搜索

[16879] 2021-06-07_大海捞“帧”：CobaltStrike服务器识别与stagingbeacon扫描

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2021-06-07_大海捞“帧”：CobaltStrike服务器识别与stagingbeacon扫描 大 海 捞 “ 帧 ” ： C o b a l t   S t r i k e 服 务 器 识 别 与 s t a g i n g   b e a c o n 扫 描 D h a k k a n   F r e e B u f   2 0 2 1 - 0 6 - 0 7 本 文 首 先 介 绍 了 C o b a t l   S t r i k e 的 工 作 方 式 ， 总 结 了 一 些 可 以 用 来 识 别 C o b a l t   S t r i k e 服 务 器 的 特 征 ， 随 后 介 绍 了 B e a c o n 的 安 全 机 制 以 及 如 何 扫 描 并 解 析 出 s t a g i n g   b e a c o n 配 置 的 方 法 ， 最 后 搜 集 了 一 些 C o b a l t   S t r i k e 服 务 器 、 流 量 、 s t a g i n g   b e a c o n 各 方 面 的 其 特 征 技 术 。 0 x 0 0   C o b a l t   S t r i k e 简 介 简 介 C o b a l t   S t r i k e C o b a l t   S t r i k e   作 为 一 种 后 渗 透 工 具 后 渗 透 工 具 ， 可 以 完 成 侦 察 侦 察 、 鱼 叉 式 钓 鱼 鱼 叉 式 钓 鱼 、 浏 览 器 代 理 浏 览 器 代 理 等 攻 击 。 C o b a l t   S t r i k e   分 为 客 户 端 客 户 端 和 服 务 器 服 务 器 两 部 分 ， 服 务 器 端 被 称 之 为 T e a m   S e r v e r 。 T e a m   S e r v e r 既 是 B e a c o n   p a y l o a d 的 控 制 器 控 制 器 ， 也 是 C o b a l t   S t r i k e 提 供 社 工 功 能 社 工 功 能 的 主 机 。 T e a m   S e r v e r 还 存 储 了 C o b a l t   S t r i k e 收 集 的 数 据 数 据 以 及 日 志 记 录 日 志 记 录 。 工 作 模 式 如 下 图 所 示 ： B e a c o n B e a c o n 是 是 C o b a l t   S t r i k e 运 行 在 目 标 主 机 上 的 运 行 在 目 标 主 机 上 的 p a y l o a d ， ， B e a c o n 在 隐 蔽 信 道 上 我 们 提 供 服 务 ， 用 于 长 期 控 制 受 感 染 主 机 在 隐 蔽 信 道 上 我 们 提 供 服 务 ， 用 于 长 期 控 制 受 感 染 主 机 。 它 的 工 作 方 式 与 M e t a s p l o i t   F r a m e w o r k   P a y l o a d 类 似 。 在 实 际 渗 透 过 程 中 ， 我 们 可 以 将 其 嵌 入 到 可 执 行 文 件 可 执 行 文 件 、 添 加 到 W o r d 文 档 文 档 或 者 通 过 利 用 主 机 漏 洞 利 用 主 机 漏 洞 来 传 递 B e a c o n 。 B e a c o n 的 功 能 包 括 以 下 几 点 ： 使 用 H T T P 或 D N S 检 查 是 否 有 待 执 行 任 务 可 连 接 到 多 个 C 2 域 名 能 够 在 分 段 传 输 后 自 动 迁 移 与 C o b a l t   S t r i k e 紧 密 集 成 ， 通 过 社 工 、 主 机 漏 洞 和 会 话 来 传 递 B e a c o n 根 据 内 置 L i s t e n e r 的 分 类 可 以 将 B e a c o n 分 为 ： H T T P   a n d   H T T P S   B e a c o n D N S   B e a c o n S M B   B e a c o n L i s t e n e r 是 用 来 接 收 是 用 来 接 收 B e a c o n 请 求 信 息 的 请 求 信 息 的 C o b a l t   S t r i k e 模 块 模 块 ， 此 处 不 多 介 绍 。 B e a c o n 翻 译 为 信 标 ， 就 像 信 标 一 样 在 网 络 中 标 识 自 己 的 方 位 ： “ 嘿 ， 我 是 肉 鸡 ， 我 在 这 … ” 。 可 以 通 过 下 图 来 看 B e a c o n 的 工 作 原 理 的 工 作 原 理 ： B e a c o n 在 目 标 主 机 上 运 行 之 后 ， 会 主 动 向 我 们 提 前 设 置 好 的 L i s t e n e r 发 送 请 求 信 息 ( 叮 ， 您 有 新 的 主 机 已 上 线 ) 。
