CobaltStrike逆向学习系列(13)：RDI 任务执行流程分析

最新推荐文章于 2023-08-04 11:34:14 发布
最新推荐文章于 2023-08-04 11:34:14 发布
阅读量1.9k 收藏
点赞数
分类专栏： CobaltStrike 深入学习 逆向分析 文章标签： 学习 系统安全 web安全 安全 安全架构
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/SecSource_Stars/article/details/123029948
版权

这是[信安成长计划]的第 13 篇文章

0x00 目录

0x01 任务号

0x02 功能执行

0x03 结果接收

在上一篇文章中已经讲明了 RDI 类型的任务在发布时候的流程，接下来就是执行了，文中不提任务接收与结果回传，这部分内容在之前也已经分析过了，继续使用 HashDump 来进行分析

0x01 任务号

按照上一次流程的分析，RDI 在构建的时候实际发布了两个任务，一个是 HashDump 的任务号，还有一个是通过 getJobType 获取到的

图片

根据上一篇文章的流程 HashDump 所调用的任务号是 44，这里的 getJobType 值也是直接在 Job 类当中写死了 40

图片

同时还有一点比较重要的就是，在第二个任务中所保存的，正是前面 Patch 到 HashDump 中的管道名

图片

其实根据这些，也就大致能够推测出后面这个功能就是用来接收 RDI 功能执行结果的

0x02 功能执行

直接看功能执行函数

最低0.47元/天 解锁文章
信安成长计划@Stars
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
CobaltStrike逆向学习系列(14)：CS功能分析-DotNet
SecSource_Stars的博客
02-20 1774
这是[信安成长计划]的第 14 篇文章 0x00 目录 0x01 DotNet功能分析 0x02 DotNet功能执行 0x03 写在最后 在上两篇文章中，讲述了 CS 中的一种功能执行方式 RDI，这一次来分析一下另外一个非常重要的功能执行方式——DotNet 0x01 DotNet功能分析 CobaltStrike 提供了一种可以执行任意 DotNet 程序的方案，使用了名叫 invokeassembly 的 DLL，来加载和执行所传递的 DotNet 功能，提供这个方法的 Job 是 ExecuteA
CobaltStrike逆向学习系列(12)：RDI 任务发布流程分析
SecSource_Stars的博客
02-20 292
这是[信安成长计划]的第 12 篇文章 0x00 目录 0x01 任务构建 0x02 结果处理 0x03 功能 DLL 分析 之前的分析都是针对整个 CS 的框架来进行的，但是功能也是整个 C2 中相当重要的部分，接下来几篇文章会对基本的功能类型的流程进行分析 0x01 任务构建 CS 自带的 RDI 类型的功能也有好多，但所有的构建等也都是大同小异了，这里以 HashDump 来进行分析，HashDump 有两种触发方式，一种是在界面上直接点击，一种是通过命令 这两种方式在执行前都会去判断当前用户的权限
CobaltStrike4.0 远控分析
mai1zhi2的博客
12-25 1179
1. 概述 Cobalt Strike是渗透测试神器,其功能简介就不用多说了，其4.0版本更新已有一段时间了，这里献丑分析一下，若有错误的地方望大伙指出，谢谢。 2. 样本信息 样本名 artifact4.exe 样本大小 14,336 字节 MD5 9ff9170e001f5619a0be11516051f538 SHA1 b824ed85d7dbe14f193f70d328d061e90c760736 3. 实验环境...
CobaltStirke BOF技术剖析（一）｜BOF实现源码级分析
最新发布
发果叁
08-04 657
对BOF(Beacon ObjectFile)的支持是在CobaltStrike4.1版本中新引入的功能。BOF文件是由c代码编译而来的可在Beacon进程中动态加载执行的二进制程序。无文件执行与无新进程创建的特性更加符合OPSEC的原则，适用于严苛的终端对抗场景。低开发门槛与便利的内部BeaconAPI调用与使得BOF特别适合后渗透阶段攻击工具的快速开发与移植。
Cobalt Strike流量特征分析
weixin_52741673的博客
07-21 4160
cobalt strike流量特征分析
iRPGUnit:RDi 8.0+ 的 iRPGUnit 项目-开源
05-30
iRPGUnit 是 RDi 8.0+ 的开源插件。 该插件为 IBM i 上的 RPG 提供单元测试。 iRPGUnit 是 RPGUnit 项目的一个分支，提供增强功能和一个 Eclipse 插件，用于从 IBM Rational Developer for i 运行单元测试。 有关...
RDI: Runtime Dependencies Installer-开源
04-24
RDI是一个库，使您的应用程序能够在运行时安装其依赖项。 非常适合面向插件的体系结构。 多种类型的部门：RPM，DEB，.so，.dll，RubyGems ...可以轻松扩展为新的类型。
基于RDI的长江流域干旱时空变化分析
01-09
基于RDI的长江流域干旱时空变化分析，高冰，，本文采用干旱侦测指数（RDI），分析了1961-2012年间长江流域干旱主要特征的变化趋势。结果表明在研究时段内长江流域干旱历时呈增加趋
rdi:具有React能力的依赖注入库，由Reactor提供支持
03-11
