CobaltStrike逆向学习系列(7)：Controller 任务发布流程分析

最新推荐文章于 2024-11-08 17:44:50 发布
最新推荐文章于 2024-11-08 17:44:50 发布
阅读量260 收藏
点赞数
分类专栏： CobaltStrike 深入学习 逆向分析 文章标签： 系统安全 安全架构 安全 web安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/secsource_stars/article/details/122492309
版权
本文深入分析了CobaltStrike中Controller如何发布任务到TeamServer，以及TeamServer如何将任务传递给Beacon的过程。通过具体例子shell whoami，详细解释了从Controller到TeamServer的任务构造、日志记录，再到Beacon获取任务的完整流程，涉及任务的加密和解密机制。
摘要由CSDN通过智能技术生成

这是[信安成长计划]的第 7 篇文章
关注微信公众号[信安成长计划]
在这里插入图片描述
0x00 目录

0x01 Controller->TeamServer

0x02 TeamServer->Beacon

0x03 流程图

所有的任务在 Controller 处理以后，都会直接发送到 TeamServer，接着等待 Beacon 回连的时候将任务取走，文章以 shell whoami 为例

0x01 Controller->TeamServer

当在 Console 中输入命令回车后，会进入 BeaconConsole 进行处理

图片

专门来处理 shell 命令，命令解析 popString 所返回的就是要执行的命令 whoami

图片

接着会在 TaskBeacon 中处理执行逻辑，因为只有一个 Beacon 就直接跟入了

图片

然后就是构造任务了，将信息处理后用于 Beacon 去解析执行</

最低0.47元/天 解锁文章
信安成长计划@Stars
关注
专栏目录
Cobalt Strike (CS) 逆向初探
悦分享
08-03 774
当进入第三段文件执行的时候，就算是真正开始了远控文件的旅行，不过那是另一段旅程了，就不在这篇文章里写了（必经本篇篇幅已经好多）。但是，还是还是简单的把那个文件的一些分析写在下面。考虑到已经进入一个远控软件的核心功能部分，按照我的想法，为了方便，还是把内存dump下来，通过静态和动态结合的方式来。因此，祭出Scylla。首先运行到新内存区域入口处：然后点转储内存：选择所处模块的区域，转储PE，因为该修复的都修复了，所以直接转pe文件，也不同修复转储了。（后面的.mem文件要不要都无所谓了）。.........
CobaltStrike逆向学习系列(11)：自实现 Beacon 检测工具
SecSource_Stars的博客
02-03 791
这是[信安成长计划]的第 11 篇文章 关注微信公众号[信安成长计划] 0x00 目录 0x01 检测原理 0x02 检测方案 0x03 存在的问题 0x04 解决方案 0x05 示例代码 0x06 写在最后 年也过了，继续开始卷卷卷… 目前使用比较多的检测工具就是 BeaconEye，在之前的文章中也已经提到过它的检测原理与 Bypass 的方法《Bypass BeaconEye》《Bypass BeaconEye - Beacon 堆混淆》，BeaconEye 所依赖的就是 C2Profile 解析后
CobaltStrike逆向学习系列(5)：Bypass BeaconEye
无心的博客
01-14 367
这是[信安成长计划]的第 5 篇文章 关注微信公众号[信安成长计划] 0x00 目录 0x01 BeaconEye 检测原理 0x02 Bypass 1 0x03 Bypass 2 0x04 效果图 在之前的三篇文章《Stageless Beacon 生成流程分析》《Beacon C2Profile 解析》《Beacon 上线协议分析》中，已经穿插着将 C2Profile 的全部内容介绍完了，也把 Bypass 所需要的一些内容也都穿插着提到过了，接下来就该说如何对其进行 Bypass 0x01 Beac
CobaltStrike逆向学习系列(1)：CS 登陆通信流程分析
无心的博客
01-14 481
这是[信安成长计划]的第 1 篇文章 关注微信公众号[信安成长计划] 0x00 目录 0x01 密码校验 0x02 aggressor.authenticate 0x03 aggressor.metadata 0x04 数据同步 0x05 流程图 0x06 参考文章 先统一一下后续文章所提到的一些名词，以确保大家都在聊同一个东西，文中将 CobaltStrike分为 Controller、TeamServer、Beacon 三端，本文所描述的是 TeamServer 启动之后，从 Controller 登
CobaltStrike逆向学习系列-主线篇
02-22
7. **Controller任务发布流程分析** - **Controller到TeamServer**：详细阐述任务从Controller到TeamServer的传递过程。 - **TeamServer到Beacon**：任务如何被TeamServer接收并转发给Beacon执行。 8. **Beacon...
CobaltStrike逆向学习系列(13)：RDI 任务执行流程分析
SecSource_Stars的博客
02-20 2011
这是[信安成长计划]的第 13 篇文章 0x00 目录 0x01 任务号 0x02 功能执行 0x03 结果接收 在上一篇文章中已经讲明了 RDI 类型的任务在发布时候的流程，接下来就是执行了，文中不提任务接收与结果回传，这部分内容在之前也已经分析过了，继续使用 HashDump 来进行分析 0x01 任务号 按照上一次流程的分析，RDI 在构建的时候实际发布了两个任务，一个是 HashDump 的任务号，还有一个是通过 getJobType 获取到的 根据上一篇文章的流程 HashDump 所调用的任务
CobaltStrike逆向学习系列(10)：TeamServer 启动流程分析
SecSource_Stars的博客
01-28 862
