搜索

[26702] 2021-02-21_魔改CobaltStrike：二开及后门生成分析

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-19
2021-02-21_魔改CobaltStrike：二开及后门生成分析 1 2 魔 改 C o b a l t S t r i k e ： 二 开 及 后 门 生 成 分 析 原 创   快 乐 鸡 哥   m o o n s e c   2 0 2 1 - 0 2 - 2 1 收 录 于 话 题   # 渗 透 测 试   免 杀   红 队   , 2 3 个 魔 改 魔 改 C o b a l t S t r i k e ： 二 开 及 后 门 生 成 分 析 ： 二 开 及 后 门 生 成 分 析 一 、 概 述 ： 这 次 文 章 主 要 介 绍 下 C o b a l t S t r i k e   4 . 1 相 关 功 能 的 二 开 和 后 门 （ a r t i f a c t . e x e b e a c o n . e x e ） 的 生 成 方 式 ， C o b a l t S t r i k e 的 j a r 包 我 已 反 编 译 ， 并 改 了 下 反 编 译 后 的 b u g ， t e a m s e r v e r 与 a g r e s s o r 均 能 正 常 调 试 使 用 ， 附 反 编 译 后 项 目 地 址 ： h t t p s : / / g i t h u b . c o m / m a i 1 z h i 2 / C o b a l t s t r i k e S o u r c e 。 若 有 不 对 的 地 方 希 望 大 伙 指 出 ， 谢 谢 。 后 续 将 会 再 分 享 通 讯 协 议 与 自 定 义 客 户 端 （ 后 门 ） 。 P S ： 感 谢 M o r i a r t y 的 分 享 课 。 二 、 常 用 二 开 的 方 式 ： 2 . 1   R D I ， 反 射 型 ， 反 射 型 D L L 注 入 注 入 新 建 目 录 ， 添 加 反 射 型 D l l : 在 d e f a u l t . c a n 文 件 中 添 加 自 定 义 的 菜 单 项 ， 其 中 传 入 参 数 $ 1 为 b e a c o n I D ： 在 A g g r e s s o r B r i d g e . j a v a 的 s c r i p t L o a d e d ( ) 方 法 中 增 加 自 定 义 的 d i a l o g : 在 e v a l u a t e ( ) 方 法 添 加 相 应 的 事 件 处 理 ， 来 打 开 自 定 义 的 对 话 框 ： 自 定 义 的 对 话 框 的 构 造 方 法 传 入 c l i e n t 和 b e a c o n I D 的 数 组 ， 以 便 后 续 构 造 T a s k B e a c o n 实 例 ， 再 调 用 T a s k B e a c o n 实 例 中 新 增 的 R D I T e s t ( ) 方 法 ， ：
下 图 为 在 T a s k B e a c o n . j a v a 中 的 T a s k B e a c o n 类 中 新 增 的 R D I T e s t ( ) ， 在 该 方 法 中 生 成 R D I T e s t J o b 类 对 象 并 调 用 其 s p a w n ( ) 方 法 ： 所 增 加 的 R D I T e s t J o b 类 ， 该 类 继 承 J o b 类 ， 并 实 现 所 需 的 虚 函 数 ， 其 中 g e t D L L N a m e ( ) 函 数 要 返 回 所 需 d l l 的 路 径 ： 另 外 在 该 类 中 重 写 了 父 类 的 s p a w n ( ) 方 法 ， 因 为 父 类 的 s p a w n ( ) 方 法 会 调 用 d e c r y p t ( ) 函 数 解 密 后 相 应 的 资 源 后 再 去 读 取 ， 而 我 们 的 d l l 没 有 进 行 加 密 ， 所 以 直 接 读 取 即 可 ： 测 试 运 行 ：
2 . 2   B O F ， ， B e a c o n O b j e c t   F i l e ， 加 载 运 行 ， 加 载 运 行 o b j F i l e 先 生 成 相 应 的 . B o f 文 件 ， 这 里 以 n e t s t a t 功 能 为 例 子 新 建 自 定 义 的 B O F 类 ， 并 继 承 P o s t E x I n l i n e O b j e c t 类 ， 重 写 类 中 的 g e t O b j e c t F i l e ( ) 方 法 ， 该 方 法 的 作 用 是 返 回 要 加 载 的 B O F 文 件 路 径 ： 其 中 在 父 类 P o s t E x I n l i n e O b j e c t 中 的 g e t F u n c t i o n ( ) 方 法 可 以 修 改 B O F 文 件 的 入 口 方 法 名 ， 不 一 定 为 g o ： 然 后 在 T a s k B e a c o n 增 加 其 B O F 类 的 调 用 ： 最 后 在 自 定 义 d i a l o g 中 调 用 ： 测 试 运 行 ：
