CobaltStrike魔改与增强

最新推荐文章于 2024-08-14 17:04:01 发布
最新推荐文章于 2024-08-14 17:04:01 发布
阅读量5.2k 收藏 12
点赞数
分类专栏： 分析技巧 文章标签： 渗透测试 java 信息安全 网络安全
By：RedCode Team
本文链接：https://blog.csdn.net/ExpLang/article/details/121658420
版权

文章为匿名投稿，该文章仅限提供思路，具体实现请自行研究使用。

文章内用到的代码源码 详见末尾

由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，文章作者不为此承担任何责任。

RedCode Team 拥有对此文章的修改和解释权如欲转载或传播此文章，必须保证此文章的完整性，包括版权声明等全部内容。未经作者允许，不得任意修改或者增减此文章内容，不得以任何方式将其用于商业目的。

CobaltStrike魔改与增强

写这篇文档的目的在于记录CS客户端和服务器的魔改过程，因为有些点随着时间的过去会逐渐淡忘，有这么一篇详实的魔改过程记录文档，无疑对团队和个人来说都是件益事。这篇文档将记录CS4.4版本的破解使用，特征消除，功能改造增强的实现过程。

第一部分-破解使用

网上已经有人公开了4.4版本的原版jar包和破解方法，见CobaltStrike 4.4原版+通用白嫖破解及汉化加载器[1]。对于别人的公开不便评论，原本这个版本的原版jar包应该在一个小圈子里流传，后面被传出来了，也无所谓，反正迟早都要发生的。4.4版本由于class之间有循环校验文件完整性，导致4.3及之前版本的暴力替换class文件的破解方法失效，于是有师傅用java agent注入的形式动态替换内存当中的license实现白嫖。这位师傅就是Twi1ight[2]。CSAgent实现了CS 4.X的通杀白嫖，实在牛逼，膜。

上面是CS4.4相关的有趣故事，接下来是如何使用破解补丁的具体过程。首先clone CSAgent[3]到本地，然后IDEA打开。等待IDEA完成项目加载后，点击右侧maven选项，先执行compile，再执行single打包，生成破解补丁jar包。

图片

图片

执行完成后，生成jar包。

图片

接下来复制一份完整的cs 4.x的目录，重命名为cobaltstrike4.4，然后替换该目录下的cobaltstrike.jar为cs4.4的原版jar包。将上面生成的破解补丁复制到目录下，重命名为CSAgent.jar。

图片

替换cobaltstrike、teamserver、agscript、c2lint、cobaltstrike.bat文件中的解密key，cs4.4版本替换后的文件可以从release的1.2版本中下载。

#!/bin/bash
#
# Start Cobalt Strike Aggressor Script
# 文件 agscript

java -XX:ParallelGCThreads=4 -XX:+AggressiveHeap -XX:+UseParallelGC -classpath ./cobaltstrike.jar -javaagent:CSAgent.jar=5e98194a01c6b48fa582a6a9fcbb92d6 -Duser.language=en aggressor.headless.Start $*

#!/bin/bash
#
# Check a Malleable C&C Profile
# 文件 c2lint

java -XX:ParallelGCThreads=4 -XX:+UseParallelGC -classpath ./cobaltstrike.jar -javaagent:CSAgent.jar=5e98194a01c6b48fa582a6a9fcbb92d6 -Duser.language=en c2profile.Lint $1

#!/bin/bash
#
# Start Cobalt Strike Client
# 文件 cobaltstrike

java -XX:ParallelGCThreads=4 -XX:+AggressiveHeap -XX:+UseParallelGC -javaagent:CSAgent.jar=5e98194a01c6b48fa582a6a9fcbb92d6 -Duser.language=en -jar cobaltstrike.jar $*

; 文件 cobaltstrike.bat

java -XX:ParallelGCThreads=4 -XX:+AggressiveHeap -XX:+UseParallelGC -javaagent:CSAgent.jar=5e98194a01c6b48fa582a6a9fcbb92d6 -Duser.language=en -jar cobaltstrike.jar

