搜索

[27111] 2020-12-02_Cobaltstrike去除特征

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-19
2020-12-02_Cobaltstrike去除特征 C o b a l t s t r i k e 去 除 特 征 原 创   徐 哥   M s 0 8 0 6 7 安 全 实 验 室   2 0 2 0 - 1 2 - 0 2 收 录 于 话 题 # 内 网 安 全 小 组   , 2 8 # C o b a l t   S t r i k e   , 4 本 文 作 者 ： B l a c k C a t （ M s 0 8 0 6 7 实 验 室 内 网 小 组 成 员 ） 前 言 ： 前 言 ： 红 蓝 对 抗 的 时 候 ， 如 果 未 修 改 C S 特 征 、 容 易 被 蓝 队 溯 源 。 去 特 征 的 几 种 方 法 ： 去 特 征 的 几 种 方 法 ： 1 、 更 改 默 认 端 口 、 更 改 默 认 端 口   方 法 一 、 直 接 编 辑 方 法 一 、 直 接 编 辑 t e a m s e r v e r 进 行 启 动 项 修 改 。 进 行 启 动 项 修 改 。 v i   t e a m s e r v e r 方 法 二 、 启 动 时 候 指 定 方 法 二 、 启 动 时 候 指 定 s e r v e r _ p o r t j a v a   - X X : P a r a l l e l G C T h r e a d s = 4   - D u s e r . l a n g u a g e = e n   - D c o b a l t s t r i k e . s e r v e r _ p o r t = 5 0 5 0 5   - D j a v a x . n e t . s s l . k e y S t o r e = . / c o b a l t s t r i k e . s t o r e   - D j a v a x . n e t . s s l . k e y S t o r e P a s s w o r d = 1 2 3 4 5 6   - s e r v e r   - X X : + A g g r e s s i v e H e a p   - X X : + U s e P a r a l l e l G C   - X m x 1 0 2 4 m   - c l a s s p a t h   . / c o b a l t s t r i k e . j a r s e r v e r . T e a m S e r v e r   x x x . x x x . x x . x x   t e s t   g o o g l e . p r o f i l e 2 、 去 除 证 书 特 征 、 去 除 证 书 特 征 （ 1 ） 、 进 入 C S 目 录 查 看 k e y t o o l   - l i s t   - v   - k e y s t o r e   c o b a l t s t r i k e . s t o r e   证 书 情 况 ， 输 入 默 认 密 码 1 2 3 4 5 6 回 车 ， 可 以 看 到 所 有 者 、 发 布 者 中 C o b a l t   S t r i k e 相 关 字 样 。
然 后 修 改   k e y t o o l k e y t o o l 是 一 个 J a v a   数 据 证 书 的 管 理 工 具 ， 使 用 如 下 ： - k e y t o o l   - k e y s t o r e   c o b a l t s t r i k e . s t o r e   - s t o r e p a s s   密 码 - k e y p a s s   密 码 - g e n k e y   - k e y a l g   R S A - a l i a s   g o o g l e . c o m   - d n a m e   " C N = ( 名 字 与 姓 氏 ) , O U = ( 组 织 单 位 名 称 ) ,   O = ( 组 织 名 称 ) , L = ( 城 市 或 区 域 名 称 ) , S T = ( 州 或 省 份 名 称 ) , C = ( 单 位 的 两 字 母 国 家 代 码 ) 。 k e y t o o l   - k e y s t o r e   c o b a l t s t r i k e . s t o r e   - s t o r e p a s s   1 2 3 4 5 6   - k e y p a s s   1 2 3 4 5 6   - g e n k e y   - k e y a l g   R S A   - a l i a s   t a o b a o . c o m   - d n a m e   " C N = U S , O U = ” t a o b a o . c o m “ ,   O = “ S o f a t e s t ” ,   L = B e i j i n g ,   S T = C y b e r s p a c e ,   C = C N " 然 后   在 观 测 k e y t o o l 。
