Cobalt Strike防溯源系列之《修改默认证书&混淆流量》

一：修改默认证书

1.使用keytool工具生成证书

keytool是Java开发工具包（JDK）中的一个命令行工具，用于管理Java密钥和证书。Keytool可以让你生成、导入、导出和管理Java密钥和证书。

$ keytool

Picked up _JAVA_OPTIONS: -Dawt.useSystemAAFontSettings=on -Dswing.aatext=true
密钥和证书管理工具

命令:

 -certreq            生成证书请求
 -changealias        更改条目的别名
 -delete             删除条目
 -exportcert         导出证书
 -genkeypair         生成密钥对
 -genseckey          生成密钥
 -gencert            根据证书请求生成证书
 -importcert         导入证书或证书链
 -importpass         导入口令
 -importkeystore     从其他密钥库导入一个或所有条目
 -keypasswd          更改条目的密钥口令
 -list               列出密钥库中的条目
 -printcert          打印证书内容
 -printcertreq       打印证书请求的内容
 -printcrl           打印 CRL 文件的内容
 -storepasswd        更改密钥库的存储口令

我们使用命令生成一个证书

keytool -keystore 生成的store文件名 -storepass 密码 -keypass 密码 -genkey -keyalg RSA -alias 自定义别名 -dname "CN=(名字与姓氏), OU=(组织单位名称), O=(组织名称), L=(城市或区域名称), ST=(州或省份名称), C=(单位的两字母国家代码)"

keytool -keystore cobaltstrike.store -storepass 123456 -keypass 123456 -genkey -keyalg RSA -alias qq.com -dname "CN=Tencent, OU=DigiCert, O=DigiCert, L=ShangHai, ST=PuDong, C=CN"

修改证书标准并应用

keytool -importkeystore -srckeystore cobaltstrike.store -destkeystore cobaltstrike.store -deststoretype pkcs12

查看修改好的证书

keytool -list -v -keystore cobaltstrike.store

二：混淆流量

如果使证书成功应用需要在profile文件修改一下

流量文件下载地址：

• https://github.com/rsmudge/Malleable-C2-Profiles
• https://github.com/threatexpress/malleable-c2
• https://github.com/xx0hcd/Malleable-C2-Profiles

由于我的版本是CS4.5所以跟其他方式不太一样，这里简单记录一下吧

这里下载好Profiles文件，然后放到CS根目录。

然后在CatServer.properties配置一下CatServer.profile和CatServer.profile-name

抓包看到我们的通信流量已经伪造成jquery了

三.禁ping

编辑文件/etc/sysctl.conf，在里面增加一行。
net.ipv4.icmp_echo_ignore_all=1
输入命令生效
sysctl -p