#!/bin/bash
#
# Start Cobalt Strike Team Server
# 文件 teamserver

# make pretty looking messages (thanks Carlos)
function print_good () {
    echo -e "\x1B[01;32m[+]\x1B[0m $1"
}

function print_error () {
    echo -e "\x1B[01;31m[-]\x1B[0m $1"
}

function print_info () {
    echo -e "\x1B[01;34m[*]\x1B[0m $1"
}

# check that we're r00t
if [ $UID -ne 0 ]; then
    print_error "Superuser privileges are required to run the team server"
    exit
fi

# check if java is available...
if [ $(command -v java) ]; then
    true
else
    print_error "java is not in \$PATH"
    echo "    is Java installed?"
    exit
fi

# check if keytool is available...
if [ $(command -v keytool) ]; then
    true
else
    print_error "keytool is not in \$PATH"
    echo "    install the Java Developer Kit"
    exit
fi

# generate a certificate
    # naturally you're welcome to replace this step with your own permanent certificate.
    # just make sure you pass -Djavax.net.ssl.keyStore="/path/to/whatever" and
    # -Djavax.net.ssl.keyStorePassword="password" to java. This is used for setting up
    # an SSL server socket. Also, the SHA-1 digest of the first certificate in the store
    # is printed so users may have a chance to verify they're not being owned.
if [ -e ./cobaltstrike.store ]; then
    print_info "Will use existing X509 certificate and keystore (for SSL)"
else
    print_info "Generating X509 certificate and keystore (for SSL)"
    keytool -keystore ./cobaltstrike.store -storepass Microsoft -keypass Microsoft -genkey -keyalg RSA -alias cobaltstrike -dname "CN=*.microsoft.com, OU=Microsoft Corporation, O=Microsoft Corporation, L=Redmond, S=WA, C=US"
fi

# start the team server.
java -XX:ParallelGCThreads=4 -Dcobaltstrike.server_port=50050 -Dcobaltstrike.server_bindto=0.0.0.0 -Djavax.net.ssl.keyStore=./cobaltstrike.store -Djavax.net.ssl.keyStorePassword=Microsoft -server -XX:+AggressiveHeap -XX:+UseParallelGC -classpath ./cobaltstrike.jar -javaagent:CSAgent.jar=5e98194a01c6b48fa582a6a9fcbb92d6 -Duser.language=en server.TeamServer $*

现在已经破解完成，可以启动teamserver和client查看效果。

图片

图片

图片

图片

生成木马上线测试。

图片

成功上线。

图片

测试执行命令。

图片

可开启汉化选项，复制CSAgent提供的resources和script目录到cs4.4的目录下，关闭客户端重新启动即可汉化。

图片

第二部分-特征消除

逆向环境搭建

  • idea pro

  • java-decompiler

使用idea安装目录下的plugins/java-decompiler/lib/java-decompiler.jar文件反编译cobaltstrike.jar，反编译完成得到cs的java源码，需要注意的是，得到的源码是一个jar的压缩包，解压即可得到源码。

java -cp IDEA_HOME/plugins/java-decompiler/lib/java-decompiler.jar  org.jetbrains.java.decompiler.main.decompiler.ConsoleDecompiler -dgs=true <src.jar> <dest dir>

接下来新建一个IDEA项目，jdk版本选择1.8。

图片

下一步勾选Create Project from template.

图片

创建完成项目之后，解压缩源码jar包中的代码到项目的src目录下。完成这些，初步的逆向分析环境就搭建好了。

teamserver登录接口

启动CS TeamServer的过程中，会看到其日志打印提示信息

图片

[*] SHA256 hash of SSL cert is: d1a004dba75db4c313f6d6ce33181418112c4186a6cf1c58b4c12bf4a427ba46

可以通过前面的提示信息SHA256 hash of SSL cert is在代码中搜索，定位到TeamServer启动的位置(server/TeamServer/A)。

图片

其中SecureServerSocket var4 = new SecureServerSocket(var3, this.port)这行代码正是简历TCP TLS监听的代码。var3是程序监听的IP地址，如果在启动teamserver时没有指定，那么默认监听绑定的地址就是0.0.0.0。代码接下来便是对新连接的客户端请求进行处理的过程(server/TeamServer/A)。

图片

对于每个连接的客户端请求，都会调用acceptAndAuthenticate方法去验证身份(ssl/SecureServerSocket/acceptAndAuthenticate)。跟进这个方法，继续分析。