这 时 发 现 所 以 关 于 c o b a l t s t r i k e 的 字 眼 都 被 替 换 掉 了 。 3 、 绕 过 流 量 审 计 、 绕 过 流 量 审 计 （ （ 1 ） 高 信 誉 服 务 伪 造 ） 高 信 誉 服 务 伪 造 传 输 过 程 中 ， 把 流 量 伪 造 成 高 信 誉 的 网 站 ， 比 如 G o o g l e   、 b i n g 等   。 现 在 的 大 多 数 硬 件 W A F 防 护 设 备 都 能 检 测 出 来 C s 的 流 量 特 征 ， 所 以 我 们 必 须 要 修 改 C S 的 流 量 特 征 ， C S 的 流 量 由 m a l l e a b l e C 2 配 置 来 掌 控 的 ， 所 以 我 们 需 要 定 向 去 配 置 这 个 C 2 。 M a l l e a b l e   C 2   是 一 种 特 定 领 域 的 语 言 ， 主 要 用 来 控 制 “ C o b a l t   S t r i k e   B e a c o n ” 攻 击 载 荷 中 的 网 络 指 针 。 m a l l e a b l e   C 2 详 细 知 识 参 考 ： h t t p s : / / b l u e s c r e e n o f j e f f . c o m / 2 0 1 7 - 0 1 - 2 4 - h o w - t o - w r i t e - m a l l e a b l e - c 2 - p r o f i l e s - f o r - c o b a l t - s t r i k e / 去 配 置 之 前 先 了 解 下 有 关 B e a c o n 的 通 信 基 础 ：
从 C o b a l t   S t r i k e   3 . 6 版 开 始 ， 可 以 将 H T T P 动 词 从 P O S T 更 改 为 G E T 。 B e a c o n 忽 略 了 此 P O S T 请 求 （ 配 置 文 件 中 的 h t t p - p o s t 服 务 器 ） 的 响 应 。 默 认 情 况 下 ， B e a c o n 将 H T T P   P O S T 请 求 用 于 上 述 步 骤 ＃ 3 和 ＃ 4 。 根 据 您 的 目 标 环 境 或 您 正 在 模 拟 的 流 量 ， 可 能 会 注 意 到 交 替 的 G E T 和 P O S T 请 求 。 在 这 种 情 况 下 ， 请 将 h t t p - p o s t 部 分 的 动 词 设 置 为 G E T 。 B e a c o n 与 与 t e a m s e r v e r 端 端 c 2 的 通 信 逻 辑 ： 的 通 信 逻 辑 ： 1 . s t a g e r 的 b e a c o n 会 先 下 载 完 整 的 p a y l o a d 执 行 2 . b e a c o n 进 入 睡 眠 状 态 ， 结 束 睡 眠 状 态 后 用   h t t p - g e t 方 式   发 送 一 个 m e t a d a t a ( 具 体 发 送 细 节 可 以 在 m a l l e a b l e _ p r o f i e 文 件 里 的 h t t p - g e t 模 块 进 行 自 定 义 ) , m e t a d a t a 内 容 大 概 是 目 标 系 统 的 版 本 ， 当 前 用 户 等 信 息 给 t e a m s e r v e r 端   。 如 图 的     1 ） 3 . 如 果 存 在 待 执 行 的 任 务 ， 则 t e a m s e r v e r 上 的 c 2 会 响 应 这 个 m e t a d a t a 发 布 命 令 。 b e a c o n 将 会 收 到 具 体 会 话 内 容 与 一 个 任 务 i d 。 4 . 执 行 完 毕 后 b e a c o n 将 回 显 数 据 与 任 务 i d 用 p o s t 方 式 发 送 回 t e a m   s e r v e r 端 的 C 2 ( 细 节 可 以 在 m a l l e a b l e _ p r o f i l e 文 件 中 的 h t t p - p o s t 部 分 进 行 自 定 义 ) ， 然 后 又 会 回 到 睡 眠 状 态 。 