CobaltStrike逆向学习系列(9)：Bypass BeaconEye - Beacon 堆混淆

已于 2022-01-26 20:47:07 修改
阅读量669 收藏 1
点赞数
分类专栏： CobaltStrike 深入学习 逆向分析 文章标签： 系统安全 web安全 安全架构 安全
于 2022-01-21 11:14:34 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/secsource_stars/article/details/122617345
版权
本文探讨了如何利用CobaltStrike 4.5的Sleep_Mask功能来混淆堆内存，以绕过BeaconEye检测。通过HOOK Sleep函数并模仿Beacon的操作来加密堆，同时处理线程悬挂问题，以避免异常。文章参考了官方文档和其他技术文章，展示了实现过程和最终效果。
摘要由CSDN通过智能技术生成

这是[信安成长计划]的第 9 篇文章
关注微信公众号[信安成长计划]
在这里插入图片描述

0x00 目录

0x01 CS4.5 Sleep_Mask

0x02 HeapEncrypt

0x03 效果

0x04 参考文章

在之前的文章《Bypass BeaconEye》中提过了两个 Bypass BeaconEye 的方法，都是通过打乱 C2Profile 结构来做的，还有另外一种方式就是在 Sleep 的时候加密堆内存，在 CS4.5 中也对 Sleep_Mask 进行了更新

0x01 CS4.5 Sleep_Mask

根据 官网**[1] **的解释可以猜出一二

图片

增加了 HEAP_PECORDS 结构体，根据名字猜测是用来记录堆内存的，所以大概率是记录了某一部分带特征的堆内存地址，然后在 Sleep 的时候将其进行混淆，用来躲过 BeaconEye 的检测，当然也有可能是将所有申请的堆内存都混淆

