CobaltStrike的心跳通信

故事讲予风听

于 2024-07-25 10:17:45 发布

阅读量702

点赞数 12

分类专栏： hvv常见告警文章标签： github 网络安全 web安全

本文链接：https://blog.csdn.net/qq_56698744/article/details/140681086

版权

1 篇文章 0 订阅

订阅专栏

CobaltStrike的心跳通信是其与受害者主机（即Beacon）之间保持连接并传输命令的重要方式。以下是对CobaltStrike心跳通信的详细解析：

心跳通信是一种用于检测网络连接状态的机制。在CobaltStrike中，Beacon（即CobaltStrike在受害者主机上部署的后门程序）会定期向CobaltStrike的C2服务器（即TeamServer）发送心跳包，以确认双方的网络连接仍然有效，并询问C2服务器是否有新的命令需要执行。

1. 第一次请求时， beacon.exe 程序请求下载完整的 payload；

2. 下好 payload 就直接在内存里运行，也就是说 beacon 开始运行，它做了如下操作：

（1）收集主机信息，生成用于协商的原始密钥 raw key，还有一些其他数据；

（2）用 RSA 公钥加密这些数据，将其存储在请求包的 cookie 中，然后发送给 CS 服务器。

这是第一次心跳，之后 beacon 进入睡眠时间。而CS 服务器收到后，做以下操作：

（1）用 RSA 私钥解开密文，从中提取主机信息和 raw key；

（2）在 target 列表生成一个新的主机；

（3）基于 raw key 生成 AES KEY 和 HMAC KEY，用于后续的加密通信。

3. 睡眠时间过后，beacon 再次发送心跳包，这次发送的目的是询问 CS 服务器是否有命令下发。

如果有，CS 服务器将包含命令的数据用 AES 加密得到密文，以及用 HMAC KEY 计算出 hash ，以 (AES 密文+hash) 的格式存放在 response 报文的响应体中。

如果没有，就跟第一次心跳一样，返回响应体为空的 response 报文。

4. 如果 beacon 收到命令，就在受害者主机上执行。执行完后，将命令执行结果发送给 CS 服务器，并重新进入睡眠时间。

Beacon上线：
- Beacon首次启动时会向C2服务器发送上线请求，这个请求通常包含了用RSA公钥加密的受害者主机信息。
- C2服务器收到请求后，会使用RSA私钥解密信息，并基于解密后的信息生成AES密钥和HMAC密钥，用于后续的加密通信。
心跳包发送：
- 在Beacon上线并成功建立加密通信后，它会进入睡眠状态，等待一段时间后再次发送心跳包。
- 心跳包的主要目的是询问C2服务器是否有新的命令需要执行。如果没有新命令，C2服务器会返回一个空的响应包；如果有新命令，C2服务器会将命令加密后包含在响应包中发送给Beacon。
命令执行与结果返回：
- Beacon收到命令后会在受害者主机上执行，并将执行结果加密后发送给C2服务器。
- C2服务器收到结果后，会进行解密并展示给攻击者。