论坛
BBS
空间测绘
发表
发布文章
提问答疑
搜索
您还未登录
登录后即可体验更多功能
立即登录
我的收藏
提问答疑
我要投稿
IOT
[17121] 2021-08-07_检测CobaltStrike只需40行代码
文档创建者：
s7ckTeam
浏览次数：
3
最后更新：
2025-01-18
IOT
3 人阅读
|
0 人回复
s7ckTeam
s7ckTeam
当前离线
积分
-54
6万
主题
-6万
回帖
-54
积分
管理员
积分
-54
发消息
2021-08-07_检测CobaltStrike只需40行代码
检
测
C
o
b
a
l
t
S
t
r
i
k
e
只
需
4
0
行
代
码
h
u
o
j
i
1
2
0
F
r
e
e
B
u
f
2
0
2
1
-
0
8
-
0
7
无
文
件
落
地
的
木
马
主
要
是
一
段
可
以
自
定
位
的
s
h
e
l
l
c
o
d
e
组
成
,
特
点
是
没
有
文
件
，
可
以
附
加
到
任
何
进
程
里
面
执
行
。
一
旦
特
征
码
被
捕
获
甚
至
是
只
需
要
x
o
r
一
次
就
能
改
变
特
征
码
.
由
于
传
统
安
全
软
件
是
基
于
文
件
检
测
的
,
对
目
前
越
来
越
多
的
无
文
件
落
地
木
马
检
查
效
果
差
.
基
于
内
存
行
为
特
征
的
检
测
方
式
基
于
内
存
行
为
特
征
的
检
测
方
式
,
可
以
通
过
检
测
执
行
代
码
是
否
在
正
常
文
件
镜
像
区
段
内
去
识
别
是
否
是
无
文
件
木
马
可
以
通
过
检
测
执
行
代
码
是
否
在
正
常
文
件
镜
像
区
段
内
去
识
别
是
否
是
无
文
件
木
马
.
由
于
由
于
c
o
b
a
l
t
s
t
r
i
k
e
等
无
文
件
木
马
区
等
无
文
件
木
马
区
段
所
在
的
是
段
所
在
的
是
p
r
i
v
a
t
e
内
存
内
存
,
所
以
在
执
行
所
以
在
执
行
l
o
a
d
i
m
a
g
e
回
调
的
时
候
可
以
通
过
堆
栈
回
溯
快
速
确
认
是
否
是
无
文
件
木
马
回
调
的
时
候
可
以
通
过
堆
栈
回
溯
快
速
确
认
是
否
是
无
文
件
木
马
检
测
只
需
要
4
0
行
代
码
:
在
l
o
a
d
i
m
a
g
e
c
a
l
l
b
a
c
k
上
做
堆
栈
回
溯
发
现
是
p
r
i
v
a
t
e
区
域
的
内
存
并
且
是
e
x
c
u
t
e
权
限
的
c
o
d
e
在
加
载
d
l
l
,
极
有
可
能
,
非
常
有
可
能
是
无
文
件
木
马
或
者
是
s
h
e
l
l
c
o
d
e
在
运
行
堆
栈
回
溯
:
使
用
:
编
译
好
驱
动
,
加
载
驱
动
,
之
后
运
行
测
试
看
看
:
普
通
生
成
(
x
3
2
与
x
6
4
)
测
试
:
v
o
i
d
L
o
a
d
I
m
a
g
e
N
o
t
i
f
y
(
P
U
N
I
C
O
D
E
_
S
T
R
I
N
G
p
F
u
l
l
I
m
a
g
e
N
a
m
e
,
H
A
N
D
L
E
p
P
r
o
c
e
s
s
I
d
,
P
I
M
A
G
E
_
I
N
F
O
p
I
m
a
g
e
I
n
f
o
)
{
U
N
R
E
F
E
R
E
N
C
E
D
_
P
A
R
A
M
E
T
E
R
(
p
F
u
l
l
I
m
a
g
e
N
a
m
e
)
;
U
N
R
E
F
E
R
E
N
C
E
D
_
P
A
R
A
M
E
T
E
R
(
p
P
r
o
c
e
s
s
I
d
)
;
U
N
R
E
F
E
R
E
N
C
E
D
_
P
A
R
A
M
E
T
E
R
(
p
I
m
a
g
e
I
n
f
o
)
;
i
f
(
K
e
G
e
t
C
u
r
r
e
n
t
I
r
q
l
(
)
!
=
P
A
S
S
I
V
E
_
L
E
V
E
L
)
r
e
t
u
r
n
;
i
f
(
P
s
G
e
t
C
u
r
r
e
n
t
P
r
o
c
e
s
s
I
d
(
)
!
=
(
H
A
N
D
L
E
)
4
&
&
P
s
G
e
t
C
u
r
r
e
n
t
P
r
o
c
e
s
s
I
d
(
)
!