图片

最终调用了authenticate方法对新创建的连接进行认证，第一个参数是连接的socket对象，第二个参数是当前服务端设置的连接密码，第三个参数的客户端的IP地址(ssl/SecureServerSocket/authenticate)。跟进该方法，继续分析。

图片

首先从socket请求中读取4字节的int型变量。如果读取到的数据与48879相等，那么继续后面的处理过程，否则就直接返回false，身份认证失败，关闭客户端的连接。因此，我们这里可以修改这一字段的值，改为我们自定义的其他值，以避免teamserver口令爆破和指纹识别的风险。

上面是teamserver端的处理过程，与之相对应的，客户端也有一段登录请求包的构造过程(ssl/SecureSocket/authenticate)，在修改服务端的同时，也要修改客户端，才能在修改完成之后，正常的用户通过修改后的客户端登录。

图片

设置连接密码为admin123，启动teamserver。使用网上开源的cs登录密码爆破脚本分别爆破修改前和修改后的teamserver。

修改前的teamserver被爆破出密码为admin123。

图片

修改后的teamserver无法被爆破出密码。

图片

使用修改后的客户端可正常登录TeamServer。

图片

分段beacon下载路径特征

使用分段的木马上线，木马会请求一个随机URI路径下载第二阶段的beacon文件，这个beacon文件就是CS的控制功能所在。

图片

根据网上师傅们分享的URI检测的代码所在位置(cloudstrike/WebServer/checksum8)，按照师傅们提到的，修改这一部分的校验逻辑。

图片

与之相对应，还需要修改另一处生成stager时获取URI的代码(common/CommonUtils/MSFURI)。

图片

修改前手动下载beacon文件。

图片

IDA中可打开查看shellcode内容。

图片

修改后手动下载beacon文件。

图片

生成默认的分段上线exe，执行上线成功。

图片

图片

64位程序上线成功。

图片

图片

另外还有一种方法，就是在不需要分段模式上线的时候kill掉管理站点下的stager，在需要的时候再开起来，这也是一种规避stager uri扫描的方法。

图片

修改beacon配置信息的默认密钥

参考网上其他师傅公开的资料，beacon/BeaconPayload的beacon_obfuscate方法对beacon的配置信息进行了异或混淆，异或的key是固定的，3.x是0x69，4.x为0x2e。

图片

这里的46的16进制就是0x2E。修改完服务端beacon的混淆密钥，与之对应，需要修改sleeve目录下的dll文件。这些DLL文件默认是加密的，使用ca3tie1[4]师傅开发的 **CrackSleeve[5]**程序解密这些DLL，在修改完密钥之后再加密回去即可。需要注意的是，在解密的时候需要将程序中默认的密钥改成4.4版本的。

图片

图片

其中以x64结尾的是64位文件，x86或者没有后缀名的为32位文件。使用IDA打开beacon.dll，搜索0x2e，找到之后修改成与服务端相同的密钥即可。

图片

图片

图片

修改完成之后，选择Edit->Patch Program -> Apply patches to input file保存文件修改即可。类似的，其他dll文件也需要修改密钥。修改完成密钥之后，执行encode加密操作，重新将修改后的dll加密回去，然后替换原来jar包中的DLL文件即可。需要修改的文件有beacon、dnsb、extc2、pivot以及这些文件的x64版本。

图片

注意，在替换jar包中的sleeve文件时，需要提前备份原来的文件，防止修改之后，出现错误，导致程序无法使用。

修改混淆密钥前，使用CobaltStrikeParser[6]解析beacon的配置信息。

图片

修改混淆密钥后再次解析。

图片

生成32位、64位的分段exe程序上线成功。

图片

其他一些特征修改

•.cobaltstrike.beacon_keys和cobaltstrike.store这两个文件不要使用默认的文件，删除后生成新的。•profile文件要换新的，启动服务端时记得加载，或者直接把jar包里面的默认配置给改了•开在公网的teamserver不要使用默认端口

第三部分-改造增强

shellcode自定义

ShellCode开发框架参考自快乐鸡哥[7]师傅和鬼手[8]师傅，两位师傅YYDS。之所以参考两位师傅的，是因为快乐鸡哥师傅的shellcode框架里没有生成x64的，而鬼手师傅的代码里有64位的。