T e a m   S e r v e r 控 制 器 接 收 到 请 求 后 会 检 查 是 否 有 待 执 行 的 任 务 待 执 行 的 任 务 ， 如 果 有 就 会 将 任 务 任 务 下 发 到 B e a c o n 。 B e a c o n   S t a g i n g   S e r v e r 值 得 一 提 的 是 p a y l o a d i n g   s t a g i n g ， 很 多 攻 击 框 架 都 是 使 用 分 段 分 段 的 p a y l o a d ， 以 防 止 防 止 p a y l o a d 过 大 过 大 ， 覆 盖 到 了 上 一 函 数 栈 帧 的 数 据 ， 导 致 引 发 异 常 ， 另 外 为 了 适 应 不 同 的 攻 击 场 景 ， 可 以 分 阶 段 进 行 p a y l o a d 投 递 。 C o b a l t   S t r i k e 使 用 s t a g e r 解 决 这 个 问 题 ， s t a g e r 是 一 段 很 精 短 的 代 码 ， 它 可 以 连 接 下 载 真 正 的 连 接 下 载 真 正 的 p a y l o a d 并 将 其 注 入 内 存 并 将 其 注 入 内 存 。 攻 击 者 首 先 投 递 一 个 小 巧 的 s t a g e r   p a y l o a d ， 然 后 通 过 s t a g e r 去 b e a c o n s t a g i n g   s e r v e r 的 某 个 U R L 下 载 完 整 的 p a y l o a d 。 当 存 储 着 B e a c o n 配 置 和 p a y l o a d 的 s t a g e r 服 务 器 暴 露 在 公 网 上 的 时 候 ， 是 可 以 被 所 有 人 访 问 的 。 不 幸 的 是 ， 默 认 情 况 下 访 问 该 服 务 是 一 个 伪 装 的 4 0 4 页 面 。 这 也 导 致 了 各 类 扫 描 器 、 空 间 测 绘 系 统 、 威 胁 情 报 平 台 等 并 不 能 基 于 页 面 r e s p o n s e 信 息 进 行 有 效 判 断 。
0 x 0 1   C o b a l t   S t r i k e 服 务 器 识 别 服 务 器 识 别 2 0 1 9 年 2 月 1 9 日 ， S t r a t e g i c   C y b e r   L L C 发 布 了 C o b a l t   S t r i k e   T e a m   S e r v e r   P o p u l a t i o n   S t u d y 。 该 研 究 的 部 分 目 的 是 调 查 C o b a l t   S t r i k e 软 件 的 许 可 状 态 ， 并 识 别 和 分 析 对 当 前 使 用 的 软 件 版 本 所 做 的 重 大 更 改 。 该 研 究 确 认 了 多 种 方 法 用 于 识 别 在 野 的 C o b a l t   S t i k e 服 务 器 ： 默 认 证 书 默 认 证 书 ： C o b a l t   S t r i k e 服 务 器 附 带 默 认 安 全 证 书 默 认 安 全 证 书 ， 如 果 黑 客 没 有 修 改 默 认 证 书 ， 就 可 以 使 用 该 默 认 证 书 进 行 指 纹 识 别 。 默 认 端 口 默 认 端 口 ： C o b a l t   S t r i k e 服 务 器 的 默 认 控 制 端 口 是 5 0 0 5 0 / T C P ， 这 个 端 口 基 本 上 没 有 其 他 服 务 在 使 用 。 N a n o H T T P D w e b 特 征 （ 适 用 于 特 征 （ 适 用 于 3 . x ） ） ： C o b a l t   S t r i k e 服 务 器 的 ” 4 0 4   N o t   F o u n d “   H T T P 响 应 与 N a n o H T T P D w e b 服 务 器 有 细 微 的 不 同 ， 可 以 通 过 该 细 节 来 识 别 C S 服 务 器 。 另 外 2 0 2 0 年 底 s a l e s f o r c e 新 提 出 了 唯 一 标 识 T L S 服 务 端 的 J A R M 指 纹 指 纹 也 为 我 们 提 供 了 新 的 思 路 。 总 的 来 说 ， 上 面 列 表 中 最 可 靠 的 方 法 是 使 用 默 认 安 全 证 书 默 认 安 全 证 书 对 C o b a l t   S t r i k e 服 务 器 进 行 指 纹 识 别 。 其 余 的 检 测 方 法 则 不 太 能 唯 一 确 定 ， 只 有 与 其 他 方 法 交 叉 验 证 后 才 具 有 较 高 的 可 信 度 。 例 如 ， 任 何 使 用 5 0 0 5 0 端 口 、 同 时 提 供 N a n o H T T P   w e b 服 务 器 特 有 的 H T T P 响 应 的 服 务 器 都 更 可 能 是 C o b a l t   S t r i k e 服 务 器 ， 而 不 是 仅 显 示 H T T P 响 应 签 名 的 服 务 器 。 默 认 证 书 默 认 证 书 C o b a l t   S t r i k e 默 认 证 书 如 下 : 默 认 的 证 书 具 有 很 明 显 的 特 征 ， 例 如 C o b a l t   S t r i k e 不 同 版 本 的 证 书 指 纹 不 同 ， 但 可 以 根 据 证 书 指 纹 进 行 识 别 是 否 是 C o b a l t   S t r i k e 服 务 器 。 N a n o H T T P D 响 应 响 应   （ 适 用 于 （ 适 用 于 3 . x ） ） C o b a l t   S t r i k e 服 务 器 基 于 N a n o H T T P D ， 于 2 0 1 2 年 首 次 发 布 。 N a n o H T T P D 是 一 个 基 于 j a v a 的 开 源 w e b 服 务 器 框 架 。 N a n o H T T P D 服 务 器 响 应 中 包 含 一 个 额 外 的 空 字 节 ： ” H T T P / 1 . 1 ” 后 面 是 一 个 空 空 字 节 （ 字 节 （ 0 x 2 0 ） ） ， 而 在 其 他 w e b 服 务 器 响 应 中 不 存 在 这 个 空 字 节 。 