0x02 HeapEncrypt

按照对 Sleep 的分析《

最低0.47元/天 解锁文章
信安成长计划@Stars
关注
专栏目录
CobaltStrike逆向学习系列(10)：TeamServer 启动流程分析
SecSource_Stars的博客
01-28 839
这是[信安成长计划]的第 10 篇文章 关注微信公众号[信安成长计划] 0x00 目录 0x01 基本校验与解析 0x02 初始化 0x03 启动 Listeners 在之前的分析中，都是针对 CobaltStrike 整体通信流程的，也就忽略了中间的一些细节，其中一些细节对理解整个 CobaltStrike 也是非常重要的 0x01 基本校验与解析 先取了默认端口 接着对 Java 环境及一些参数进行了验证，并校验了 license 这里重点看一下对于参数的检测，可以看到有校验两个参数是否存在，当你
解析项目`bypass-BeaconEye`: 网络安全的守护者与隐私保护利器
gitblog_00016的博客
04-03 338
解析项目bypass-BeaconEye: 网络安全的守护者与隐私保护利器 项目地址:https://gitcode.com/NoOne-hub/bypass-BeaconEye 项目简介 在数字世界中，网络安全和隐私保护日益重要。项目bypass-BeaconEye是一个专门针对 BeaconEye 漏洞检测工具的反制措施，旨在帮助用户防止未经授权的网络监控和数据追踪。它以开源的形式发布，任何人...
CobaltStrike逆向学习系列(5)：Bypass BeaconEye
无心的博客
01-14 355
这是[信安成长计划]的第 5 篇文章 关注微信公众号[信安成长计划] 0x00 目录 0x01 BeaconEye 检测原理 0x02 Bypass 1 0x03 Bypass 2 0x04 效果图 在之前的三篇文章《Stageless Beacon 生成流程分析》《Beacon C2Profile 解析》《Beacon 上线协议分析》中，已经穿插着将 C2Profile 的全部内容介绍完了，也把 Bypass 所需要的一些内容也都穿插着提到过了，接下来就该说如何对其进行 Bypass 0x01 Beac
CobaltStrike逆向学习系列(1)：CS 登陆通信流程分析
无心的博客
01-14 468
这是[信安成长计划]的第 1 篇文章 关注微信公众号[信安成长计划] 0x00 目录 0x01 密码校验 0x02 aggressor.authenticate 0x03 aggressor.metadata 0x04 数据同步 0x05 流程图 0x06 参考文章 先统一一下后续文章所提到的一些名词，以确保大家都在聊同一个东西，文中将 CobaltStrike分为 Controller、TeamServer、Beacon 三端，本文所描述的是 TeamServer 启动之后，从 Controller 登
CobaltStrike逆向学习系列(6)：Beacon sleep_mask 分析
无心的博客
01-14 721
这是[信安成长计划]的第 6 篇文章 关注微信公众号[信安成长计划] 0x00 目录 0x01 C2Profile 分析 0x02 set userwx “true” 0x03 set userwx “false” CobaltStrike 提供了一个内存混淆功能，它会在 Sleep 的时候将自身混淆从而避免一定的检测 0x01 C2Profile 分析 因为 sleep_mask 是从 C2Profile 中设置的，所以就需要先搞清楚 TeamServer 是如何解析的 很明显它还跟其他的设置项有关，
CobaltStrike逆向学习系列(7)：Controller 任务发布流程分析
无心的博客
01-14 301
这是[信安成长计划]的第 7 篇文章 关注微信公众号[信安成长计划] 0x00 目录 0x01 Controller->TeamServer 0x02 TeamServer->Beacon 0x03 流程图 所有的任务在 Controller 处理以后，都会直接发送到 TeamServer，接着等待 Beacon 回连的时候将任务取走，文章以 shell whoami 为例 0x01 Controller->TeamServer 当在 Console 中输入命令回车后，会进入 Beaco
CobaltStrike逆向学习系列-主线篇
02-22
【CobaltStrike逆向学习系列-主线篇】 在网络安全领域，CobaltStrike是一款广泛使用的渗透测试工具，尤其在红队操作和安全研究中扮演重要角色。逆向分析CobaltStrike能帮助我们深入理解其工作原理，为二次开发和...
红队专题-Cobalt strike 4.x - Beacon重构
aming小老弟
10-10 606
exit、cd、pwd、file_browse、ps、kill、getuid、mkdir、rm、cp、mv、run、execute、drives、powershell-import、powershell命令混淆、免杀bypassuac（uac-to。sleep、shell、upload、download、exit、cd、pwd、file_browse、ps、kill、getuid、mkdir、rm、cp、mv、自删除、timestomp。命令的执行对应cs中的shell、run、execute三个命令。
红队专题-Cobalt strike从小白到飞升手册
aming小老弟
10-09 1345
4.0 2019年12月2日 更新 Cobalt Strike 4.0 手册奇安信 A-TEAMCobalt Strike 是一款 美国Red Team开发的 商业GUI框架式 优秀的渗透测试工具 简称CS为对手模拟渗透测试 和红队行动而设计的 协作工具平台，主要用于执行有目标的攻击和模拟高级威胁者的后渗透行动。可以利用网络漏洞获取主机权限后、从一个强大的图形界面控制所有的活动。因可以调用Mimikatz等其他知名工具并且可以作为团队服务使用，因此广受网络安全人员喜爱。
红队系列-shellcode AV bypass Evasion免杀合集
aming小老弟
11-13 1463
壳就是软件所增加的保护，并不会破坏里面的程序结构，当我们运行这个加壳的程序时，系统首先会运行程序里的壳，然后由壳将加密的程序逐步还原到内存中，最后运行程序。加壳虽然对于特征码绕过有非常好的效果，加密壳基本上可以把特征码全部掩盖，但是缺点也非常的明显，因为壳自己也有特征，主流的壳如VMP, Themida等等。客户端上传特征，在云端无法检测到，则上传文件，文件通过杀软系统进行评判，得出总评分，对于无结果的，进行鉴定系统评分，总共得出结果返回给用户，并入云端库。比如可以远程读取png中的shellcode。
CobaltStrike逆向学习系列(11)：自实现 Beacon 检测工具
SecSource_Stars的博客
02-03 779
这是[信安成长计划]的第 11 篇文章 关注微信公众号[信安成长计划] 0x00 目录 0x01 检测原理 0x02 检测方案 0x03 存在的问题 0x04 解决方案 0x05 示例代码 0x06 写在最后 年也过了，继续开始卷卷卷… 目前使用比较多的检测工具就是 BeaconEye，在之前的文章中也已经提到过它的检测原理与 Bypass 的方法《Bypass BeaconEye》《Bypass BeaconEye - Beacon 堆混淆》，BeaconEye 所依赖的就是 C2Profile 解析后
Cobaltstrike bypass Defender
课嗨教育的专栏
03-16 1136
Defender一直是我们比较头疼的一个东西，相对于其他杀毒软件的可以退出关闭而言，Defender作为微软自带的一款杀毒软件，经常会在未经允许的情况下删除我们本地的东西。就很烦躁。刚好今天群里看到一篇文章，但是看着觉得眼熟，仔细看了下跟雷石以前的一篇文章很像，咱们本文就基于cs的exe马简单做个bypass defender的小总结。 参考： https://docs.microsoft.com/en-us/powershell/module/defender/remove-mpprefe...
从BeaconEye说起，围绕CS内存特征的检测与规避
dzqxwzoe的博客
08-01 488
2021年8月BeaconEye项目发布，这是一个基于CobaltStrike内存特征进行检测的威胁狩猎工具。BeaconEye具有优秀的检出率与检测效率，使大多数已有规避技术无效化，在网络安全圈内掀起了关于CS内存攻防的新一轮讨论热潮。
CobaltStrike XSS
黑剑
09-29 560
发现即使未设置 stage.sleep_mask（即设置为 false），Beacon 也会继续为睡眠掩码 BOF 保留内存。现在这个问题已经解决了。Cobalt Strike 还解决了 4.7 版本发布后不久发现的一个漏洞，以及针对 teamserver 的潜在拒绝服务攻击的缓解措施。由于在 teamserver 中发现了 XSS 漏洞，攻击者可能会通过在 Beacon 配置中设置假用户名来远程执行代码。Cobalt Strike 4.7.1 带外更新修复了 4.7 版中受影响用户报告的问题。
探照灯BeaconEye：您的CobaltStrike猎手与监控利器
最新发布
gitblog_00069的博客
05-09 393
探照灯BeaconEye：您的CobaltStrike猎手与监控利器 项目地址:https://gitcode.com/CCob/BeaconEye BeaconEye 是一款强大的工具，专为检测和监控运行中的CobaltStrike信标而设计。它能深入剖析进程，寻找潜在的恶意活动，并在发现信标时跟踪其通信行为。这款工具由安全专家@EthicalChaos 创建，旨在提供对系统安全状况的深刻洞察。...
解读编码后的HEAP_ENTRY结构
多媒体编程、网络编程、系统编程、网络安全编程、驱动编程
08-19 865
http://advdbg.org/blogs/advdbg_system/articles/5152.aspx
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值