图片

图片

两位师傅写的代码搜索API的算法区别也比较大，笔者觉得这里应该参考快乐鸡哥师傅的。快乐鸡哥师傅的搜索算法是先定位函数所在DLL模块，再在模块内搜索，当调用函数较多时，这个方法效率比鬼手师傅的全局搜索效率要高，并且hash冲突的可能性也会比较低。

图片

图片

笔者的目标是先搜寻内存当中的DLL模块的基址，再从基址遍历导出表计算导出函数HASH并对比获取导出函数的内存地址。为了得到Shellcode，需要首先分别计算出DLL模块名称的HASH和导出函数的HASH。

图片

图片

将生成的HASH数据导出到文件中保存。接下来将上线的C代码写好，生成shellcode，分别上线测试。

32位ShellCode上线成功。

图片

图片

64位ShellCode上线成功。

图片

图片

接下来分析CS的ShellCode生成替换过程。首先定位到ShellCode生成过程代码入口(aggressor/dialogs/PayloadGeneratorDialog)。

图片

首先判断格式，每个格式对应不同的语言代码模板。这里直接看原始的payload如何构造。

图片

根据前端用户的选项选择payload架构和监听器，然后将选项传入getListener函数，返回后调用getPayloadStager函数，继续跟进分析。

图片

getListener通过监听器的名字从全局注册的监听器中搜索，并返回监听器对象。跟进ScListener对象的getPayloadStager函数分析。

图片

getPayloadStager直接调用了Stagers.shellcode函数，跟进。

图片

shellcode是个单例方法，最终会调用Stagers的对象方法resolve根据选择的监听器类型生成GenericStager，再调用generate方法生成shellcode。

图片

图片

笔者这里自定义的ShellCode是reverse http，因此会进入GenericHTTPStagerX64和GenericHTTPStagerX86。

图片

图片

最终都会进入GenericHTTPStager的generate方法。

public byte[] generate() {
      try {
         // 获取stager模板文件
         InputStream var1 = CommonUtils.resource(this.getStagerFile());
         // 读取模板文件到内存
         byte[] var2 = CommonUtils.readAll(var1);
         String var3 = CommonUtils.bString(var2);
         var1.close();
         // 获取监听器的host信息，最后添加一个unicode的0结尾，放到模板代码的最后
         var3 = var3 + this.getListener().getStagerHost() + '\u0000';
         // 创建一个packer对象
         Packer var4 = new Packer();
         // 设置为小端字节序
         var4.little();
         // 添加监听器的端口
         var4.addShort(this.getListener().getPort());
         AssertUtils.TestPatchS(var2, 4444, this.getPortOffset());
         // 替换shelllcode模板中端口偏移处的信息
         var3 = CommonUtils.replaceAt(var3, CommonUtils.bString(var4.getBytes()), this.getPortOffset());
         var4 = new Packer();
         var4.little();
         // 设置exit代码
         var4.addInt(1453503984);
         AssertUtils.TestPatchI(var2, 1453503984, this.getExitOffset());
         var3 = CommonUtils.replaceAt(var3, CommonUtils.bString(var4.getBytes()), this.getExitOffset());
         var4 = new Packer();
         var4.little();
         var4.addShort(this.getStagePreamble());
         AssertUtils.TestPatchS(var2, 5555, this.getSkipOffset());
         var3 = CommonUtils.replaceAt(var3, CommonUtils.bString(var4.getBytes()), this.getSkipOffset());
         var4 = new Packer();
         var4.little();
         // 设置连接选项
         var4.addInt(this.getConnectionFlags());
         AssertUtils.TestPatchI(var2, this.isSSL() ? -2069876224 : -2074082816, this.getFlagsOffset());
         var3 = CommonUtils.replaceAt(var3, CommonUtils.bString(var4.getBytes()), this.getFlagsOffset());
         String var5;
         // 搜索303个X，搜索到的话，替换成headers信息
         if (CommonUtils.isin(CommonUtils.repeat("X", 303), var3)) {
            var5 = this.getConfig().pad(this.getHeaders() + '\u0000', 303);
            var3 = CommonUtils.replaceAt(var3, var5, var3.indexOf(CommonUtils.repeat("X", 127)));
         }

