CobaltStrike逆向学习系列(8)：Beacon 结果回传流程分析

最新推荐文章于 2022-02-11 15:02:22 发布
最新推荐文章于 2022-02-11 15:02:22 发布
阅读量3.1k 收藏
点赞数
分类专栏： CobaltStrike 深入学习 逆向分析 文章标签： 系统安全 web安全 安全 安全架构
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/SecSource_Stars/article/details/122577169
版权

这是[信安成长计划]的第 8 篇文章
关注微信公众号[信安成长计划]
在这里插入图片描述

0x00 目录

0x01 Beacon 接收与处理

0x02 结果回传

Beacon 在接受完命令并执行后，会将数据加密回传给 TeamServer，TeamServer 进行解析后，并根据类型对结果的格式进行处理后，再回传给 Controller

0x01 Beacon 接收与处理

直接在通信相关函数上下断，HttpSendRequest 发送任务，InternetReadFile 接收任务

图片

跟出函数以后再根据其上下文分析，也就能推断出大致范围

图片

同理在回结果的时候也是一样，这样也就大致确定了整个处理逻辑的代码范围，在这之间进行任务接收、解密、执行、结果回传等

最低0.47元/天 解锁文章
信安成长计划@Stars
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
CobaltStrike(beacon.dll)样本赏析
yellow的博客
02-08 2009
CobaltStrike样本特点赏析
geacon:练习Go编程并在Go中实现CobaltStrike的Beacon
03-21
盖康使用Go来实现CobaltStrike的信标该项目仅用于学习协议分析和逆向工程，如果有人的权利受到侵犯，请与我联系以删除该项目，最后一个请勿非法使用怎么玩设置团队服务器并启动http许可，团队服务器将生成文件....
CobaltStrike逆向学习系列(11)：自实现 Beacon 检测工具
SecSource_Stars的博客
02-03 741
这是[信安成长计划]的第 11 篇文章 关注微信公众号[信安成长计划] 0x00 目录 0x01 检测原理 0x02 检测方案 0x03 存在的问题 0x04 解决方案 0x05 示例代码 0x06 写在最后 年也过了，继续开始卷卷卷… 目前使用比较多的检测工具就是 BeaconEye，在之前的文章中也已经提到过它的检测原理与 Bypass 的方法《Bypass BeaconEye》《Bypass BeaconEye - Beacon 堆混淆》，BeaconEye 所依赖的就是 C2Profile 解析后
Cobalt Strike｜Beacon原理浅析
Ms08067安全实验室
03-06 1951
Hello大家好哇，我是你们可爱的lmn小姐姐，今天我们来研究一下Beacon的一些基础知识,如果有师傅没有看过这个系列之前的文章，可以点击下方图片阅读。Cobalt Strike 作为...
【调试笔记】Cobalt Strike - Beacon信标快速分析
JiangBuLiu的博客
08-04 1632
流程为：宏代码释放的dll→exe加载的.dll（常见的白加黑）→解密ShellCode2的ShellCode1→ShellCode2→下载文件到本地 宏代码释放Dll1，并执行其导出函数 Dll1有80+MB没法跟： 宏代码执行Dll1的导出函数后，通过动态可以看到，最后会释放白加黑的exe和dll，所以基本不跟。 白加黑的Dll2 执行后通过VirtualAlloc申请一段内存空间，然后写入将要执行的ShellCode1。 首先在VirtualAlloc下断点，bp VirtualAlloc： 然后
CobaltStrike逆向学习系列(3)：Beacon C2Profile 解析
SecSource_Stars的博客
01-10 618
这是[信安成长计划]的第 3 篇文章 关注微信公众号[信安成长计划] 0x00 目录 0x01 Controller 端分析 0x02 Beacon 端分析 0x03 展示图 在上一篇文章中完成了 Stageless Beacon 生成的分析，接下来就是对 Beacon 的分析了，在分析上线之前先将 C2Profile 的解析理清楚，因为 Beacon 中大量的内容都是由 C2Profile 决定的。 而且，目前 C2Profile 也是被作为检测 CobaltStrike 的一种手段，只有在理解了它的实
CobaltStrike4.4.zip
09-15
`.cobaltstrike.beacon_keys`文件可能包含Cobalt Strike Beacon的密钥，Beacon是Cobalt Strike的代理组件，它在目标系统上运行，执行攻击者指示的任务。这些密钥用于加密通信，确保C2通道的安全。 `c2lint`可能是一...
AggressorScripts:用于 Cobalt Strike 3.0+ 的 Aggressor 脚本
05-29
3.0+ 的 Aggressor 脚本apache-style-weblog-output.cna - 将博客点击输出到 Cobalt Strike 工作目录中名为 weblog.log 的类似 Apache 的访问日志文件beacon_to_empire.cna - 利用RESTful API 从 Cobalt Strike 上的...
Awesome-CobaltStrike-Defence:防钴打击
03-08
超棒的钴防卫 防钴打击 Cobalt Strike是一款功能齐全的商业化渗透测试工具，称其为“旨在执行有针对性的攻击并模仿高级威胁参与者的... 检测CobaltStrike的波动性 JARM指纹扫描仪 钴打击法医 Cobalt Strike资源 C
