CobaltStrike逆向学习系列(7)：Controller 任务发布流程分析

最新推荐文章于 2024-05-23 18:39:28 发布
VIP文章 最新推荐文章于 2024-05-23 18:39:28 发布
阅读量191 收藏
点赞数
分类专栏： CobaltStrike 深入学习 逆向分析 文章标签： 系统安全 安全架构 安全 web安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/SecSource_Stars/article/details/122492309
版权

这是[信安成长计划]的第 7 篇文章
关注微信公众号[信安成长计划]
在这里插入图片描述
0x00 目录

0x01 Controller->TeamServer

0x02 TeamServer->Beacon

0x03 流程图

所有的任务在 Controller 处理以后，都会直接发送到 TeamServer，接着等待 Beacon 回连的时候将任务取走，文章以 shell whoami 为例

0x01 Controller->TeamServer

当在 Console 中输入命令回车后，会进入 BeaconConsole 进行处理

图片

专门来处理 shell 命令，命令解析 popString 所返回的就是要执行的命令 whoami

图片

接着会在 TaskBeacon 中处理执行逻辑，因为只有一个 Beacon 就直接跟入了

最低0.47元/天 解锁文章
信安成长计划@Stars
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
Cobalt Strike (CS) 逆向初探
悦分享
08-03 647
当进入第三段文件执行的时候，就算是真正开始了远控文件的旅行，不过那是另一段旅程了，就不在这篇文章里写了（必经本篇篇幅已经好多）。但是，还是还是简单的把那个文件的一些分析写在下面。考虑到已经进入一个远控软件的核心功能部分，按照我的想法，为了方便，还是把内存dump下来，通过静态和动态结合的方式来。因此，祭出Scylla。首先运行到新内存区域入口处：然后点转储内存：选择所处模块的区域，转储PE，因为该修复的都修复了，所以直接转pe文件，也不同修复转储了。（后面的.mem文件要不要都无所谓了）。.........
CobaltStrike逆向学习系列-主线篇
02-22
通过逆向的方式分析 CobaltStrike，包含 bypass、检测 等内容，是深入了解和二次开发，非常好的参考资料
CobaltStrike逆向学习系列(11)：自实现 Beacon 检测工具
SecSource_Stars的博客
02-03 728
这是[信安成长计划]的第 11 篇文章 关注微信公众号[信安成长计划] 0x00 目录 0x01 检测原理 0x02 检测方案 0x03 存在的问题 0x04 解决方案 0x05 示例代码 0x06 写在最后 年也过了，继续开始卷卷卷… 目前使用比较多的检测工具就是 BeaconEye，在之前的文章中也已经提到过它的检测原理与 Bypass 的方法《Bypass BeaconEye》《Bypass BeaconEye - Beacon 堆混淆》，BeaconEye 所依赖的就是 C2Profile 解析后
CobaltStrike逆向学习系列(2)：Stageless Beacon 生成流程分析
无心的博客
01-14 294
这是[信安成长计划]的第 2 篇文章 关注微信公众号[信安成长计划] 0x00 目录 0x01 Patch Beacon 0x02 Patch Loader 0x03 文件对比 0x04 流程图 CobaltStrike 的 Beacon 生成分为两种，Stage Beacon 和 Stageless Beacon，这次主要来说明的是无阶段的 Stageless Beacon，最终文件比较大，不用从网络中来拉取。 本文的分析流程使用的 payload 是 windows/beacon_http/rever
CobaltStrike逆向学习系列(5)：Bypass BeaconEye
无心的博客
01-14 315
这是[信安成长计划]的第 5 篇文章 关注微信公众号[信安成长计划] 0x00 目录 0x01 BeaconEye 检测原理 0x02 Bypass 1 0x03 Bypass 2 0x04 效果图 在之前的三篇文章《Stageless Beacon 生成流程分析》《Beacon C2Profile 解析》《Beacon 上线协议分析》中，已经穿插着将 C2Profile 的全部内容介绍完了，也把 Bypass 所需要的一些内容也都穿插着提到过了，接下来就该说如何对其进行 Bypass 0x01 Beac
Cobaltstrike系列教程(十一)提权与横向移动
J0o1ey Blog
01-19 6393
0x001-提权 1.右键菜单提权: 选择beacon，右键，执行–>提权 我由于加载了插件，所以比官方多了几种提权方式 插件下载请看我之前的帖子 ms14-058/ms15-051/ms16-016/ms16-032 这些都是大家耳熟能详...
CobaltStrike逆向学习系列(12)：RDI 任务发布流程分析
SecSource_Stars的博客
02-20 284