         // 搜索79个Y,然后替换成URI
         int var6 = var3.indexOf(CommonUtils.repeat("Y", 79), 0);
         var5 = this.getConfig().pad(this.getURI() + '\u0000', 79);
         var3 = CommonUtils.replaceAt(var3, var5, var6);
         // 最终在尾部添加水印信息后返回
         return CommonUtils.toBytes(var3 + this.getConfig().getWatermark());
      } catch (IOException var7) {
         MudgeSanity.logException("HttpStagerGeneric: " + this.getStagerFile(), var7, false);
         return new byte[0];
      }
   }

这里以32位shellcode为例，通过代码，模板文件为resources/httpstager.bin。在反编译jar包的源码中，找到该文件，用010Editor打开，再打开生成的shellcode文件，对比两者的差别。

图片

第一处区别偏移是0xBF，十进制就是191，这个偏移正是GenericHTTPStagerX86类中定义的端口数据的偏移，teamserver监听端口为8088，16进制正是0x1f98，这里是小端存储，即981F。第三处区别的偏移是0x143，对比文件内容，正是替换Y的地方。前面是占位80字节的URI信息，后面是headers信息。

图片

图片

这里水印信息为499602D2。这些便是根据监听器配置生成的ShellCode数据。

经过上面的处理流程之后，最后通过common/CommonUtils.writeToFile将ShellCode直接写入文件。

图片

写在最后

其实前面这些魔改只是做的表面功夫，真正到实战当中还是会被实力强的杀软秒杀，比如卡巴斯基等。遇到这些对手，需要让beacon和其他后渗透模块高度自定义，这里面涉及到很多方面，静态和行为都需要改造，所以单从魔改CS的客户端、服务端和控制端已经远远不够了，并且灵活度太低，参考快乐鸡哥师傅用C#重写的SharpBeacon（师傅YYDS）。另外，鉴于改造CS的客户端这么麻烦，不如在搞清楚CS的内部原理之后，在外部建设一个Stager生成服务，通过CS的配置动态生成各种语言版本的Stager，这样省去了通过Agent动态替换JAVA指令的麻烦，灵活度大大增加。

参考资料

•https://github.com/Twi1ight/CSAgent•https://github.com/ryanohoro/csbruter•https://mp.weixin.qq.com/s/HibtLfikI_0ezcLVCRxqaA•https://mp.weixin.qq.com/s/0MPM3bysJJYr5jbRnES_Vg•https://github.com/Sentinel-One/CobaltStrikeParser•https://github.com/CCob/BeaconEye•https://mp.weixin.qq.com/s/_gSPWVb1b-xuvhU6ynmw0Q•https://wbglil.gitbook.io/cobalt-strike/cobalt-strike-gong-ji-fang-yu/untitled-1•https://github.com/TonyChen56/ShellCodeFrame•https://gitee.com/stemmm/CobaltstrikeSource

References

[1] CobaltStrike 4.4原版+通用白嫖破解及汉化加载器: https://www.ddosi.org/cobaltstrike-4-4-csagent/
[2] Twi1ight: https://github.com/Twi1ight
[3] CSAgent: https://github.com/Twi1ight/CSAgent
[4] ca3tie1: https://github.com/ca3tie1
[5] CrackSleeve: https://github.com/ca3tie1/CrackSleeve
[6] CobaltStrikeParser: https://github.com/Sentinel-One/CobaltStrikeParser
[7] 快乐鸡哥: https://github.com/mai1zhi2
[8] 鬼手: https://github.com/TonyChen56