参 考 资 料 h t t p s : / / w w w . c h a b u g . o r g / w e b / 8 3 2 . h t m l 许 多   B e a c o n   指 标 由 一 个   C 2   拓 展 文 件 控 制 。 一 个   C 2   拓 展 文 件 由 设 置 和 数 据 转 换 组 成 。 数 据 转 换 是 一   个 简 单 的 程 序 ， 它 指 定 如 何 转 换 数 据 并 将 其 存 储 在 事 务 中 。 转 换 和 存 储 数 据 的 同 一 程 序 ， 向 后 解 释 ， 还   从 事 务 中 提 取 和 恢 复 数 据 。 配 置 文 件 语 言 ： 配 置 文 件 语 言 ： 创 建 配 置 文 件 的 最 佳 方 法 是 修 改 现 有 的 配 置 文 件 。 M a l l e a b l e 配 置 文 件 下 载 ： g i t   c l o n e   h t t p s : / / g i t h u b . c o m / r s m u d g e / M a l l e a b l e - C 2 - P r o f i l e s . g i t C S 中 集 成 了 一 个 包 含 在 L i n u x 平 台 下 的 C 2 l i n t 工 具 ， 下 面 是 检 测 这 段 代 码 是 否 存 在 问 题 ： C D   C o b a l t S t r i k e c h m o d   7 7 7   c 2 l i n t . / c 2 l i n t   [ / p a t h / t o / m y . p r o f i l e ]       # 这 个 路 径 是 M a l l e a b l e 的 配 置 文 件 路 径 . / c 2 l i n t   / U s e r s / b l a c k c a t / D e s k t o p / 资 源 / C S 学 习 / M a l l e a b l e - C 2 - P r o f i l e s / A P T / h a v e x . p r o f i l e

绿 色 为 运 行 成 功 ， 黄 色 的 为 警 告 ， 红 色 的 e r r o r 为 运 行 失 败 。 这 里 是 运 行 成 功 ； 然 后 我 们 要 修 改 里 面 的 参 数   思 路 就 是 ， 默 认 值 坚 决 不 使 用 ， 具 体 如 下 ： s e t   s a m p l e _ n a m e   " A L " ;             # 配 置 文 件 名 称 ： s e t   s l e e p t i m e   " 5 0 0 0 0 " ;               # 设 置 s l e e p 时 间 ， 单 位 是 毫 秒 s e t   u s e r a g e n t   " M o z i l l a / 5 . 0   ( W i n d o w s ;   U ;   M S I E   7 . 0 ;   W i n d o w s   N T   5 . 2 )   J a v a / 1 . 5 . 0 _ 0 8 " ;       # 这 个 一 般 结 合 实 战 环 境 去 配 置 ， 从 目 标 机 构 中 捕 获 一 个 真 实 的 u s e r - a g e n t 值 并 且 插 入 到 真 实 的 流 量 中 。 例 如 ， 可 以 向 目 标 机 构 成 员 发 送 一 封 带 有 w e b 漏 洞 的 电 子 邮 件 并 监 视 后 续 G E T 请 求 中 发 送 的 u s e r - a g e n t 值 。 如 果 你 使 用 的 是 明 文 的 H T T P 流 量 或 者 是 目 标 环 境 中 存 在 S S L 拦 截 ， 那 么 与 环 境 不 匹 配 的 U s e r - A g e n t 值 就 会 被 防 御 者 发 现 。 再 往 下 的 代 码 是 h t t p 部 分 。 这 里 分 块 来 说 明 下 。 h t t p - g e t 模 块 ： 如 上 图 所 示 。 设 定 了 v i c t i m 的 b e a c o n 发 送 给 c 2 的 m e t a d a t a 的 相 关 配 置 。 1 . 在 c l i e n t 部 分 中 ， 先 设 置 了 多 个 h t t p   h e a d e r 头 ， 然 后 在 u r i 中 存 储 一 个 参 数 。 把 R e f e r e r 伪 造 成 G o o g l e 2 . 然 后 又 设 置 了 在 m e t a d a t a 数 据 在 传 输 的 时 候 ， 先 b a s e 6 4 加 密 然 后 将 所 有 的 值 填 写 在 C o o k i e 字 段 中 。 3 . 在 s e r v e r 部 分 ， 先 设 置 多 个 h e a d e r 头 。 然 后 更 改 相 应 内 容 然 后 b a s e 6 4 编 码 ， 然 后 把 数 据 放 在 在 b o d y 里 。 h t t p - p o s t 模 块 ：
