【持续更新】HW常见载荷 - 可执行文件类型（Cobalt Strike为主）

最新推荐文章于 2024-06-17 09:00:00 发布
最新推荐文章于 2024-06-17 09:00:00 发布
阅读量354 收藏
点赞数
分类专栏： 病毒 工具 技能
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/JiangBuLiu/article/details/115757421
版权

可执行文件类型的，文档类型在另一个链接🐷🐷🐟


文档类型链接

Cobalt Strike

GoLang

32位

例子：FDF027189B0A0371D3034BFDE901CEAE（imphash：4035D2883E01D64F3E7A9DCCB1D63AF5）
ShellCode入口点：492EE9。
下断点暂停后查看EAX寄存器值，进入该值的内存块，找IP或者域名（在User-Agent下面）：
在这里插入图片描述
可见解密出的IP为：39.103.191.231

OD脚本
等俺有空
64位

例子：C1EADE070E3DEA287963957F53D1EA3B（imphash：4035D2883E01D64F3E7A9DCCB1D63AF5）
断点：4AD73D，通过SF标志位改为跳转（或者设置下一行为EIP）：

最低0.47元/天 解锁文章
建瓯最坏
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
专栏目录
【调试笔记】Cobalt Strike - Beacon信标快速分析
JiangBuLiu的博客
08-04 1641
流程为：宏代码释放的dll→exe加载的.dll（常见的白加黑）→解密ShellCode2的ShellCode1→ShellCode2→下载文件到本地 宏代码释放Dll1，并执行其导出函数 Dll1有80+MB没法跟： 宏代码执行Dll1的导出函数后，通过动态可以看到，最后会释放白加黑的exe和dll，所以基本不跟。 白加黑的Dll2 执行后通过VirtualAlloc申请一段内存空间，然后写入将要执行的ShellCode1。 首先在VirtualAlloc下断点，bp VirtualAlloc： 然后
excite-pu&nastran&virtual.lab振动噪声仿真
lijil168的专栏
04-25 2250
excite-pu&nastran&virtual.lab振动噪声仿真一、参考资料1、[nastran动力学培训PPT](https://www.doc88.com/p-1834303923771.html?r=1)2、[nastran频响](https://www.docin.com/p-1922859103.html)3、[基于LMS Virtual Lab Acoustics的发动机结构噪声预测](http://www.doczj.com/doc/3ec104184431b90d6c8
开发人员喜欢用的 colName=@n or @n='' 会走索引吗？
我想我是海 冬天的大海 心情随风轻摆
11-19 631
USE tempdb GO --创建测试表，并插入 100 万条记录 IF OBJECT_ID('t') IS NOT NULL DROP TABLE t GO CREATE TABLE t( id INT IDENTITY(1,1) PRIMARY KEY, n VARCHAR(20) NOT NULL ) GO ;WITH cte AS ( SELECT * FROM [mas...
CFP2_HW-Spec-rev1.0.pdf
01-01
*CFP2硬件规范说明书，CFP2_HW-Spec-rev1.0.pdf*
神兵利器--Cobalt Strike
Grey的博客
04-10 4043
前言经常看到披露出来APT(Advanced Persistent Threat) 高级持续性威胁报告，据目前我所了解到的有常用两种攻击手法还有更多种手法水坑式攻击和鱼叉式钓鱼邮件攻击手法。其实我也想模仿这样攻击手法在渗透时候遇到有些目标简直是无从下手。很早之前就接触了Metasploit工具内网渗透非常强大，当时用过Cobalt Strike 2.0版本主要是结合Metasploit可以称为图形...
简单使用工具提取cobalt strike马
kernweak的博客
10-28 1489
针对hw，很多红队开发人员，都是简单加工了下CS马，套了层外壳，针对于这类样本的分析提取CS，可以使用工具快速分析提取CS的beacon，并不要什么太多操作。 首先拿到样本，先常规提取恶意PE文件。使用pe-sieve工具。 https://github.com/hasherezade/pe-sieve 比如提取后这种未命名的就是马所在。 如果套了几层，可以关键API下断，手动dump出内存，不过国内hw那些样本大部分都是简单构造。 再判断恶意代码是否为CobaltStrike，比如实例这里，IDA看到
红队系列-网络安全知识锦囊(持续更新)
aming小老弟
11-09 660
AJP13是定向包协议。因为性能原因，使用二进制格式来传输可读性文本。AJP协议：WEB服务器通过TCP连接和SERVLET容器连接。为了减少进程生成socket的花费，WEB服务器和SERVLET容器之间尝试保持持久性的TCP连接，对多个请求/回复循环重用一个连接。一旦连接分配给一个特定的请求，在请求处理循环结束之前不会在分配。换句话说，在连接上，请求不是多元的。这个是连接两端的编码变得容易，虽然这导致在一时刻会有很多连接。
2024HW|常见红队使用工具
Y_main的博客
05-28 2066
护网行动是国家公安部指导的一项旨在检测企事业单位的网络安全防护能力的活动。其实 HW 行动更像是网络安全红蓝对抗。通常来说网络安全训练分为红队和蓝队。红队代表攻击者，他们的任务是模拟恶意黑客或内部威胁，尝试入侵、渗透或绕过组织的网络安全措施。红队成员通常是经验丰富的安全专家，他们使用各种技术和方法来挑战组织的安全防御，以揭示潜在的漏洞和威胁。蓝队代表组织的网络防御团队，他们的任务是检测、响应和阻止红队的攻击。蓝队的工作类似于黑客，但是他们是经过授权和合法的。
