新HTTP协定反成资安漏洞，后胁迫命令控制工具Merlin能以HTTP/2规避侦测

Merlin是一款跨平台后胁迫（Post-Exploitation）HTTP/2控制与命令工具，能提供使用者以既存工具无法理解或是检查的HTTP/2协定，执行渗透测试或是红队演练来进行网络侦测。Merlin能轻易的执行跨平台编译，在任何平台上执行，实现对主机的命令和控制（Command and Control）。

HTTP/2是RFC 7540中新批准的协定，目的是用来解决HTTP/1.x存在的问题，并加入一些新功能以支援现代网页应用程序操作，由于HTTP/2是一种二元协定，资料更压缩、易解析，并且人类难以在没有工具的情况下阅读。

HTTP/2的RFC规范需要使用Perfect Forward Secrecy（PFS）加密套件，并建议设定所有非使用PFS加密套件的服务都为黑名单。使用PFS加密套件之后，有心人士就无法单用服务器私钥破解流量，同时还需要客户端的对话金钥资讯才行。而Merlin是一个跨平台的后胁迫框架，使用HTTP/2协定通讯以规避侦测，官方提到，HTTP/2是较新的协定，请求使用PFS加密套件，而这些套件的特性，便是难以被捕获用来解密的金钥材料。

Merlin由Go语言撰写而成，由服务器与代理两部分组成，也因为Go语言的特性，因此两个元件都可以经过编译后，在任何平台上执行，或者以像是脚本的方式执行。为Linux或任何平台编译执行的Merlin服务器，可以处理来自所有为其他平台编译代理的流量。

Merlin的服务器元件应该在所有代理都能存取的位置执行，使用者可以使用命令列旗标配置服务器监听的界面与埠口，所有代理都有全域唯一识别码（UUID），使用者要对特定代理发号命令，就需要使用该识别码。

而Merlin代理得利于跨平台编译，因此可以在任何平台上执行，代理提供了各式配置，使用者可以从服务器调整代理休眠时间、最大重试次数、终止或是填充设定。官方提到，填充设定是以不同讯息流量大小，逃避检查机制的侦测，使用者可以设置一个最大填充值，系统会从0到设定的最大值，随机产生数值填充到每条讯息之后。

当发生服务器失效的情况，代理会持续尝试连接，直到到达最大重试次数才会终止。而当代理与服务器连接通讯间，服务器突然离线中断，则代理会被视为孤立状态，当孤立状态的代理重新连接上服务器时，则会被重新初始化。

官方提到，由于许多安全技术尚未加入HTTP/2协定解析器（Dissector），因此即便拥有金钥材料，仍然无法用来评估流量，而Merlin的特殊之处，就在于使用HTTP/2协定，以及Go程式语言的交叉编译功能，让使用者方便的对系统进行渗透攻击测试。