先 说 下 C l i n e t 模 块 ： 这 里 面 的 i d 代 表 的 是 t a s k   i d ， 任 务 执 行 后 ， b e a c o n 需 要 利 用 p o s t 方 式 来 与 c 2 进 行 通 信 ， 需 要 传 送 一 个 唯 一 的 t a s k   i d 值 ， 还 需 要 传 送 回 显 。 例 如 i p c o n f i g 命 令 ， 就 会 传 送 命 令 的 结 果 等 。 上 面 的 h e a d e r 头 就 跟 之 前 的 h e a d e r 头 的 用 途 一 致 。 c l i e n t 中 的 o u t p u t 代 表 的 是 客 户 端 发 送 给 服 务 端 的 响 应 用 什 么 形 式 发 送 ， s e r v e r 部 分 跟 c l i e n t 比 较 类 似 所 以 不 做 太 多 讲 述 。 此 处 可 以 通 过 定 制 C 2 的 配 置 ， 使 得 C 2 的 流 量 混 合 在 目 标 环 境 流 量 中 ， 伪 装 为 正 常 应 用 流 量 ， 达 到 欺 骗 的 作 用 。 我 这 里 伪 造 的 是 G o o g l e 的 流 量 ， 然 后 运 行 这 个 C 2 配 置 文 件 ： 服 务 端 ： s u d o   . / t e a m s e r v e r   1 9 2 . 1 6 8 . 1 . 5 5   M a l l e a b l e - C 2 - P r o f i l e s / A P T / h a v e x . p r o f i l e 客 户 端 ： . / s t a r t . s h 然 后 连 接 后 ， 点 击   C o b a l t   S t r i k e   - -   L i s t e n e r s 创 建 一 个 监 听 模 块 。 然 后 通 过 这 个 监 听 模 块 创 建 一 个 后 门 文 件   ， 然 后 去 上 线 一 台 机 器 。 我 这 里 靶 机 地 址 ： 1 9 2 . 1 6 8 . 9 3 . 1 2 8 然 后 点 击   A t t a c k s - -   p a c k a g e s       - -     W i n d o w s   E x e c u t a b l e 生 成 一 个   W i n d o w s 后 门 可 执 行 文 件 E X E 。
然 后 把 这 个 后 门 放 到 靶 机 里 使 其 上 线 。 然 后 ； 打 开   w i r e s h a r k ， 然 后 开 启 抓 包 这 里 要 做 下 筛 选 ： h t t p   a n d   t c p . p o r t   = =   8 0   # 我 这 里 C S 监 听 端 口 是 8 0   可 以 根 据 自 己 需 求 定 制 然 后     进 入 到 被 控 机 的 b e a c o n 模 式 下 。 执 行 命 令   s h e l l     d i r
然 后 发 现 已 经 抓 取 到 包 ， 查 看 下 包 的 内 容 。 右 键 选 定   - - -     f o l l o w   - - -   T C P   T r e a m
此 时 发 现 R e f e r e r 为 G o o g l e   证 明 实 验 成 功 ， 成 功 伪 造 流 量 。 下 面 的 是 基 于 J Q u e r y 的 配 置 文 件 作 为 基 础 配 下 载 ： g i t   c l o n e   h t t p s : / / g i t h u b . c o m / t h r e a t e x p r e s s / m a l l e a b l e - c 2 . g i t 然 后 运 行 语 法 ： . / c 2 l i n t   [ / p a t h / t o / m y . p r o f i l e ]       # 这 个 路 径 是 M a l l e a b l e 的 配 置 文 件 路 径 我 这 里 用 的 是 C S 4 . 0 ， 所 以 选 用 这 个 p r o f i l e
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理