CobaltStrike逆向学习系列(3)：Beacon C2Profile 解析

这是[信安成长计划]的第 3 篇文章
关注微信公众号[信安成长计划]

0x00 目录

0x01 Controller 端分析

0x02 Beacon 端分析

0x03 展示图

在上一篇文章中完成了 Stageless Beacon 生成的分析，接下来就是对 Beacon 的分析了，在分析上线之前先将 C2Profile 的解析理清楚，因为 Beacon 中大量的内容都是由 C2Profile 决定的。

而且，目前 C2Profile 也是被作为检测 CobaltStrike 的一种手段，只有在理解了它的实现原理，才能真正明白检测原理和绕过方法。

0x01 Controller 端分析

直接跟到 beacon/BeaconPayload.java，看 exportBeaconStage 方法

对于前面值的获取暂时不管，直接看重点，是如何添加的，因为最后是直接把 settings 转 byte 数组，然后混淆后 Patch 的，所以就重点看一下 settings 都干了什么事