知识星球人员介绍

图片

知识星球二维码

图片

文章内用到的代码源码已同步更新在知识星球

ExpLang
关注
专栏目录
SecondaryDevCobaltStrike:二次开发过后的CobaltStrike,版本为4.1.在原来CobaltStrike的基础上修改多处特征,解决流量查杀问题
04-16
先赞后看,已成习惯.如有后门,我必完蛋:star: 关于二次开发后的CobaltStrike 默认的CobaltStrike内存在多处流量特征,在马儿与服务端建立连接时进行流量交互.此间存在多处可疑特征已被各大杀软记录在册 如:卡巴斯基,诺顿,迈克菲等，但国内杀软并无此功能. 所以在客户端进行免杀的同时服务端在流量交互方面也需要特征去除,才产生了二次开发后CobaltStrike. 此次二开为CobaltStrike4.1版本. 效果截图 迈克菲截图 卡巴斯基截图 诺顿截图 注:所有的CobaltStrike上线未被查杀都基于客户端的马儿未被AV静态查杀的前提下,达到了动态免杀. 使用方法 1.将cobaltstrike.jar文件替换服务端的原有jar 2.将cobaltstrike.jar文件替换客户端的原有jar 3.请确保服务端或客户端的Java环境在Jdk10以上（包含JDK10） 使用中
Cobalt Strike特征修改
qq_52839196的博客
02-07 8146
Cobalt Strike相关特征修改
Cobalt Strike 4.8 用户指南-第一节-Cobalt Strike介绍及安装
最新发布
YJ_12340的博客
08-14 1343
图中的 Intrumentation & Telemetry 大概可以翻译为「终端行为采集 Agent & 云端 行为分析引擎」。Instrumentation 指的应该是安装在目标主机上的各类日志收集与监控类工 具， Telemetry 指的应该是将这些监控类工具所产出的各位监测日志进行归一化、汇聚到一个统 一分析引擎并等待引擎的研判结果这类的过程。深思熟虑的有针对性的攻击从都是从侦察开始的。的系统分析器是一个Web应用程序，可以映射目标的客户端攻击面。
魔改CobaltStrike：二开及后门生成分析
mai1zhi2的博客
04-21 3255
一、概述： 这次文章主要介绍下Cobalt Strike 4.1相关功能的二开和后门（artifact.exe\beacon.exe）的生成方式，Cobalt Strike的jar包我已反编译，并改了下反编译后的bug，teamserver与agressor均能正常调试使用，附反编译后项目地址： https://github.com/mai1zhi2/CobaltstrikeSource 。若有不对的地方希望大伙指出，谢谢。后续将会再分享通讯协议与自定义客户端（后门）。PS：感谢Moriarty的分享课。
Cobaltstrike 魔改需要改哪些
SHELLCODE_8BIT的博客
11-28 1099
1.上线的默认证书 2.生成出的shellcode 3.defender查杀截图 4.kaspersky 查杀shell运行
Cobalt Strike特征性信息修改玩转防火墙设备
Adminxe的博客
09-13 2107
0x00 前言 Cobalt Strike 服务端和客户端是通过 SSL 加密通讯的，由于SSL配置文件和代理配置文件由于默认配置导致keystore文件内容通常被用于防火墙识别。 后渗透中经常使用到CS，从两方面讲：一方面是内网设备对流量的管控十分严格，如果不对CS特征进行修改，很容易就被内网设备抓到，进行溯源或者直接封掉IP，间接凉西皮；另外一方面主要还是为了保证攻击队队员计算机的安全，防止被攻击队反制，前段时间看到大佬写的反制CS低版本尤为吊，所以呢，为了防止凉犊子，改了最好。不然的话，你有你..
CobaltStrike4.4.zip
09-15
在这个"CobaltStrike4.4.zip"压缩包中，包含了多个与Cobalt Strike 4.4版本相关的文件，它们在网络安全测试和防御演练中扮演着重要角色。 首先，`agscript`可能是指Cobalt Strike的Aggressor Script，这是一种...
cobalt strike 4.7
06-07
6. **兼容性和整合**：Cobalt Strike 4.7可能会增强与其他工具和服务的集成，如Metasploit框架或公共漏洞数据库，以便更有效地利用最新的漏洞信息。 7. **安全社区支持**：持续的社区支持和更新是Cobalt Strike受...
cobaltstrike中文版.zip
05-17
6. **Network Tools**：内置了各种网络工具，如端口转发、DNS隧道、HTTP代理等，增强了Cobalt Strike在目标网络中的移动性和隐蔽性。 7. **Reporting**：Cobalt Strike提供报告功能，使红队成员能够记录和汇总活动...
Cobalt Strike 4.8 Full Black Edition
06-23
