0x01 背景
对网络空间测绘数据的分析和发掘，是Quake团队一直以来的核心目标。
十几年来Web应用的飞速发展使其毋庸置疑的成为了互联网的主流。为了弥补Web应用和HTTP协议的各类安全问题，HTTP over SSL/TLS在互联网中的比例也逐年提升。因此，对全网SSL/TLS相关测绘与数据分析一直是Quake系统关注的重点之一。
当前Quake系统已经支持任意端口、任意协议使用的SSL/TLS证书提取、分析、握手包的解析与留存。
注册用户在证书窗口中就可以看到TLS证书按照x509格式进行解析后的内容，同时 付费会员（高级会员、终身会员、企业会员）可以在tls协议窗口中看到完整的TLS握手过程，并提供格式化解析后的数据，在 server_certificates 中就包含了对服务端证书的指纹采集计算。如下图所示：
与此同时，我们也在持续关注TLS主动测绘方向的前沿研究。近期，我们留意到有关研究人员在发布了一篇名为Easily Identify Malicious Servers on the Internet with JARM的文章，并在github上发布了一个JARM扫描工具，相关内容引起了国外部分研究人员的讨论。在Quake团队小伙伴一致努力下，现已将此功能集成入Quake系统。
经过一段时间的分析研究，我们也总结出一些关于JARM的认识与大家交流和分享。抛砖引玉，希望大家多多指正。
0x02 JARM介绍
JARM 是一个主动式TLS服务端指纹工具，主要用途如下：
- 快速验证一组TLS服务器是否使用相同的TLS配置；
- 通过TLS配置划分TLS服务器，并识别可能归属的公司；
- 识别网站默认的应用或基础架构；
- 识别恶意软件C&C控制节点，以及其他恶意服务器。
2.1 JARM工作原理
想要理解JARM工作原理，必须要了解TLS工作的流程，这里就不再详细讲解，我们用一句话简单概括下TLS握手的大致目的：客户端和服务端双方基于彼此的配置进行沟通、协商和校验，在达成一致后生成密钥。而JARM的核心在于：TLS Server根据TLS Client Hello中参数的不同，返回不同的Server Hello数据包。而Client Hello的参数可以人为指定修改，因此通过发送多个精心构造的Client Hello获取其对应的特殊Server Hello，最终形成TLS Server的指纹（有点类似于Fuzz的感觉）。 具体能够产生影响的参数包括但不限于：
- 操作系统及其版本
- OpenSSL等第三方库及其版本
- 第三方库的调用顺序
- 用户自定义配置
- ……
2.2 JARM工作流程
JARM通过主动向TLS服务器发送10个TLS Hello数据包并对Server Hello中的特定字段进行分析，以特定方式对10个TLS服务器响应进行哈希处理，最终生成JARM指纹。
JARM中的10个TLS客户端Hello数据包经过特殊设计，目的就是提取TLS服务器中的唯一响应。例如：
- JARM以不同的顺序发送不同的TLS版本，密码和扩展；
- TLS Clint将密码从最弱到最强排序，TLS Server将选择哪种密码？
- ……
总之JARM与我们在进行流量分析威胁时常用的JA3、JA3/S不同：
- JA3、JA3/S主要基于流量
- JARM则是完全主动的扫描并生成指纹
因此有了上述的理论基础，我们尝试分析JARM工具的具体代码。
2.3 JARM工具代码分析
首先在main函数，jarm定义了10种TLS Client Hello数据包生成的结构，分别包含了待扫描的目标、端口、tls客户端加密套件、TLS扩展列表：
然后依次遍历这10种TLS Client Hello结构生成数据包，并使用packet_building函数生成对应的TLS Client Hello数据包，然后依次发送数据包：
通过send_packet发送数据包以后，使用read_packet解析返回TLS Server Hello，并拼接为如下格式：
字段含义：
服务器返回的加密套件 | 服务器返回选择使用的TLS协议版本 | TLS扩展ALPN协议信息 | TLS扩展列表
通过发送10次TLS Client Hello并解析为以上格式，将10次解析的结果拼接以后最终调用jarm_hash算出最终的结果。
jarm_hash前30个字符由加密套件和TLS协议版本分别使用cipher_bytes、version_byte函数计算拼接而来，其余的32个字符是由TLS扩展ALPN协议信息和TLS扩展列表通过sha256哈希并截取而来：
0x03 JARM的应用与问题
3.1 利用JARM搜寻服务端
通过上述对JARM的研究我们理解了JARM的原理。因此将JARM集成进入了Quake底层识别引擎Vscan的协议深度识别流程之中。
其实在我们之前的文章浅析 CobaltStrike Beacon 扫描中，有心的小伙伴已经留意到了在某些支持SSL/TLS的端口 端口响应 标签文本末尾有一串形如“JARM:xxxxxxxxxxxxxxx”的字符串，这便是该端口的JARM指纹。Quake搜索语法如下，注意替换JARM:之后的内容：
response:"JARM:07d14d16d21d21d07c42d41d00041d24a458a375eef0c576d23a7bab9a9fb1"