cobaltstrike中文版.zip
05-17
由于这个“cobaltstrike中文版.zip”包含中文文档和可能的本地化界面，使用者可以更方便地学习如何配置和利用Cobalt Strike。然而，值得注意的是，Cobalt Strike的使用必须遵守法律和道德规范，仅应用于授权的渗透...
CobaltStrike逆向学习系列(4)：Beacon 上线协议分析
SecSource_Stars的博客
01-10 322
这是[信安成长计划]的第 4 篇文章 关注微信公众号[信安成长计划] 0x00 目录 0x01 Beacon 发送 0x02 TeamServer 处理 0x03 流程图 0x04 参考文章 在上一篇讲解 C2Profile 解析的时候，已经提到过如何断入到真正的 beacon.dll 当中，并且也清楚了它执行时的调用顺序，Beacon 上线的所有流程也都是在第二次主动调用 DLLMain 时执行的。 因为主要说明的是上线流程，功能性的暂且不提，但是中间会穿插 C2Profile 的读取操作。 0x01
CobaltStrike之Beacon命令使用
Longwaer
02-11 1183
学习掌握CobaltStrike的基础命令，更好的在渗透测试中使用。
cobalt strike各种beacon的详解（http/https/tcp）
热门推荐
Shanfenglan's blog
08-06 35万+
Beacon Cobalt strike4.0开始就只有这几种beacon，下面对其进行一一讲述,先得创建对应的listener，之后根据创建好的listener生成木马文件，文件运行后返回对应的beacon，至于beacon到底是个什么东西可以看我的这篇文章。这里我们先讲述几种比较简单的易于理解的beacon。 附录 beacon与c2通信逻辑 1.stager的beacon会先下载完整的payload执行，stage则省略这一步 2.beacon进入睡眠状态，结束睡眠状态后用 http-get方
Cobaltstrike系列教程(三)beacon详解
J0o1ey Blog
08-01 1万+
0x000–前文 有技术交流或渗透测试培训需求的朋友欢迎联系QQ547006660 2000人网络安全交流群，欢迎大佬们来玩 0x001-Beacon详解 1.Beacon命令 大家通过系列教程(二)的学习，配置好Listner，让目标机执行我们的Payload/后门程序后，即可发现目标机已经上线 右键目标interact来使用Beacon，我们用它来执行各种命令 ※在Cobalt Stri...
CobaltStrike逆向学习系列(2)：Stageless Beacon 生成流程分析
无心的博客
01-14 305
这是[信安成长计划]的第 2 篇文章 关注微信公众号[信安成长计划] 0x00 目录 0x01 Patch Beacon 0x02 Patch Loader 0x03 文件对比 0x04 流程图 CobaltStrike 的 Beacon 生成分为两种，Stage Beacon 和 Stageless Beacon，这次主要来说明的是无阶段的 Stageless Beacon，最终文件比较大，不用从网络中来拉取。 本文的分析流程使用的 payload 是 windows/beacon_http/rever
记录下我对加密传输的理解
weixin_38958405的博客
06-14 2385
很多网站在传输过程中需要做到加密传输，为了防止信息被泄露不能明文传输。有2种方式可以对传输数据进行加密：1、采用https方式传输，这样就可以不用在代码里面做数据的加解密处理了。但是有时候为了安全性更高还会再使用安全控件。2、对称加密＋非对称加密：（1）首先采用非对称加密方式，前端生成32位随机数，用约定好的公钥加密传输给后台。后台用对应的私钥解密后获取到的32位随机数存入session中，可作为...
IBeacon协议分析
ALDRIDGE1的专栏
01-16 1万+
IBeacon协议分析 跳转至： 导航、 搜索 对于一个UUID是E2C56DB5-DFFB-48D2-B060-D0F5A71096E0, major是0, minjor是0的iBeacon，此时的Tx的信号是-59 RSSI，他的BLE的广播包如下： d6 be 89 8e 40 24 05 a2 17 6e 3d 71 02 01 1a 1a ff 4c 00 02 15 e2
CobaltStrike使用-第八篇-隧道技术（socks转发、ssh隧道、CS转发监听器)
Love&Share
12-07 4402
文章目录流量转发Socks转发MSF 连接到 Socks 代理服务使用 ProxyChains 进行代理转发转发监听器(反向链接)SSH隧道参考链接 本篇文章将会结合CS介绍在内网渗透中经常用到的隧道技术，这已经是第二次介绍隧道技术了，本篇环境将会比第一篇复杂，第一篇链接在这，我是链接 流量转发 Socks转发 目前已经拿到了server2008-2的会话，但是域控主机在内网，不能和CS TeamServer直接通信，所以需要添加代理转发 在进行转发操作之前，需要将当前会话改为交互模式，也就是说输入命.
CobaltStrike Listener介绍
qq_45434762的博客
11-28 1325
Beacon DNS使用Beacon DNS其实是单，比如我现在有一个域名windowsupdate.icu那么我只需要添加两条解析记录即可首先为域名添加一个A记录，解析指向的地址填CS...
CobaltStrike逆向学习系列-主线篇
02-22
"CobaltStrike逆向学习系列是一份深度探讨网络安全领域的参考资料，主要针对CobaltStrike的逆向工程、渗透测试和二次开发。文章涵盖了CobaltStrike的各种核心组件和流程，如登陆通信、Stageless Beacon生成、Beacon ...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值