TCP 端口重定向工具
PortBender 是一个 TCP 端口重定向工具,允许红队操作员将目的地为一个 TCP 端口(例如 445/TCP)的入站流量重定向到另一个 TCP 端口(例如 8445/TCP)。PortBender 包含一个攻击者脚本,操作员可以利用该脚本将该工具与 Cobalt Strike 集成。然而,由于该工具实现为一个反射 DLL,它可以与任何支持通过"ReflectiveLoader"接口加载模块的 C2 框架集成[1]。该工具还允许操作员模拟 Duqu 2.0 威胁分析者使用的"PortServ.sys"功能中所利用的后门/持久化机制。
PortBender 有两种工作模式。第一种是"重定向模式",第二种是"后门模式"。在"重定向模式"中,任何连接到目标端口(例如 445/TCP)的连接都会被重定向到替代端口(例如 8445/TCP)。在"后门模式"中,如果攻击者向目标端口(例如 443/TCP)发送了特殊格式的 TCP 数据包,我们才会重定向流量。PortBender 将该客户端 IP 地址添加到后门客户端列表中,并将连接到该目标端口的所有流量重定向到替代端口(例如 3389/TCP)。运营商可以利用此机制模仿 Duqu 2.0 威胁分析人员在攻击 Kaspersky 时所使用的持久性技术。
要执行 PortBender,我们必须首先将 "PortBender.cna" 脚本导入到 Cobalt Strike,并根据操作系统架构将 "PortBender.zip" 中包含的 WinDivert32.sys 或 WinDivert64.sys 二进制文件上传到目标主机。PortBender 的帮助菜单以及示例用法如下所示:
暂无开放 Issues，或尚未同步最近议题。