2 0 1 9 年 1 月 2 日 ，   C o b a l t   S t r i k e   3 . 1 3 版 发 布 。 C o b a l t   S t r i k e 发 布 的 声 明 指 出 ， 该 版 本 “ 从 H T T P 状 态 响 应 中 删 除 了 无 关 的 空 字 节 ” 。 所 有 3 . 1 3 版 本 之 前 的 C o b a l t   S t r i k e 服 务 器 的 H T T P 响 应 都 包 含 这 个 空 字 节 ， 可 以 使 用 扫 描 器 检 索 H T T P 响 应 来 识 别 。 通 过 手 动 抓 包 C o b a l t   S t r i k e 服 务 器 的 连 接 ， 也 可 以 很 容 易 看 到 这 个 额 外 的 空 字 节 。 由 于 绝 大 部 分 的 破 解 C o b a l t   S t r i k e 没 有 更 新 或 补 丁 ， 通 过 这 种 方 法 发 现 恶 意 C o b a l t   S t r i k e 服 务 器 的 概 率 仍 然 较 大 。 安 全 公 司 F o x - I T 于 2 0 1 9 年 2 月 2 6 日 发 布 了 关 于 C o b a l t   S t r i k e 服 务 器 的 研 究 ， 该 研 究 不 仅 提 供 了 细 节 和 如 何 识 别 3 . 1 3 版 本 之 前 的 服 务 器 （ 对 应 H T T P 响 应 中 额 外 的 空 字 符 ） ， 还 包 括 从 R a p i d 7 公 开 数 据 中 从 2 0 1 5 到 2 0 1 9 年 使 用 该 检 测 方 法 发 现 的 超 过 7 0 0 0   C o b a l t   S t r i k e   主 机 I P 列 表 。 类 似 的 ， 2 0 1 9 年 2 月 2 7 日 ， 知 道 创 宇 安 全 研 究 团 队 发 表 了 一 篇 博 客 ， 详 细 介 绍 了 他 们 使 用 S t r a t e g i c   C y b e r   L L C 报 告 的 N a n o H T T P D   4 0 4   N o t   F o u n d 响 应 异 常 响 应 异 常 以 及 空 字 节 异 常 空 字 节 异 常 来 识 别 C o b a l t   S t r i k e 服 务 器 。 他 们 在 Z o o m E y e 的 数 据 中 发 现 的 服 务 器 更 少 ， 但 仍 然 超 过 了 3 0 0 0 台 。 知 道 创 宇 报 告 称 ， 构 建 C o b a l t   S t r i k e 的 开 源 N a n o H T T P D 代 码 响 应 方 式 如 下 ： 知 道 创 宇 的 检 测 逻 辑 就 是 基 于 这 一 发 现 。 然 而 他 们 随 后 还 观 察 到 H T T P 响 应 中 的 顺 序 实 际 上 可 能 不 同 ， 在 一 些 C o b a l t   S t r i k e 系 统 的 响 应 中 ” C o n t e n t - T y p e ” 在 ” D a t e ” 之 后 显 示 。 O = c o b a l t s t r i k e ,   O U = A d v a n c e d P e n T e s t i n g ,   C N = M a j o r   C o b a l t   S t r i k e H T T P / 1 . 1   4 0 4   N o t   F o u n d C o n t e n t - T y p e :   t e x t / p l a i n D a t e :   D a y ,   D D   M m m   Y Y Y Y   H H : M M : S S   G M T C o n t e n t - L e n g t h :   0
J A R M 指 纹 指 纹 在 介 绍 J A R M 之 前 回 顾 一 下 J A 3 指 纹 。 由 三 位 S a l e s f o r c e 研 究 员 开 发 的 开 源 J A 3 项 目 ， 可 以 通 过 对 服 务 器 和 客 户 端 之 间 的 T L S 协 商 协 商 进 行 指 纹 识 别 指 纹 识 别 来 检 测 可 疑 的 H T T P S 连 接 。 T L S / S S L 版 本 可 接 受 的 加 密 套 件 e l l i p t i c   c u r v e 细 节 （ 如 e l l i p t i c   c u r v e   p o i n t 格 式 ） 等 等 特 征 都 可 以 被 做 成 指 纹 。 J A 3 用 于 客 户 端 ， J A 3 S 则 用 于 服 务 器 。 在 C o b a l t   S t r i k e 的 案 例 中 ， C l i e n t   b e a c o n （ 使 用 W i n d o w s 套 接 字 来 发 起 通 信 ） 和 运 行 在 K a l i   L i n u x 上 的 C o b a l t   S t r i k e 服 务 器 的 T L S 协 商 就 可 以 产 生 指 纹 。 这 些 指 纹 需 要 交 叉 验 证 才 能 可 靠 地 发 现 C o b a l t   S t r i k e 服 务 器 ， 尽 管 C o b a l t   S t r i k e 服 务 器 可 以 通 过 重 定 向 来 部 分 让 这 种 检 测 ， 但 仍 然 有 许 多 C o b a l t   S t r i k e 服 务 器 没 有 使 用 这 种 代 理 。 J A 3 和 J A 3 S 签 名 可 以 与 Z e e k / B r o 和 S u r i c a t a 等 工 具 一 起 使 用 。 