这是[信安成长计划]的第 10 篇文章 关注微信公众号[信安成长计划] 0x00 目录 0x01 基本校验与解析 0x02 初始化 0x03 启动 Listeners 在之前的分析中，都是针对 CobaltStrike 整体通信流程的，也就忽略了中间的一些细节，其中一些细节对理解整个 CobaltStrike 也是非常重要的 0x01 基本校验与解析 先取了默认端口 接着对 Java 环境及一些参数进行了验证，并校验了 license 这里重点看一下对于参数的检测，可以看到有校验两个参数是否存在，当你
CobaltStrike逆向学习系列(14)：CS功能分析-DotNet
SecSource_Stars的博客
02-20 1830
这是[信安成长计划]的第 14 篇文章 0x00 目录 0x01 DotNet功能分析 0x02 DotNet功能执行 0x03 写在最后 在上两篇文章中，讲述了 CS 中的一种功能执行方式 RDI，这一次来分析一下另外一个非常重要的功能执行方式——DotNet 0x01 DotNet功能分析 CobaltStrike 提供了一种可以执行任意 DotNet 程序的方案，使用了名叫 invokeassembly 的 DLL，来加载和执行所传递的 DotNet 功能，提供这个方法的 Job 是 ExecuteA
CobaltStrike逆向学习系列(8)：Beacon 结果回传流程分析
SecSource_Stars的博客
01-19 3169
这是[信安成长计划]的第 8 篇文章 关注微信公众号[信安成长计划] 0x00 目录 0x01 Beacon 接收与处理 0x02 结果回传 Beacon 在接受完命令并执行后，会将数据加密回传给 TeamServer，TeamServer 进行解析后，并根据类型对结果的格式进行处理后，再回传给 Controller 0x01 Beacon 接收与处理 直接在通信相关函数上下断，HttpSendRequest 发送任务，InternetReadFile 接收任务 跟出函数以后再根据其上下文分析，也就能推
CobaltStrike逆向学习系列(2)：Stageless Beacon 生成流程分析
无心的博客
01-14 342
这是[信安成长计划]的第 2 篇文章 关注微信公众号[信安成长计划] 0x00 目录 0x01 Patch Beacon 0x02 Patch Loader 0x03 文件对比 0x04 流程图 CobaltStrike 的 Beacon 生成分为两种，Stage Beacon 和 Stageless Beacon，这次主要来说明的是无阶段的 Stageless Beacon，最终文件比较大，不用从网络中来拉取。 本文的分析流程使用的 payload 是 windows/beacon_http/rever
【渗透测试笔记】之【内网渗透——Cobalt Strike会话管理（与MSF联动）】_cobalt 信回话(1)
2401_84969363的博客
05-13 373
自我介绍一下，小编13年上海交大毕业，曾经在小公司待过，也去过华为、OPPO等大厂，18年进入阿里一直到现在。深知大多数网络安全工程师，想要提升技能，往往是自己摸索成长，但自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！因此收集整理了一份《2024年网络安全全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友。既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，基本涵盖了95%以上网络安全知识点！真正的体系化！
逆向分析Cobalt Strike安装后门
pandazhengzheng的博客
02-23 1342
逆向分析Cobalt Strike安装后门
Cobaltstrike系列教程(十一)提权与横向移动
J0o1ey Blog
01-19 7024
0x001-提权 1.右键菜单提权: 选择beacon，右键，执行–>提权 我由于加载了插件，所以比官方多了几种提权方式 插件下载请看我之前的帖子 ms14-058/ms15-051/ms16-016/ms16-032 这些都是大家耳熟能详...
信息安全工程师（83）Windows操作系统安全分析与防护
最新发布
m0_73399576的博客
11-08 537
信息安全工程师——Windows操作系统安全分析与防护篇
系统安全架构
wlq_567的博客
11-04 325
信息安全的技术措施主要有:信息加密、数字签名、数据完整性保护、身份鉴别、访问控制、数据备份和灾难恢复、网络控制技术反病毒技术、安全审计、业务填充、路由控制机制、公证机制等。
ICT网络赛道安全考点知识总结4
m0_72765822的博客
11-04 748
RADIUS和HWTACACS协议通常都使用共享密钥对传输的用户信息进行加密，以确保安全传输。 用来封装EAP报文的RADIUS属性通常是"EAP-Message"，它用于传输EAP认证过程中的消息。 LDAP的域名属性通常是"DC"（Domain Component），用于表示域名的组成部分。 BFD（Bidirectional Forwarding Detection）可以用于检测网络设备之间直连物理链路的双向转发路径的故障，但也可以用于检测其他类型的链路故障。 管理员为虚拟系统手工分配资源时，
Neo4j数据库清理指南：如何安全地删除所有节点和索引
engchina的专栏
11-05 522
Neo4j数据库清理指南：如何安全地删除所有节点和索引
微软日志丢失事件敲响安全警钟
juminfo的博客
11-08 275
据报告，从9月2日至9月19日，持续长达两周的时间里，微软的多项核心云服务，包括身份验证平台Microsoft Entra、安全信息与事件管理（SIEM）平台Sentinel、云安全解决方案Defender for Cloud以及数据目录服务Purview，都经历了安全日志记录的空白期。系统可以实时、不间断地收集并整合各类设备的日志信息，通过先进的关联分析技术和机器学习手段，助力用户从庞杂的日志数据中快速识别异常安全事件，全面满足合规审计、分析调查及数据留存等多日志场景使用需求。
CobaltStrike逆向分析深度探索
"CobaltStrike逆向学习系列是一份深度探讨网络安全领域的参考资料，主要针对CobaltStrike的逆向工程、渗透测试和二次开发。文章涵盖了CobaltStrike的各种核心组件和流程，如登陆通信、Stageless Beacon生成、Beacon ...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值