RDI 具有React功能的Dependency Injection库，由Reactor提供支持。 什么是RDI？ RDI代表响应式依赖注入。 它是一个库，允许通过定义它们的依赖关系来管理应用程序中存在的bean，服务和任何类型的Java对象的实例化...
cobaltstrike_bofs:我的CobaltStrike BOFS
03-12
QueueUserAPC_PPID queueuserapc_ppid / BOF在指定的父对象下生成您选择的进程，并通过QueueUserAPC（）注入提供的shellcode文件。
linux内核知识系列：系统调用
09-04
Linux内核知识系列：系统调用 在计算机操作系统中，系统调用是用户程序与操作系统交互的主要手段。在Linux环境中，系统调用是用户空间进程请求操作系统服务的接口，允许程序执行特权操作，如文件I/O、进程管理、...
在linux下做源码免杀,Cobaltstrike免杀从源码级到落地思维转变
weixin_39856589的博客
05-12 451
文章来源；https://www.freebuf.com/articles/web/258988.html前言距离上一篇文章《那些FastJson漏洞不为人知的事情(开发角度)》已经过去三天了，但在我的心中仿佛过了一年。这三天是我在分析Cobaltstrike源码的一个过程，阅尽代码冷暖，但我依然要说一句Cobaltstrike牛逼~场景描述最早我为了研究MSF的免杀，去看了MSF木马源码，其采用...
魔改CobaltStrike：二开及后门生成分析
mai1zhi2的博客
04-21 3041
一、概述： 这次文章主要介绍下Cobalt Strike 4.1相关功能的二开和后门（artifact.exe\beacon.exe）的生成方式，Cobalt Strike的jar包我已反编译，并改了下反编译后的bug，teamserver与agressor均能正常调试使用，附反编译后项目地址： https://github.com/mai1zhi2/CobaltstrikeSource 。若有不对的地方希望大伙指出，谢谢。后续将会再分享通讯协议与自定义客户端（后门）。PS：感谢Moriarty的分享课。
Cobaltstrike系列教程(十二)CS与MSF,Armitage,Empire会话互转
J0o1ey Blog
01-19 2660
0x001-Cobaltstrike与MSF会话互转 ①Metasploit派生shell给Cobaltstrike 首先，你需要拿到一个metepreter会话，本例中session为1 Cobaltstrike的teamserver的ip为8.8...
Cobalt Strike (CS) 逆向初探
悦分享
08-03 674
当进入第三段文件执行的时候，就算是真正开始了远控文件的旅行，不过那是另一段旅程了，就不在这篇文章里写了（必经本篇篇幅已经好多）。但是，还是还是简单的把那个文件的一些分析写在下面。考虑到已经进入一个远控软件的核心功能部分，按照我的想法，为了方便，还是把内存dump下来，通过静态和动态结合的方式来。因此，祭出Scylla。首先运行到新内存区域入口处：然后点转储内存：选择所处模块的区域，转储PE，因为该修复的都修复了，所以直接转pe文件，也不同修复转储了。（后面的.mem文件要不要都无所谓了）。.........
CobaltStrike逆向学习系列(1)：CS 登陆通信流程分析
SecSource_Stars的博客
01-10 400
这是[信安成长计划]的第 1 篇文章 关注微信公众号[信安成长计划] 0x00 目录 0x01 密码校验 0x02 aggressor.authenticate 0x03 aggressor.metadata 0x04 数据同步 0x05 流程图 0x06 参考文章 先统一一下后续文章所提到的一些名词，以确保大家都在聊同一个东西，文中将 CobaltStrike分为 Controller、TeamServer、Beacon 三端，本文所描述的是 TeamServer 启动之后，从 Controller 登
【调试笔记】Cobalt Strike - Beacon信标快速分析
JiangBuLiu的博客
08-04 1632
流程为：宏代码释放的dll→exe加载的.dll（常见的白加黑）→解密ShellCode2的ShellCode1→ShellCode2→下载文件到本地 宏代码释放Dll1，并执行其导出函数 Dll1有80+MB没法跟： 宏代码执行Dll1的导出函数后，通过动态可以看到，最后会释放白加黑的exe和dll，所以基本不跟。 白加黑的Dll2 执行后通过VirtualAlloc申请一段内存空间，然后写入将要执行的ShellCode1。 首先在VirtualAlloc下断点，bp VirtualAlloc： 然后
CobaltStrike逆向学习系列(6)：Beacon sleep_mask 分析
无心的博客
01-14 638
这是[信安成长计划]的第 6 篇文章 关注微信公众号[信安成长计划] 0x00 目录 0x01 C2Profile 分析 0x02 set userwx “true” 0x03 set userwx “false” CobaltStrike 提供了一个内存混淆功能，它会在 Sleep 的时候将自身混淆从而避免一定的检测 0x01 C2Profile 分析 因为 sleep_mask 是从 C2Profile 中设置的，所以就需要先搞清楚 TeamServer 是如何解析的 很明显它还跟其他的设置项有关，
CobaltStrike逆向学习系列-主线篇
02-22
通过逆向的方式分析 CobaltStrike，包含 bypass、检测 等内容，是深入了解和二次开发，非常好的参考资料

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值