来 这 些 网 络 检 测 工 具 输 出 数 据 可 以 输 入 到 诸 如 S p l u n k 这 样 的 S I E M 中 。 J A 3 和 J A 3 S 指 纹 可 以 从 S a l e s f o r c e ’ s   G i t h u b   a c c o u n t 和 其 他 来 源 获 得 。 J A 3 C o b a l t   S t r i k e 默 认 的 S S L / T L S 证 书 是 固 定 的 ， 所 以 一 般 都 是 使 用 这 个 证 书 作 为 特 征 值 来 发 现 C o b a l t   S t r i k e 服 务 器 ， 服 务 端 传 给 客 户 端 的 S S L 默 认 证 书 有 很 明 显 的 特 征 ： J A 3 方 法 用 于 收 集 C l i e n t   H e l l o 数 据 包 中 以 下 字 段 的 十 进 制 十 进 制 字 节 值 ： 版 本 可 接 受 的 密 码 扩 展 列 表 椭 圆 曲 线 密 码 椭 圆 曲 线 密 码 格 式 。 然 后 将 这 些 值 串 联 到 一 起 ， 在 使 用 “ , ” 分 割 开 各 个 字 段 ， 同 时 用 “ - ” 来 分 隔 各 个 字 段 中 的 各 个 值 。 这 些 字 段 的 顺 序 如 下 ： T L S 版 本 信 息 版 本 信 息 、 可 接 受 的 密 码 可 接 受 的 密 码 、 扩 展 列 表 扩 展 列 表 、 椭 圆 曲 线 密 码 椭 圆 曲 线 密 码 和 椭 圆 曲 线 密 码 格 式 椭 圆 曲 线 密 码 格 式 。 用 C o b a l t S t r i k e 4 . 1 的 连 接 流 量 举 例 。 C = E a r t h ， S T = C y b e r s p a c e ， L = S o m e w h e r e ， O = C o b a l t S t r i k e ， O U = A d v a n c e d P e n T e s t i n g ， C N = M a j o r   C o b a l t S t r i k e
然 后 会 算 这 些 字 符 串 的 M D 5 哈 希 值 ， 以 生 成 易 于 使 用 和 共 享 的 长 度 为 3 2 字 符 的 指 纹 ， 他 们 就 是 J A 3   T L S 客 户 端 的 指 纹 。 比 如 上 述 C o b a l t S t r i k e 4 . 1 客 户 端 指 纹 ： J A 3 S 创 建 J A 3 后 ， 就 可 以 使 用 同 样 的 方 式 对 T L S 的 服 务 端 进 行 指 纹 识 别 ， 即 对 T L S   S e r v e r   H e l l o 信 息 进 行 指 纹 识 别 。 J A 3 S 会 收 集 S e r v e r   H e l l o 数 据 包 中 以 下 各 个 字 段 的 十 进 制 字 节 值 ： 版 本 、 可 接 受 的 加 密 算 法 和 扩 展 列 表 ， 然 后 将 这 些 值 串 联 起 来 ， 使 用 “ , ” 来 分 隔 各 个 字 段 ， 使 用 “ - ” 分 隔 每 个 字 段 中 的 各 个 值 。 这 些 字 段 的 顺 序 如 下 ： T L S 版 本 信 息 、 可 接 受 的 密 码 、 扩 展 列 表 C o b a l t S t r i k e 4 . 1 的 服 务 端 ： 同 一 台 服 务 器 会 根 据 C l i e n t   H e l l o 信 息 机 器 内 容 以 不 同 的 方 式 创 建 S e r v e r   H e l l o 消 息 ， 因 此 这 里 不 能 跟 J A 3 那 样 ， 仅 仅 根 据 服 务 器 的 H e l l o 消 息 来 对 其 进 行 指 纹 识 别 。 尽 管 服 务 器 对 不 同 客 户 端 的 响 应 不 同 ， 但 是 他 们 对 同 一 客 户 端 的 响 应 总 是 一 致 对 同 一 客 户 端 的 响 应 总 是 一 致 的 。 比 如 ： 客 户 端 正 在 发 送 T L S   C l i e n t   H e l l o 数 据 包 ， 其 中 数 据 都 是 A 。 因 此 ， 服 务 器 会 的 响 应 的 内 容 也 是 由 A 构 成 ， 并 将 始 终 用 A 来 提 供 同 样 的 响 应 。 与 此 同 时 ， 另 一 个 客 户 端 也 在 发 送 数 据 包 ， 并 且 内 容 都 是 B 。 类 似 的 ， 服 务 器 现 在 会 用 B 进 行 响 应 ， 并 且 总 是 用 B 组 成 的 B 串 进 行 响 应 。 可 以 看 到 ， 对 于 不 同 的 客 户 端 ， 服 务 器 会 给 予 不 同 的 响 应 ， 但 是 对 于 每 个 客 户 端 来 说 ， 总 是 以 相 同 的 方 式 进 行 响 应 。 在 这 个 日 志 输 出 中 ， J A 3 位 于 左 侧 ， J A 3 S 位 于 右 侧 ， 使 用 同 一 客 户 端 与 同 一 服 务 器 交 互 了 4 次 。 然 后 ， 再 次 使 用 不 同 的 客 户 端 进 行 了 4 次 以 上 的 交 互 。 不 难 发 现 ， 服 务 器 的 响 应 方 式 对 于 同 一 客 户 端 总 是 相 同 的 ， 但 对 于 不 同 的 客 户 端 却 是 不 同 的 。 例 如 ， M e t a S p l o i t   的   M e t e r p r e t e r   和   C o b a l t S t r i k e （ 并 非 4 . 1 版 本 ）   的   B e a c o n   都 使 用   W i n d o w s   套 接 字 来 启 动   T L S   通 信 。 