这是[信安成长计划]的第 4 篇文章
关注微信公众号[信安成长计划]
0x00 目录
0x01 Beacon 发送
0x02 TeamServer 处理
0x03 流程图
0x04 参考文章
在上一篇讲解 C2Profile 解析的时候,已经提到过如何断入到真正的 beacon.dll 当中,并且也清楚了它执行时的调用顺序,Beacon 上线的所有流程也都是在第二次主动调用 DLLMain 时执行的。
因为主要说明的是上线流程,功能性的暂且不提,但是中间会穿插 C2Profile 的读取操作。
0x01 Beacon 发送
通过导入表能够很明显的看到通信相关的函数,所以就直接在关键函数上下断
首先调用 InternetOpenA 传入了 agent
接着是 InternetConnectA 传入 IP 与端口
之后便是 HttpOpenRequestA 传入了请