---Parsers---Edit
parsers:
- reg: 'slbable$'
yaml:
append-proxy-groups:
- name: ⚖️ 负载均衡-散列
type: load-balance
url: 'http://www.google.com/generate_204'
interval: 10
strategy: consistent-hashing
- name: ⚖️ 负载均衡-轮询
type: load-balance
url: 'http://www.google.com/generate_204'
interval: 10
strategy: round-robin
commands:
- proxy-groups.⚖️ 负载均衡-散列.proxies=[]proxyNames
- proxy-groups.0.proxies.0+⚖️ 负载均衡-散列
- proxy-groups.⚖️ 负载均衡-轮询.proxies=[]proxyNames
- proxy-groups.0.proxies.0+⚖️ 负载均衡-轮询
2、Profiles---settings
在url后面添加 #slbable 点击确定
3、右键配置文件预处理
接着刷新，即可完成配置
set http_proxy=http://127.0.0.1:7890
set https_proxy=http://127.0.0.1:7890
4、测试实验
curl ipinfo.io
#免费手法：
https://mp.weixin.qq.com/s/DVgTRAJb_VGkjyuqhZ4heQ
渗透完整过程:
前期:打点
端口扫描
漏洞扫描-web 系统 服务 端口协议
web-目录扫描
js fuzz爆破
弱口令服务爆破
中期:
webshell管理工具
cs2工具
nc/rce等
后期:
提权
内网横向
数据回传