在   W i n d o w s   1 0   上 ， 由 于   W i n d o w s   上 的 其 他 普 普 通 通 的 应 用 程 序 也 使 用 相 同 的 套 接 字 ， 因 此 ， 我 们 很 难 识 别 其 中 的 恶 意 通 信 。 但 是 ， K a l i   L i n u x   上 的   C 2   服 务 器 对 该 客 户 端 应 用 程 序 的 响 应 方 式 与   I n t e r n e t   上 的 普 通 服 务 器 对 该 套 接 字 的 响 应 方 式 相 比 来 说 是 独 一 无 二 的 。 尽 管 服 务 器 对 不 同 客 户 端 的 响 应 不 同 ， 但 它 们 对 同 一 客 户 端 的 响 应 总 是 一 致 的 。 因 此 ， 如 果 结 合   j a 3 + j a 3 s ， 就 能 够 识 别 这 种 恶 意 通 信 ， 而 不 用 考 虑 目 的 地   I P 、 域 名 或 证 书 等 细 节 信 息 。 利 用 利 用 J A R M 指 纹 识 别 的 问 题 指 纹 识 别 的 问 题 S a l e s f o r c e 研 究 人 员 发 布 了 一 篇 名 为 E a s i l y   I d e n t i f y   M a l i c i o u s   S e r v e r s   o n   t h e   I n t e r n e t   w i t h   J A R M 的 文 章 ， 并 在 g i t h u b 上 发 布 了 一 个 J A R M 扫 描 工 具 。 7 7 1 , 4 9 1 8 8 - 4 9 1 9 2 - 6 1 - 4 9 1 9 0 - 4 9 1 9 4 - 1 0 7 - 1 0 6 - 4 9 1 6 2 - 4 9 1 7 2 - 5 3 - 4 9 1 5 7 - 4 9 1 6 7 - 5 7 - 5 6 - 4 9 1 8 7 - 4 9 1 9 1 - 6 0 - 4 9 1 8 9 - 4 9 1 9 3 - 1 0 3 - 6 4 - 4 9 1 6 1 - 4 9 1 7 1 - 4 7 - 4 9 1 5 6 - 4 9 1 6 6 - 5 1 - 5 0 - 4 9 1 9 6 - 4 9 1 9 5 - 4 9 2 0 0 - 1 5 7 - 4 9 1 9 8 - 4 9 2 0 2 - 1 5 9 - 1 6 3 - 4 9 1 9 9 - 1 5 6 - 4 9 1 9 7 - 4 9 2 0 1 - 1 5 8 - 1 6 2 , 6 7 , , 1 1 - 2 - 2 5 6 ( 如 果 无 上 述 字 段 ， 则 这 些 字 段 的 值 为 空 ) f a 7 0 4 7 2 3 a 2 1 0 6 3 2 b 2 f f 9 a d 0 3 b e 4 1 8 6 5 1 7 7 1 , 4 9 1 9 2 , 9 - - - - - - - - > 5 5 1 3 a b 2 9 8 3 a 0 d b 8 8 f a d d 3 5 3 d e 0 3 4 1 e 7 c J A 3 = 7 2 a 5 8 9 d a 5 8 6 8 4 4 d 7 f 0 8 1 8 c e 6 8 4 9 4 8 e e a （ 指 定   I P   地 址 ） ， J A 3 = a 0 e 9 f 5 d 6 4 3 4 9 f b 1 3 1 9 1 b c 7 8 1 f 8 1 f 4 2 e 1 （ 指 定 域 名 ）
J A R M 是 一 个 主 动 T L S 服 务 端 指 纹 工 具 ， 主 要 用 途 如 下 ： 快 速 验 证 一 组 T L S 服 务 器 是 否 使 用 相 同 的 T L S 配 置 ； 通 过 T L S 配 置 划 分 T L S 服 务 器 ， 并 识 别 可 能 归 属 的 公 司 ； 识 别 网 站 默 认 的 应 用 或 基 础 架 构 ； 识 别 恶 意 软 件 C & C 控 制 节 点 ， 以 及 其 他 恶 意 服 务 器 。 J A R M 的 核 心 在 于 ： T L S   S e r v e r 根 据 T L S   C l i e n t   H e l l o 中 参 数 的 不 同 ， 返 回 不 同 的 S e r v e r   H e l l o 数 据 包 。 而 C l i e n t   H e l l o 的 参 数 可 以 人 为 指 定 修 改 ， 因 此 通 过 发 送 多 个 精 心 构 造 的 C l i e n t   H e l l o 获 取 其 对 应 的 特 殊 S e r v e r   H e l l o ， 最 终 形 成 T L S   S e r v e r 的 指 纹 。 具 体 能 够 产 生 影 响 的 参 数 包 括 但 不 限 于 ： 操 作 系 统 及 其 版 本 O p e n S S L 等 第 三 方 库 及 其 版 本 第 三 方 库 的 调 用 顺 序 用 户 自 定 义 配 置 等 等 而 前 文 提 到 ， T L S 服 务 器 对 不 同 客 户 端 的 响 应 不 同 ， 但 是 他 们 对 同 一 客 户 端 的 响 应 总 是 一 致 的 。 因 此 不 能 跟 J A 3 那 样 ， 仅 仅 根 据 J A 3 S 对 服 务 器 进 行 指 纹 识 别 。 而 J A R M 采 取 了 一 种 类 似 f u z z 的 方 式 ， 主 动 向 T L S 服 务 器 发 送 1 0 个 T L S   H e l l o 数 据 包 并 对 S e r v e r   H e l l o 中 的 特 定 字 段 进 行 分 析 ， 以 特 定 方 式 对 1 0 个 T L S 服 务 器 响 应 进 行 哈 希 处 理 ， 最 终 生 成 J A R M 指 纹 。 