- **增强的反检测能力**: 每个新版本通常都会加强Beacon的隐蔽性，以对抗反病毒软件和入侵检测系统。 - **新模块和脚本支持**: 可能增加了新的攻击模块，支持更多语言的脚本，以执行更复杂的任务。 - **性能优化**: ...
CobaltStrike4.5，渗透利器
12-17
Cobalt Strike是一款高度先进的渗透测试工具，专为网络安全专业人士设计，用于模拟黑客攻击并评估组织的安全防御。在4.5版本中，它继续保持其在红队操作中的领先地位，提供了丰富的功能来支持社会工程学、网络入侵...
Cobaltstrike来源：Cobaltstrike4.1来源
03-04
钴打击源 Cobaltstrike4.1来源这是反编译后的Cobaltstrike4.1源码，修改了一点反编译后的bug，teamserver与agressor均能正常调试使用，若想自己修改调试那个文件只需把该文件复制到src下即可。 这是魔改Cobaltstrike4.1系列的帖子，若有错误请指出，谢谢：
红队笔记之CobaltStrike4.4源码修改方法
明光札记
12-04 7661
文章目录CobaltStrike4.4反编译的几个思路方法一：利用动态编程完成源码的修改方法二：借助反编译工具先反编译再进行编译方法三：借助原有jar与反编译源码修改并编译代码CobaltStrike4.4源码修改方法步骤简介具体步骤利用反编译工具逆向出源码新建工程引入逆向源码与原有jar包修改源码并重新打包 本文将介绍笔者对于CobaltStrike4.4几种反编译方法的思考以及具体修改方法，修改CobaltStrike主要为了修改和隐藏CobaltStrike4.4的特征，防止在攻防过程中被限制防火.
Cobalt Strike4.0修改指纹信息
weixin_41489908的博客
07-18 1236
她只是随口说说，而你却当了真，你认真努力的样子最终感动了自己。。。 ---- 网易云热评 一、修改证书信息 1、查看证书 root@kali:~/cobaltstrike4.0#keytool -list -v -keystore cobaltstrike.store 输入默认密钥库口令：123456 2、修改别名、所有者、发布者 打开teamserver，修改上面的属性 如果把密码修改后，再运行后会报如下错误，所以先不修改其他属性 3、修改证书密码 root...
Cobaltstrike去除特征
Ms08067安全实验室
12-02 6161
本文作者：BlackCat（Ms08067实验室内网小组成员）前言：红蓝对抗的时候，如果未修改CS特征、容易被蓝队溯源。去特征的几种方法：1、更改默认端口方法一、直接编辑teamser...
巨龙拉冬：让你的Cobalt Strike变成超级武器
K8哥哥
10-24 4644
Cobalt Strike巨龙拉冬插件9.0发布，让大家久等了，就当是程序员节礼物。原计划是Ladon8.0的时候出的，当时也实现了部份功能，但因为放在虚拟机里，可能误删了没备份，也因为各种事懒得重写，拖着拖着Ladon已出到9.0了，也想国庆写，但国庆又想上王者，于是又拖到最近两天才重写插件，CS右键已实现90%的功能部分功能请先在Beacon命令行使用。巨龙拉冬中文插件和Ladon英文插件的区别是右键菜单功能更全，英文的菜单让很多不熟的人，误以为Ladon并没让CS加强多少功能，而有些知道Ladon功.
简单使用工具提取cobalt strike马
kernweak的博客
10-28 1641
针对hw，很多红队开发人员，都是简单加工了下CS马，套了层外壳，针对于这类样本的分析提取CS，可以使用工具快速分析提取CS的beacon，并不要什么太多操作。 首先拿到样本，先常规提取恶意PE文件。使用pe-sieve工具。 https://github.com/hasherezade/pe-sieve 比如提取后这种未命名的就是马所在。 如果套了几层，可以关键API下断，手动dump出内存，不过国内hw那些样本大部分都是简单构造。 再判断恶意代码是否为CobaltStrike，比如实例这里，IDA看到
cobalt strike各种beacon的详解（http/https/tcp）
热门推荐
Shanfenglan's blog
08-06 35万+
Beacon Cobalt strike4.0开始就只有这几种beacon，下面对其进行一一讲述,先得创建对应的listener，之后根据创建好的listener生成木马文件，文件运行后返回对应的beacon，至于beacon到底是个什么东西可以看我的这篇文章。这里我们先讲述几种比较简单的易于理解的beacon。 附录 beacon与c2通信逻辑 1.stager的beacon会先下载完整的payload执行，stage则省略这一步 2.beacon进入睡眠状态，结束睡眠状态后用 http-get方
Cobalt Strike -- 各种beacon
huohaowen的博客
03-25 1270
本文来讲一下cs里面的beacon
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

ExpLang

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值