这是[信安成长计划]的第 12 篇文章 0x00 目录 0x01 任务构建 0x02 结果处理 0x03 功能 DLL 分析 之前的分析都是针对整个 CS 的框架来进行的，但是功能也是整个 C2 中相当重要的部分，接下来几篇文章会对基本的功能类型的流程进行分析 0x01 任务构建 CS 自带的 RDI 类型的功能也有好多，但所有的构建等也都是大同小异了，这里以 HashDump 来进行分析，HashDump 有两种触发方式，一种是在界面上直接点击，一种是通过命令 这两种方式在执行前都会去判断当前用户的权限
CobaltStrike逆向学习系列(13)：RDI 任务执行流程分析
SecSource_Stars的博客
02-20 1931
这是[信安成长计划]的第 13 篇文章 0x00 目录 0x01 任务号 0x02 功能执行 0x03 结果接收 在上一篇文章中已经讲明了 RDI 类型的任务在发布时候的流程，接下来就是执行了，文中不提任务接收与结果回传，这部分内容在之前也已经分析过了，继续使用 HashDump 来进行分析 0x01 任务号 按照上一次流程的分析，RDI 在构建的时候实际发布了两个任务，一个是 HashDump 的任务号，还有一个是通过 getJobType 获取到的 根据上一篇文章的流程 HashDump 所调用的任务
CobaltStrike逆向学习系列(1)：CS 登陆通信流程分析
SecSource_Stars的博客
01-10 392
这是[信安成长计划]的第 1 篇文章 关注微信公众号[信安成长计划] 0x00 目录 0x01 密码校验 0x02 aggressor.authenticate 0x03 aggressor.metadata 0x04 数据同步 0x05 流程图 0x06 参考文章 先统一一下后续文章所提到的一些名词，以确保大家都在聊同一个东西，文中将 CobaltStrike分为 Controller、TeamServer、Beacon 三端，本文所描述的是 TeamServer 启动之后，从 Controller 登
软件逆向分析系列教程课件
01-07
该文件是《软件逆向分析系列教程》系列课程源代码课件，下载后解压即可得到文件。
geacon:练习Go编程并在Go中实现CobaltStrike的Beacon
03-21
盖康使用Go来实现CobaltStrike的信标该项目仅用于学习协议分析和逆向工程，如果有人的权利受到侵犯，请与我联系以删除该项目，最后一个请勿非法使用怎么玩设置团队服务器并启动http许可，团队服务器将生成文件....
金盾2016-2017逆向分析系列教程
07-23
教程名称：金盾2016-2017逆向分析系列教程  资源太大，传百度网盘了，链接在附件中，有需要的同学自取。
逆向分析学习路线.pdf
04-13
逆向分析学习路线.pdf
实验二 电子传输系统安全-进展2
xs_1234的博客
05-22 323
【代码】实验二 电子传输系统安全-进展2。
【架构-16】安全架构设计理论
qq_45611002的博客
05-14 477
攻击者的目的只是获取信息，不会改变信息或危害系统。（网络监听、信息截取、流量分析）：可能改变信息或危害系统的攻击就是主动攻击。安全服务和安全机制的对应关系。信息安全体系结构示意图。
【软考中级 软件设计师】计算机网络和安全
最新发布
shaozheng0503的博客
05-23 885
蠕虫病毒，作为一种高度自足的恶意软件，其核心特征在于其自我复制与传播能力，无需借助其他程序或人为操作即可在计算机网络中迅速蔓延。这类病毒利用操作系统或应用程序的安全漏洞，通过网络连接自动寻找新的宿主进行感染，其传播机制通常包括但不限于电子邮件、网络共享、即时消息等渠道。例如，“红色代码”病毒便是通过HTTP服务器的漏洞传播，而“爱虫病毒”则是通过电子邮件附件进行扩散，两者均展现了蠕虫病毒通过网络自我复制的特性。相比之下，“冰河”则被归类为远程控制木马（Trojan Horse），其运作模式与蠕虫截然不同。
等保测评-安全通信网络与安全区域边界
2403_84237550的博客
05-23 667
等保测评，全称为网络安全等级保护测评，是中国网络安全领域的一项重要工作，旨在通过标准化的测评流程，确保信息系统的安全等级保护措施符合国家相关标准。在等保测评中，"安全通信网络"与"安全区域边界"是两个关键的测评领域。
【Linux安全】Firewalld防火墙基础
weixin_62922268的博客
05-23 452
支持网络区域所定义的网络链接以及接口安全等级的动态防火墙管理工具支持IPv4、IPv6防火墙设置以及以太网桥支持服务或应用程序直接添加防火墙规则接口拥有两种配置模式运行时配置永久配置trusted（信任区域）：允许所有的传入流量。public（公共区域）：允许与ssh或dhcpv6-client预定义服务匹配的传入流量，其余均拒绝。是新添加网络接口的默认区域。external（外部区域）：允许与 ssh 预定义服务匹配的传入流量，其余均拒绝。
请对以下自行编写的代码做软件逆向工程分析：
06-08
要进行逆向工程分析，我们可以使用反汇编程序来查看代码的底层机器指令。此外，我们可以使用调试器来查看程序执行的过程和变量的值。在此过程中，我们可能会发现以下信息： - 程序使用了Python的随机数生成器模块。...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值