J A R M 中 的 1 0 个 T L S 客 户 端 H e l l o 数 据 包 经 过 特 殊 设 计 ， 目 的 就 是 提 取 T L S 服 务 器 中 的 唯 一 响 应 。 总 之 J A R M 与 我 们 在 进 行 流 量 分 析 威 胁 时 常 用 的 J A 3 、 J A 3 / S 不 同 ： J A 3 、 J A 3 / S 主 要 基 于 流 量 ， 服 务 器 面 对 不 同 客 户 端 产 生 不 同 的 J A 3 S 指 纹 。 J A R M 则 是 完 全 主 动 的 扫 描 并 生 成 指 纹 ， 服 务 器 可 以 生 产 唯 一 的 J A R M 指 纹 。 在 E a s i l y   I d e n t i f y   M a l i c i o u s   S e r v e r s   o n   t h e   I n t e r n e t   w i t h   J A R M 原 文 中 ， 作 者 给 出 了 一 份 C 2 和 J A R M 对 应 的 清 单 ： M a l i c i o u s   S e r v e r   C 2 J A R M   F i n g e r p r i n t O v e r l a p   w i t h   A l e x a   T o p   1 M T r i c k b o t 2 2 b 2 2 b 0 9 b 2 2 b 2 2 b 2 2 b 2 2 b 2 2 b 2 2 b 2 2 b 3 5 2 8 4 2 c d 5 d 6 b 0 2 7 8 4 4 5 7 0 2 0 3 5 e 0 6 8 7 5 c 0 A s y n c R A T 1 d d 4 0 d 4 0 d 0 0 0 4 0 d 1 d c 1 d d 4 0 d 1 d d 4 0 d 3 d f 2 d 6 a 0 c 2 c a a a 0 d c 5 9 9 0 8 f 0 d 3 6 0 2 9 4 3 0 M e t a s p l o i t 0 7 d 1 4 d 1 6 d 2 1 d 2 1 d 0 0 0 4 2 d 4 3 d 0 0 0 0 0 0 a a 9 9 c e 7 4 e 2 c 6 d 0 1 3 c 7 4 5 a a 5 2 b 5 c c 0 4 2 d 0 C o b a l t   S t r i k e 0 7 d 1 4 d 1 6 d 2 1 d 2 1 d 0 7 c 4 2 d 4 1 d 0 0 0 4 1 d 2 4 a 4 5 8 a 3 7 5 e e f 0 c 5 7 6 d 2 3 a 7 b a b 9 a 9 f b 1 0 M e r l i n   C 2 2 9 d 2 1 b 2 0 d 2 9 d 2 9 d 2 1 c 4 1 d 2 1 b 2 1 b 4 1 d 4 9 4 e 0 d f 9 5 3 2 e 7 5 2 9 9 f 1 5 b a 7 3 1 5 6 c e e 3 8 3 0 3 在 理 想 情 况 下 如 果 J A R M 与 C 2 唯 一 对 应 ， 那 么 就 多 了 一 种 主 动 发 现 C 2 节 点 的 特 征 。 然 而 在 验 证 时 ， 搜 索 C o b a l t   S t r i k e 对 应 的 J A R M 发 现 了 2 3 3 8 个 独 立 I P ， 但 T O P 5 的 应 用 为 ： 应 用 应 用 数 量 数 量 C o b a l t   S t r i k e 团 队 服 务 器 1 , 1 3 7 C o b a l t S t r i k e - B e a c o n 服 务 端 3 7 3 T o m c a t - W e b 服 务 器 4 0 W e b l o g i c 应 用 服 务 器 2 1 W o r d P r e s s C M S 博 客 系 统 1 4 可 以 看 到 和 上 面 C o b a l t S t r i k e 相 同 J A R M 的 还 有   T o m c a t 、 W e b l o g i c 和 W o r d P r e s s 等 开 启 T L S 的 W e b 应 用 ， 也 就 是 说 C o b a l t S t r i k e 这 个 应 用 只 是 该 J A R M 对 应 T L S 服 务 器 其 中 的 一 个 子 集 。 而 在 之 后 的 验 证 中 发 现 ， J A R M 指 纹 与 上 层 应 用 无 强 关 联 性 ， 使 用 相 同 J D K 的 T o m c a t 和 C o b a l t   S t r i k e 拥 有 相 同 的 J A R M 指 纹 ， 这 也 解 释 了 为 什 么 会 有 那 么 多 的 W e b l o g i c 和 T o m c a t 应 用 被 识 别 出 来 了 ， 因 此 不 能 直 接 通 过 J A R M 去 判 定 C o b a l t S t r i k e 。 同 样 ， 对 于 C o b a l t S t r i k e 而 言 J A R M 也 并 不 唯 一 ， 其 J A R M 与 不 同 J D K 环 境 下 T L S 服 务 有 关 。 因 此 J A R M 仅 仅 是 一 种 T L S 服 务 端 特 征 的 标 识 方 式 ， 只 能 作 为 一 个 辅 助 手 段 辅 助 手 段 ， 不 能 完 全 被 用 作 W e b 上 层 应 用 的 唯 一 指 纹 。 0 x 0 2   B e a c o n 的 安 全 性 的 安 全 性 设 想 这 样 一 个 问 题 ， 如 果 有 人 劫 持 劫 持 了 你 的 通 信 流 量 ， 并 可 以 监 听 到 你 的 B e a c o n 向 T e a m   S e r v e r 传 回 的 数 据 ， 这 时 会 发 生 什 么 呢 ？ 答 案 是 什 么 都 不 会 发 生 。 