Question

开展红队行动需要依托多种不同的网络服务。目前，在互联网上有大量虚拟专用服务器（VPS），可以用于搭建攻击服务器，并且价格不贵。例如，我通常使用 Digital Ocean Droplets 或 Amazon Web Services（AWS）Lightsail 服务器配置我的虚拟专用服务器。我使用这些服务的原因是因为它们通常成本非常低（有时是免费的），支持安装 Ubuntu 服务器，可以部署在世界各地，重要的是它们非常容易安装设置。仅用几分钟，您就可以安装多个服务器并运行 Metasploit 和 Empire 服务。

由于安装及设置简单，因此本书将重点介绍 AWS Lightsail 服务器，它提供自动化服务，并且流量通常经过 AWS，在成功创建了您喜欢的镜像之后，您可以快速地将该镜像复制到多个服务器，这使得构建命令和控制服务器变得非常容易。

同样，您应该确保遵守虚拟专用服务器的服务条款，这样就不会遇到任何问题。

• https://lightsail.aws.amazon.com/。
• 创建实例。
  • 强力推荐内存至少 1GB
  • 存储空间通常不是很大问题
• Linux/UNIX。
• 选择 Ubuntu 操作系统。
• 下载证书。
• chmod 600 cert。
• ssh -i cert ubuntu@[ip]。

登录到服务器后，您需要高效且可重复地安装所有工具。本书建议您开发自己的脚本来设置 IPTables 规则、SSL 证书、工具和脚本等内容。一种快速构建服务器的方法是集成 TrustedSec 组织的 PenTesters Framework（PTF）。这个集成脚本替您完成了许多烦琐的工作，并为其他所有内容创建了一个框架。让我们来看一个例子，展示如何快速地安装漏洞利用、信息搜集、后漏洞利用、PowerShell 和漏洞分析工具。

• sudo su -。
• apt-get update。
• apt-get install python。
• git clone https://github.com/trustedsec/ptf/opt/ptf。
• cd/opt/ptf && ./ptf。
• use modules/exploitation/install_update_all。
• use modules/intelligence-gathering/install_update_all。
• use modules/post-exploitation/install_update_all。
• use modules/powershell/install_update_all。
• use modules/vulnerability-analysis/install_update_all。
• cd/pentest。

图 1.1 显示了所有可用的不同模块，其中一些是我们自行安装的。

图 1.1 所有可用模块

如果查看攻击者使用的虚拟专用服务器，我们可以看到服务器上安装的所有工具，如图 1.2 所示。如果想启动 Metasploit，那么我们可以输入：msfconsole。

图 1.2 pentest 目录下安装的所有工具

我建议要做的另外一件事是建立完善的 IPTables 规则。由于这将是您的攻击者服务器，因此您需要限制 SSH 身份验证的发起位置，Empire/Meterpreter/Cobalt Strike 静荷来源，以及您搭建的任何网络钓鱼页面。

如果您还记得 2016 年年末，有人在 Cobalt Strike 项目组服务器上找到了未经身份验证的远程执行代码（RCE），那么您肯定不希望存储用户数据的攻击者服务器被突破。

我还看到一些红队在 AWS 内部的 Docker 中运行 Kali Linux（或至少是 Metasploit）。从我的角度来看，系统创建的方式没有什么问题。您所需要的是创建一个有效且可重复的流程来部署多台主机。使用 Lightsail 的好处是，一旦机器配置为首选项，您就可以使用该机器的镜像快照，搭建多个全新副本主机。

如果想让您的环境水平更上一层楼，那么可参考 Coalfire-Research 团队的研究成果。Coalfire-Research 团队构建了自定义模块，它能够为您完成所有的烦琐工作和自动化工作。Red Baron 是 Terraform 的模块和自定义/第三方提供商，它试图为红队自动创建静默、一次性、安全和敏捷的基础架构（见 GitHub 中的相关内容）。无论是要构建网络钓鱼服务器、Cobalt Strike 基础架构还是创建 DNS 命令控制服务器，您都可以使用 Terraform 完成所有的操作。