はじめに
C2（Command and Control）フレームワークを学び始めると、
HTTP、HTTPS、Domain Fronting、Malleable C2 など多くの用語が一気に登場し、
全体像を見失いがちになる。
しかし、それらすべての出発点にあるのが Standard Listener である。
本記事では、Metasploit を例にしながら
Standard Listener が何者で、なぜ重要なのかを整理する。
Standard Listener の定義
Standard Listener とは、以下の特徴を持つ最も基本的な C2 通信方式である。
- raw TCP / UDP ソケットを使用
- クライアント（Agent）とサーバ（Listener）が直接通信
- コマンドは基本的に 平文（cleartext）
- プロトコル偽装・難読化・OPSEC 考慮は最小限
仕組みをシンプルに理解する
構造は驚くほど単純だ。
[ Attacker / C2 Server ]
↑
TCP / UDP
↓
[ Compromised Host ]
- サーバ側は「待ち受け」
- クライアント側は「接続して命令を受信」
- 双方向でコマンドと結果をやり取りする
概念的には Netcat のリバースシェルと非常に近い。
Metasploit における Standard Listener
Metasploit は、この Standard Listener を 完全に内蔵サポートしている。
特徴的なのは以下の点：
- Listener / Handler の管理を自動化
- 複数セッションを同時に扱える
- Armitage などの GUI からも操作可能
つまり Metasploit は、
「裸の TCP Listener を
実運用できるレベルまで昇華したフレームワーク」
と言える。
なぜ “Standard” と呼ばれるのか
理由は単純で、すべての C2 の基礎だからである。
どれほど高度な C2 でも、突き詰めると：
- ソケット通信
- データ送受信
- コマンド実行結果の返却
という原理から逃れることはできない。
Standard Listener は、その 最小構成モデルだ。
メリットとデメリット
メリット
- 実装が単純
- 学習コストが低い
- トラブルシュートしやすい
- 内部ネットワークや検証環境では非常に有効
デメリット
- 通信内容が平文
- ネットワーク上で非常に目立つ
- IDS / IPS / NDR に検知されやすい
- 実戦的な OPSEC は期待できない
OPSEC 観点での評価（赤チーム視点）
Standard Listener は 実戦向きではない。
理由は明確で：
- ポート直結通信は異常検知されやすい
- 明文コマンドは解析が容易
- 振る舞いが「攻撃ツールらしすぎる」
そのため赤チームでは、
- 学習
- PoC
- 内部演習
- 初期デバッグ
といった 限定用途で使われることが多い。
C2 通信方式の進化の中での位置づけ
Standard Listener は「進化の最下層」にある。
Level 0: Standard Listener
└ raw TCP / UDP
└ cleartext
Level 1: Encrypted TCP
└ TLS
Level 2: HTTP / HTTPS
└ Web 通信に擬態
Level 3: Domain Fronting / CDN
└ OPSEC 重視
Level 4: Malleable C2
└ APT レベル
高度な C2 を理解するには、
必ず Level 0 を理解している必要がある。
ブルーチーム視点ではどう見えるか
ブルーチームから見ると、Standard Listener は非常に分かりやすい。
- 不審なポート通信
- 定常的な双方向接続
- 意味のある ASCII 文字列
つまり、
「教材としては最適、現場では最初に潰される」
という存在だ。
まとめ
- Standard Listener は C2 の原点
- raw TCP / UDP + cleartext という最小構成
- Metasploit はこれをフルサポートしている
- OPSEC 的には弱いが、理解の価値は非常に高い
- すべての高度な C2 は、ここから始まる
Standard Listener を理解せずに
HTTP C2 や Malleable Profile を触るのは、
「TCP を知らずに HTTPS を語る」
のと同じである。
地味だが、ここを押さえているかどうかで
C2 の理解は決定的に変わる。