因 为 B e a c o n 内 置 了 多 种 安 全 特 性 安 全 特 性 （ 除 了 第 四 条 ） ： 1 . B e a c o n   s t a g e   在 连 接 时 会 验 证 T e a m   S e r v e r 2 . B e a c o n   的 任 务 请 求 和 任 务 输 出 都 是 被 加 密 的 3 . B e a c o n   有 重 放 保 护 机 制 4 . B e a c o n   s t a g e r s 本 身 没 有 任 何 安 全 机 制 没 有 任 何 安 全 机 制 通 信 加 密 机 制 通 信 加 密 机 制 当 你 启 动 T e a m   S e r v e r 并 创 建 了 B e a c o n   L i s t e n e r 时 ， T e a m   S e r v e r 就 会 创 建 公 钥 对 公 钥 对 来 保 证 后 续 传 输 过 程 的 安 全 性 。
本 文 以 分 段 传 输 p a y l o a d 为 例 ， 来 详 细 讲 解 一 下 C o b a l t   S t r i k e 的 安 全 特 性 。 1 . 当 s t a g e r 下 载 s t a g e 时 ， 公 钥 公 钥 也 会 被 一 起 发 送 ： 2 . 当 B e a c o n   s t a g e 准 备 c h e c k   i n 的 时 候 ， 第 一 步 就 是 要 发 送 关 于 b e a c o n   s e s s i o n 的 元 数 据 ( M e t a d a t a ) 。 元 数 据 中 包 含 了 用 户 、 P I D 、 计 算 机 名 称 、 I P 地 址 等 基 础 信 息 ， 同 时 元 数 据 中 也 包 括 了 B e a c o n s t a g e 创 建 的 一 个 随 机 会 话 密 钥 随 机 会 话 密 钥 。 为 了 保 证 安 全 性 ， B e a c o n   s t a g e 会 使 用 公 钥 公 钥 加 密 元 数 据 ( 含 会 话 密 钥 ) ， 这 意 味 着 只 有 T e a m   S e r v e r 才 能 够 解 密 该 数 据 包 。 3 . 当 B e a c o n 从 T e a m   S e r v e r 下 载 任 务 的 时 候 ， 团 队 服 务 器 会 使 用 会 话 密 钥 会 话 密 钥 加 密 这 些 任 务 ， B e a c o n   s t a g e 也 会 使 用 会 话 密 钥 会 话 密 钥 来 解 密 任 务 列 表 。 4 . 同 样 在 返 回 任 务 结 果 的 时 候 ， B e a c o n   s t a g e 也 会 使 用 会 话 密 钥 会 话 密 钥 对 任 务 输 出 加 密 。 可 以 看 到 R a p h a e l 在 设 计 C o b a l t   S t r i k e 的 时 候 已 经 充 分 的 考 虑 到 了 它 的 安 全 性 问 题 。 s t a g e r   U R L 生 成 机 制 生 成 机 制 当 使 用 p a y l o a d   s t a g i n g 时 ， C o b a l t   S t r i k e 会 在 其 W e b 服 务 器 上 托 管 s t a g e r 。 任 何 人 都 能 连 接 到 这 个 服 务 器 上 ， 通 过 访 问 正 确 的 U R I 来 下 载 p a y l o a d ， 否 则 直 接 访 问 会 返 回 。 s t a g e r   U R I 的 生 成 规 则 如 下 ： 可 见 当 传 入 的 经 过 c h e c k s u m 8 计 算 后 ， 符 合 相 应 的 条 件 就 可 以 下 载 对 应 的 s t a g e r 。 4 0 4   N o t   F o u n d p u b l i c   s t a t i c   l o n g   c h e c k s u m 8 ( S t r i n g   t e x t ) { i f   ( t e x t . l e n g t h ( )   <   4 )   { r e t u r n   0 L ; } t e x t   =   t e x t . r e p l a c e ( " / " ,   " " ) ; l o n g   s u m   =   0 L ; f o r   ( i n t   x   =   0 ;   x   <   t e x t . l e n g t h ( ) ;   x + + )   { s u m   + =   t e x t . c h a r A t ( x ) ; } / + 4 个 字 符
详 细 的 逆 向 过 程 可 参 考 魔 改 C o b a l t S t r i k e ： 免 杀 就 像 便 秘 一 样 s t a g e r 加 密 机 制 加 密 机 制 大 多 数 s t a g e r 是 P E 文 件 ， b e a c o n 的 代 码 存 在 其 区 块 里 并 使 用 4 字 节 异 或 加 密 ， 通 过 异 或 解 密 后 可 以 从 中 解 析 出 b e a c o n 的 c o n f i g 文 件 。 详 细 逆 向 过 程 参 考 C o b a l t S t r i k e 4 . 0   远 控 分 析 。 其 中 ， 从 3 . x 到 4 . x ， c s 自 解 密 的 算 法 一 直 没 变 。 c s   3 . x 版 本 的 异 或 密 钥 是 0 x 6 9 ， 4 . x 版 本 的 异 或 密 钥 是 0 x 2 e 。 