现目前Quake注册用户就能够在端口响应 文本的末尾看到其JARM指纹。该内容为系统自动追加后的数据，并不是该端口原始返回数据，请注意区分。
同时，所有 终身会员、企业会员 能够查看TLS-JARM协议深度识别的内容：
经过一段持续测绘后，我们发现了一些有趣的现象，下面让我们一起看看。
3.2 利用JARM识别C2与问题
在Easily Identify Malicious Servers on the Internet with JARM原文中，作者给出了一份C2和JARM对应的清单，这里我们就不赘述了。
当我们得到这些C2和JARM的时候是十分高兴的，因为在理想情况下如果JARM与C2唯一对应，那么我们就多了一种主动发现C2节点的特征。可是事与愿违，搜索上面的那个CS对应的JARM: response:"07d14d16d21d21d07c42d41d00041d24a458a375eef0c576d23a7bab9a9fb1"
我们发现数量不少，独立IP有2338个。但是 TOP5的应用为：
| 应用 | 数量 |
|---|---|
| Cobalt Strike团队服务器 | 1,137 |
| CobaltStrike-Beacon服务端 | 373 |
| Tomcat-Web服务器 | 40 |
| Weblogic应用服务器 | 21 |
| WordPressCMS博客系统 | 14 |
可以看到和上面CobaltStrike相同JARM的还有 Tomcat、Weblogic和WordPress等开启TLS的Web应用，也就是说CobaltStrike这个应用只是该JARM对应TLS服务器其中的一个子集。
继续在本地搭建环境进行测试，Cobalt Strike 4.0 在JDK 11.0.9.1下 JARM为 07d2ad16d21d21d07c42d41d00041d24a458a375eef0c576d23a7bab9a9fb1。
在Quake中搜索： response:"CobaltStrike Beacon configurations" AND response:"07d2ad16d21d21d07c42d41d00041d24a458a375eef0c576d23a7bab9a9fb1"，发现没有CobaltStrike Beacon为这个JARM。
回到本地环境切换JDK版本，同一个Cobalt Strike 4.0，在JDK 1.8.0_212情况下JARM为：07d2ad16d21d21d07c07d2ad07d21d9b2f5869a6985368a9dec764186a9175。
看来JARM似乎和CobaltStrike无关，为了证明这一点，在相同JDK环境下搭建Tomcat服务配置TLS。结果如下：
JDK 11.0.9.1 Tomcat 9.0.41 JARM 07d2ad16d21d21d07c42d41d00041d24a458a375eef0c576d23a7bab9a9fb1
JDK 1.8.0_212 Tomcat 9.0.41 JARM 07d2ad16d21d21d07c07d2ad07d21d9b2f5869a6985368a9dec764186a9175
发现JARM分别和CobaltStrike在两个JDK环境下的一样，看来这个和CobaltStrike不是强关联性的，也解释了为什么会有那么多的Weblogic和Tomcat应用被识别出来了。
进一步对多个JDK版本进行测试得到如下结果：
看来，我们并不能直接通过JARM去判定CobaltStrike；同样，对于CobaltStrike而言JARM也并不唯一，其JARM与不同JDK环境下TLS服务有关。
JARM只能作为一个辅助手段，结合之前CobaltStrike的特征，我们提取了部分CobaltStrike服务器的JARM数据放置在Quake的开源仓库中，仅供业界研究使用（不作为精准威胁情报）：CobaltStrike-JARM
0x04 结论与思考
JARM其实对识别CobaltStrike等上层应用软件并不十分可靠，仅仅能够起到一个辅助的作用，实际工作中还是要结合多方面的信息来进行判断。
但是，也不是说JARM完全没有作用，JARM的本质是对TLS服务进行标记，例如：我们可以结合已知的JDK版本对应的JARM可以看到公网上运行在特定版本JDK环境下的服务，如图为运行在JDK 11.0.9.1的ELasticSearch，运行在JDK 11.05的Weblogic。
JARM仅仅是一种TLS服务端特征的标识方式，不能完全被用作Web上层应用的唯一指纹。
总归来说，JARM提供的思路大于其本身价值：利用主动测绘的方式，向目标发送各类数据包，根据不同的返回进而发掘、分析、提取目标特征。
正如在A Red Teamer Plays with JARM中提到的：
This is a commoditized threat intelligence practice. If your blue team uses this type of information, there are a lot of options to protect your infrastructure.
基于主动测绘的威胁情报正在各个方向落地生根。通过对主动测绘数据各个维度的统计、分析信息，能够提供新的防护思路。
Happy hunting by using 360-Quake.