2024hw蓝队面试题--5
最新发布
aihua002的博客
06-17 521
我了解的中间件有很多种，其中包括但不限于：Nginx、Apache、Tomcat、Redis、RabbitMQ、Kafka、Zookeeper等。常见漏洞有：未授权的访问、代码执行漏洞、配置错误、解析错误漏洞等漏洞远程代码执行漏洞：如S2-045，在该漏洞中，当开发者使用基于Jakarta插件上传文件时，攻击者可以通过特殊构造的Content-Type头以激活Struts2的远程代码执行路径。特征就是Content-Type中有OGNL表达式的存在OGNL表达式注入：攻击者可以通过构造特定数据带入OGNL表
Cobalt-Strike-4.7
12-27
Cobalt Strike 是一款使用java编写，C / S架构的商业渗透软件，适合多人进行团队协作，可模拟APT做模拟对抗，进行内网渗透，是一个为对手模拟和红队行动而设计的平台，主要用于执行有目标的攻击和模拟高级威胁者的后...
Z1-AggressorScripts:适用于Cobalt Strike的插件
04-30
适用于Cobalt Strike 3.x & 4.x 的插件。 2020.12.20 更新： 更新工具。 2020.11.21 更新： 辅助模块的zip打包更换成uknow师傅的，内存加载无需上传。 权限维持模块新增创建自启动运行，包括添加注册表，添加启动...
CobaltStrike4.4.zip
09-15
`cobaltstrike.exe`和`cobaltstrike.jar`是Cobalt Strike的主要执行文件，分别代表Windows可执行文件和Java应用程序，用户可以通过它们启动Cobalt Strike的控制台界面。 总的来说，这个压缩包提供了Cobalt Strike ...
Awesome-CobaltStrike：cobaltstrike的相关资源汇总
02-06
Awesome-CobaltStrike项目则是一个专门收集与Cobalt Strike相关的资源库，涵盖了各种教程、工具、文档和案例，旨在为使用者提供全面的学习和参考材料。 首先，我们要理解Cobalt Strike的核心功能。它是一个基于Java...
Cobalt-Strike-Aggressor-Scripts:Cobalt Strike Aggressor 插件包
05-02
Cobalt-Strike-Aggressor-Scripts 长时间未更新，说声抱歉 本脚本借鉴了许多大佬的思路以及源码，由于较为仓促未能贴出每个的url，在此表示感谢! Usage: Update 20200422 加入Info-Collect信息收集模块 加入chrome...
Cobaltstrike系列教程(一)简介与安装
J0o1ey Blog
08-01 8万+
0x001-Cobaltstrike简介 Cobalt Strike是一款美国Red Team开发的渗透测试神器，常被业界人称为CS。这款神器许多大佬们都已经玩的很6，我一个菜鸡玩的略有心得，因此写一下自己的Cobaltstrike系列文章，希望给各位一点帮助。 最近这个工具大火，成为了渗透测试中不可缺少的利器。其拥有多种协议主机上线方式，集成了提权，凭据导出，端口转发，socket代理，offi...
疑似APT组织响尾蛇的JavaScript脚本调试分析
热门推荐
JiangBuLiu的博客
06-15 9万+
APT组织响尾蛇JavaScript脚本调试分析样本描述样本分析投递手法HTA - JS代码JavaScript调试方式 样本描述 响尾蛇投递与巴基斯坦外交政策有关的LNK文件。 LNK文件不携带主要的恶意代码，而是作为一段简短的下载器代码执行。使用命令中的“mshta.exe”执行从远程服务器下载HTA文件。 下载的HTA文件是一个使用JavaScript写的经过自定义Base64编码混淆处理的下载器，带有检测环境（反病毒程序安装情况）并回传的功能。 样本分析 投递手法 初始文件是一个伪装为PDF文档的快
CTF - Base64换表
JiangBuLiu的博客
06-07 4719
Base64换表原题复制保存为16进制即可得文件IDA显示题目解读提示：base64程序逆向特点Base64算法特征Base64表格位移等号补位结论Base64变体之 - 换表Base64变体解法在线编码转化Python脚本 原题 复制保存为16进制即可得文件 7F 45 4C 46 02 01 01 00 00 00 00 00 00 00 00 00 03 00 3E 00 01 00 00 00 10 06 00 00 00 00 00 00 40 00 00 00 00 00 00 00 28 11
APT污水 - 使用多阶段高度混淆的PowerShell在内存中运行
JiangBuLiu的博客
05-31 4563
通过恶意宏开启多阶段高隐藏攻击链拥有历史传承的社工手法????宏入口UserForm2.Gladiator_CRKUserForm1注册表PowerShell 拥有历史传承的社工手法???? 文档打开后会通过模糊图片和文字欺骗受害者启用宏。宏代码运行后会弹出虚假的提示，表示“由于版本不兼容所以无法查看文档。”等： 污水这个显示效果和文字内容已经使用很久了： 宏 入口 从宏代码的入口就可以发现这个攻击链有一些特殊，并不是所有代码都放在默认的位置一次性执行。先从入口的“Document_Open()”函数执
CobaltStrike渗透测试指南
"CobaltStrike.pdf - 一篇关于Cobalt Strike的详细教程文档，主要涵盖其简介、基本使用、模块介绍、脚本使用和扩展功能，特别提到了Malleable C2和External C2等内容。" Cobalt Strike是一款广泛应用于网络安全领域...
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值