0 x 0 3   B e a c o n   s t a g i n g   s e r v e r 扫 描 扫 描 在 上 一 节 介 绍 B e a c o n 的 安 全 性 时 提 到 ， 如 果 开 启 了 p a y l o a d   s t a g i n g 分 阶 段 投 递 ， 任 何 人 都 能 连 到 该 C o b a l t   S t r i k e 服 务 器 上 下 载 该 p a y l o a d 并 分 析 它 的 内 容 。 因 此 可 以 在 全 网 扫 描 可 疑 的 服 务 器 来 下 载 、 分 析 出 C o b a l t   S t r i k e   b e a c o n   s t a g e r 的 配 置 。 获 取 获 取 s t a g e r 地 址 地 址 根 据 默 认 的 地 址 生 成 规 则 ， 可 通 过 如 下 算 法 从 U R I 逆 推 出 s t a g e r 地 址 ， 并 且 可 以 根 据 不 同 的 输 入 生 成 3 2 位 或 6 4 位 的 p a y l o a d 的 地 址 。 解 密 解 密 s t a g e r 可 通 过 如 下 脚 本 对 s t a g e r 进 行 解 密 后 再 解 析 出 b e a c o n   c o n f i g ： 解 析 配 置 文 件 解 析 配 置 文 件 解 密 后 的 文 件 使 用 如 下 脚 本 解 析 出 b e a c o n 的 配 置 文 件 ： h t t p s : / / g i t h u b . c o m / S e n t i n e l - O n e / C o b a l t S t r i k e P a r s e r 解 析 出 的 配 置 如 下 0 x 0 4   番 外 ： 番 外 ： C o b a l t   S t r i k e 去 特 征 技 术 去 特 征 技 术 服 务 器 去 特 征 ： 修 改 默 认 配 置 服 务 器 去 特 征 ： 修 改 默 认 配 置 默 认 的 服 务 器 配 置 很 容 易 被 溯 源 ， M S 0 8 0 6 7 团 队 发 表 了 C o b a l t s t r i k e 去 除 特 征 ， 通 过 修 改 默 认 端 口 默 认 端 口 、 默 认 证 书 默 认 证 书 的 方 式 可 以 避 免 被 直 接 发 现 。 服 务 器 去 特 征 ： 域 前 置 服 务 器 去 特 征 ： 域 前 置 可 以 通 过 C D N 节 点 将 流 量 转 发 到 真 实 的 C 2 服 务 器 ， 其 中 C D N 节 点 i p 通 过 识 别 请 求 的 H o s t 头 进 行 流 量 转 ， 利 用 配 置 的 域 名 的 高 可 信 度 来 绕 过 流 量 审 计 。 . d a t a d e f   g e n e r a t e _ c h e c k s u m ( i n p u t ) : t r i a l   =   " " t o t a l   =   0 w h i l e   t o t a l   ! =   i n p u t : t o t a l   =   0 t r i a l   =   ' ' . j o i n ( r a n d o m . c h o i c e ( " a b c d e f g h i j k l m n o p q r s t u v w x y z A B C D E F G H I J K L M N O P Q R S T U V W X Y Z 1 2 3 4 5 6 7 8 9 0 " ) f o r i m p o r t   s y s i m p o r t   s t r u c t f i l e n a m e   =   s y s . a r g v [ 1 ] d a t a   =   o p e n ( f i l e n a m e ,   ' r b ' ) . r e a d ( ) t   =   b y t e a r r a y ( d a t a [ 0 x 4 5 : ] ) ( a , b )   =   s t r u c t . u n p a c k _ f r o m ( ' < I I ' ,   t ) k e y   =   a t 2   =   t [ 8 : ] o u t   =   " " w i t h   o p e n
可 参 考 使 用 C o b a l t S t r i k e 搭 建 域 前 置 流 量 去 特 征 ： 流 量 去 特 征 ： M a l l e a b l e   C 2   P r o f i l e C o b a l t   S t r i k e 提 供 了 可 自 定 义 的 M a l l e a b l e   C 2   P r o f i l e ， 可 以 自 定 义 B e a c o n 流 量 交 互 内 容 ， 可 以 把 传 输 流 量 伪 装 成 高 信 誉 的 网 站 ， 比 如 G o o g l e 、 b a i d u 等 ， 也 可 以 把 加 密 指 令 隐 藏 到 c o o k i e 、 u r l 参 数 中 ， 从 而 绕 过 流 量 审 计 。 可 参 考 官 方 文 档 M a l l e a b l e   C o m m a n d   a n d   C o n t r o l B e a c o n   s t a g i n g   s e r v e r 去 特 征 ： 修 改 去 特 征 ： 修 改 s t a g e r 异 或 密 钥 异 或 密 钥 在 前 文 提 到 ， C o b a l t   S t r i k e 的 解 密 算 法 一 直 没 变 ， 区 别 只 在 于 异 或 密 钥 的 不 同 。 精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理