=
(
H
A
N
D
L
E
)
0
)
{
i
f
(
W
a
l
k
S
t
a
c
k
(
1
0
)
=
=
f
a
l
s
e
)
{
D
e
b
u
g
P
r
i
n
t
(
"
[
!
!
!
]
C
o
b
a
l
t
S
t
r
i
k
e
S
h
e
l
l
c
o
d
e
D
e
t
e
c
t
e
d
P
r
o
c
e
s
s
N
a
m
e
:
%
s
n
"
,
P
s
G
e
t
P
r
o
c
e
s
s
I
m
a
g
e
F
i
l
e
N
a
m
e
(
P
s
G
e
t
C
u
r
r
e
n
t
P
r
o
c
e
s
s
(
)
)
)
;
Z
w
T
e
r
m
i
n
a
t
e
P
r
o
c
e
s
s
(
N
t
C
u
r
r
e
n
t
P
r
o
c
e
s
s
(
)
,
0
)
;
r
e
t
u
r
n
;
}
}
r
e
t
u
r
n
;
}
b
o
o
l
W
a
l
k
S
t
a
c
k
(
i
n
t
p
H
e
i
g
h
t
)
{
b
o
o
l
b
R
e
s
u
l
t
=
t
r
u
e
;
P
V
O
I
D
d
w
S
t
a
c
k
W
a
l
k
A
d
d
r
e
s
s
[
S
T
A
C
K
_
W
A
L
K
_
W
E
I
G
H
T
]
=
{
0
}
;
u
n
s
i
g
n
e
d
_
_
i
n
t
6
4
i
W
a
l
k
C
h
a
i
n
C
o
u
n
t
=
R
t
l
W
a
l
k
F
r
a
m
e
C
h
a
i
n
(
d
w
S
t
a
c
k
W
a
l
k
A
d
d
r
e
s
s
,
S
T
A
C
K
_
W
A
L
K
_
W
E
I
G
H
T
,
1
)
;
i
n
t
i
W
a
l
k
L
i
m
i
t
=
0
;
f
o
r
(
u
n
s
i
g
n
e
d
_
_
i
n
t
6
4
i
=
i
W
a
l
k
C
h
a
i
n
C
o
u
n
t
;
i
>
0
;
i
-
-
)
{
i
f
(
i
W
a
l
k
L
i
m
i
t
>
p
H
e
i
g
h
t
)
b
r
e
a
k
;
i
W
a
l
k
L
i
m
i
t
+
+
;
i
f
(
C
h
e
c
k
S
t
a
c
k
V
A
D
(
(
P
V
O
I
D
)
d
w
S
t
a
c
k
W
a
l
k
A
d
d
r
e
s
s
[
i
]
)
)
{
D
e
b
u
g
P
r
i
n
t
(
"
h
e
i
g
h
t
:
%
d
a
d
d
r
e
s
s
%
p
n
"
,
i
,
d
w
S
t
a
c
k
W
a
l
k
A
d
d
r
e
s
s
[
i
]
)
;
b
R
e
s
u
l
t
=
f
a
l
s
e
;
b
r
e
a
k
;
}
}
r
e
t
u
r
n
b
R
e
s
u
l
t
;
}
基
于
V
i
r
t
u
a
l
A
l
l
o
c
的
C
代
码
测
试
:
测
试
结
果
:
基
于
p
o
w
e
r
s
h
e
l
l
的
测
试
:
基
于
p
y
t
h
o
n
的
测
试
测
试
结
果
:
弊
端
:
目
前
已
知
的
n
g
e
n
t
a
s
k
.
e
x
e
、
s
d
i
a
g
n
h
o
s
t
.
e
x
e
服
务
会
触
发
这
个
检
测
规
则
(
看
样
子
是
为
了
执
行
一
些
更
新
服
务
从
微
软
服
务
端
下
载
了
一
些
s
h
e
l
l
c
o
d
e
之
类
的
去
运
行
)
.
如
果
后
续
优
化
则
需
要
做
一
个
数
字
签
名
校
验
等
给
这
些
特
殊
的
进
程
进
行
加
白
操
作
.
这
是
工
程
问
题
,
不
是
这
个
d
e
m
o
的
问
题
一
如
既
往
的
g
i
t
h
u
b
:
h
t
t
p
s
:
/
/
g
i
t
h
u
b
.
c
o
m
/
h
u
o
j
i
1
2
0
/
C
o
b
a
l
t
S
t
r
i
k
e
D
e
t
e
c
t
e
d
精
彩
推
荐
精
彩
推
荐
阅
读
原
文
回复
举报
上一个主题
下一个主题
高级模式
B
Color
Image
Link
Quote
Code
Smilies
您需要登录后才可以回帖
登录
|
立即注册
本版积分规则
发表回复
!disable!!post_parseurl!
使用Markdown编辑器编辑
使用富文本编辑器编辑
回帖后跳转到最后一页
发表
IOT