Certified Red Team Infra Dev [CRT-ID]

index

ภาพรวมคอร์ส

คอร์ส Certified Red Team Infra Dev (CRT-ID) ของ CW Labs
เป็นคอร์สที่เน้นหนักไปทาง Red Team ที่ทำงานกับ Cloud Infrastructure จริง
ไม่ใช่แค่เจาะเครื่องหรือเล่น payload แต่ต้องเข้าใจโครงสร้างระบบ, Network, Load Balancer, CDN และ OpSec
ความยากของคอร์สเรียน: 7/10
ความยากของข้อสอบ Cert: ง่ายกว่าคอร์สมาก
สิ่งที่คอร์สพยายามสอนคือ “การคิดแบบ Hacker ที่ใช้ Cloud เป็นอาวุธ”

ปัญหาที่เจอระหว่างเรียน

Ubuntu & Cloud Provider

AWS
ยังพอใช้งานได้ เพราะสามารถเลือกใช้ Ubuntu 20.04 LTS image ภายนอก ได้ ทำให้เครื่องมือหลายตัวที่คอร์สใช้ยังรองรับ
Azure
บังคับใช้ Ubuntu 22.04 ซึ่งหลายเครื่องมือในคลิป (ที่เป็นคลิปเก่า) ไม่รองรับแล้ว ต้องแก้ปัญหาเองนอกคลิปพอสมควร

ถ้าเป็นมือใหม่อาจจะรู้สึกว่า:
“ทำไมทำตามคลิปไม่ได้สักที”
แต่ถ้าผ่านจุดนี้ได้ จะเริ่มเข้าใจ Infra มากขึ้นจริง ๆ

ประสบการณ์สอบ Cert

พูดตรง ๆ คือ…
ข้อสอบง่ายกว่าคอร์สเรียนเยอะ

ถ้าไม่ติดขั้นตอนที่ต้อง:

SSH เข้าไปแก้ config
ทดสอบ service
เช็ค routing / redirect

ใช้เวลาประมาณ 10 นาที ก็เสร็จ เหมือนเป็นการเช็คว่า:

รู้จักโครงสร้าง
รู้ว่าควรแก้ตรงไหน
ไม่ได้วัดความยากเชิง exploit

สิ่งที่ได้เรียนจริงจากคอร์ส

Command & Control (C2) Server

C2 คืออะไร

C2 (Command & Control) คือระบบที่ผู้โจมตีใช้:

ควบคุมเครื่องที่ถูกเจาะ
ส่งคำสั่ง
รับข้อมูลกลับมา
รักษาการเชื่อมต่อแบบลับ ๆ

ระบบ C2 ที่ดีต้อง:

จำกัดการเข้าถึงเฉพาะ Red Team
ซ่อนตัวจาก Blue Team
Blend in กับ traffic ปกติ

Mythic C2 บน AWS EC2

Environment

Ubuntu Server 20.04 LTS
ติดตั้ง Mythic C2 + Apollo Agent
ใช้ SSH Port Forwarding เพื่อเข้าหน้า Web UI

AWS Infrastructure สำหรับ C2

โครงสร้างที่ใช้จะเน้น ซ่อน C2 หลัง Infra ปกติ

Architecture หลัก

Application Load Balancer (ALB)
Target Group → EC2 (C2)
CloudFront (CDN)
HTTPS 443

ขั้นตอนโดยสรุป

สร้าง Application Load Balancer
สร้าง Target Group (Instance)
ผูก EC2 C2 เข้า Target Group
แก้ Security Group ให้ Allow HTTP จาก ELB
สร้าง CloudFront Distribution
ใช้ Domain ของ CloudFront ไปผูกกับ C2 Profile

ผลลัพธ์คือ:

Traffic ดูเหมือนเว็บปกติ
ยากต่อการตรวจจับ
เหมาะกับ Red Team จริง

PwnDrop – Payload Hosting

PwnDrop คืออะไร

Open-source payload hosting
รองรับ HTTP / HTTPS / WebDAV
ใช้โฮสต์ payload สำหรับ Red Team

จุดเด่น

ติดตั้งง่าย
ซ่อน Admin Portal
จำกัดการเข้าถึงตาม Geo ได้
ลดโอกาสถูก Blue Team ดึงไฟล์ไปวิเคราะห์

Evilginx – Advanced Phishing Framework

Evilginx เป็นเครื่องมือที่ หนักมากในเชิง OpSec

หลักการทำงาน

เป็น Reverse Proxy
เหยื่อคุยกับเว็บจริง
Evilginx แอบดัก:
- Credentials
- Session Cookies
สามารถ Bypass MFA ได้

สิ่งที่ต้องมี

Domain ที่ดูคล้ายของจริง (Look-alike domain)
Phishlets
Lures

สรุปความเห็นส่วนตัว

ข้อดี

✅ สอน Infra จริง
✅ เข้าใจ Red Team บน Cloud
✅ ได้มุมมอง OpSec ที่ใช้งานได้จริง

ข้อเสีย

❌ คลิปเก่า
❌ Azure บังคับ 22.04 ทำให้เครื่องมือบางตัวใช้ไม่ได้
❌ มือใหม่อาจงงช่วงแรก