3 三 、 简 介 相 关 后 门 的 生 成 ： 3 . 1 、 生 成 、 生 成 s t a g e r （ （ a r t i f a c t . e x e ） ） 跟 进 s h o w ( ) ， 首 先 设 置 w i n d o w s e x e c u t e 对 话 框 里 面 的 相 应 信 息 ， 其 中 D i a l o g M a n a g e r v a r 1 为 窗 口 管 理 对 象 ， 再 调 用 a d d D i a l o g L i s t e n e r ( t h i s ) 将 当 前 的 窗 口 加 入 链 表 ， 然 后 调 用 它 的 a c t i o n ( ) 方 法 ： 跟 入 a c t i o n ( ) 方 法 ， 里 面 再 调 用 a c t i o n _ n o c l o s e ( ) 方 法 ： 跟 入 a c t i o n _ n o c l o s e ( ) ， 首 先 找 到 G e n e r a t e 的 按 钮 ， 然 后 为 其 添 加 事 件 监 听 ： 选 择 l i s t e n e r ， 点 击 G e n e r a t e :
点 击 按 钮 后 就 新 建 线 程 ， 通 过 l i s t e n e r s 2 属 性 获 得 一 个 窗 口 迭 代 器 ， 然 后 迭 代 窗 口 对 象 ， 调 用 该 窗 口 对 象 所 实 现 D i a l o g L i s t e n e r 接 口 中 的 d i a l o g A c t i o n ( ) 方 法 ： 因 为 W i n d o w s E x e c u t a b l e D i a l o g 实 现 了 D i a l o g L i s t e n e r 的 接 口 ： 即 调 用 该 类 中 的 d i a l o g A c t i o n ( ) 方 法 ： 跟 入 g e t P a y l o a d S t a g e r ( ) ， 该 方 法 主 要 负 责 生 成 相 关 的 s h e l l c o d e : 跟 入 s h e l l c o d e   ( ) ， 该 方 法 三 个 参 数 分 别 为 l i s t e n e r 、 p a y l o a d 名 称 、 p a y l o a d 的 位 数 ： 继 续 跟 入 r e s o l v e ( ) ， 判 断 传 入 的 p a y l o a d 名 称 v a r 2 是 否 在 系 统 自 带 的 p a y l o a d 链 表 v a r 4 里 : 返 回 相 应 p a y l o a d 的 G e n e r i c S t a g e r 对 象 ， 并 g e n e r i c S t a g e r . g e n e r a t e ( ) 方 法 ， 该 方 法 为 主 要 s h e l l c o d e 的 生 成 方 法 ： 首 先 传 入 " r e s o u r c e s / h t t p s t a g e r . b i n " 路 径 通 过 C o m m U t i l s . r e s o u r c e ( ) 获 得 相 关 的 s h e l l c o d e ：
先 拼 接 了 t e a m s e r v e r 地 址 和 端 口 号 ： 再 回 填 E X I T _ F U N K _ P R O C E S S ： 回 填 S k i p O f f s e t 和 i s S S L 回 填 U s e r - a g e n t : 回 填 U R I ： 这 里 注 意 这 个 g e t U R I ( ) 生 成 U R I 的 函 数 ， 现 在 有 网 络 空 间 测 绘 进 行 网 络 上 的 扫 描 ， 该 生 成 的 U R I 就 是 其 主 要 特 征 ， 跟 入 这 个
函 数 ： 因 为 G e n e r i c H T T P S t a g e r X 8 6 是 父 类 ， 看 F o r e i g n H T T P S t a g e r X 8 6 子 类 里 面 的 函 数 实 现 ， 里 面 调 用 了 M S F U R I ( 3 2 ) ， 继 续 跟 入 ： 这 个 函 数 是 U R I 有 大 写 字 母 + 小 写 字 母 + 数 字 组 合 而 成 ， 然 后 经 过 c h e c k s u m ( ) 函 数 计 算 与 9 2 相 等 则 成 功 生 成 ， 跟 入 c h e c k s u m ( ) ： 在 w e b s e r v e r 端 认 证 U R I 来 下 载 b e a c o n 时 也 是 通 过 c h e c k s u m 8 ( ) 函 数 来 认 证 ： 最 后 函 数 执 行 完 后 返 回 s h e l l c o d e ， 回 到 d i a l o g A c t i o n ( ) 方 法 ， 后 续 判 断 需 要 生 成 的 是 e x e 还 是 d l l ， 调 用 s a v e f i l e ( ) 来 保 存 ， 再 在 该 函 数 中 调 用 p o s t ( ) ， 里 面 新 开 线 程 ， 调 用 窗 口 对 象 的 d i a l o g R e s u l t ( ) 方 法 ： 跟 入 d i a l o g R e s u l t ( ) 方 法 ， 先 获 取 了 相 关 的 信 息 ： 根 据 信 息 调 用 p a t c h A r t i f a c t ( ) 方 法 ：
跟 进 p a t c h A r t i f a c t ( ) ： 再 跟 进 p a t c h A r t i f a c t ( ) ， 函 数 中 主 要 调 用 _ p a t c h A r t i f a c t ( ) ， 传 入 s h e l l c o d e 内 容 和 相 应 文 件 名 ， 先 读 取 出 在 r e s o u r c e s / 中 a r t f i c t 3 2 的 内 容 ： 再 生 成 四 个 随 机 数 放 在 数 组 v a r 6 中 ， 然 后 将 s h e l l c o d e 跟 该 数 组 进 行 异 或 处 理 后 存 放 在 v a r 7 ： 在 a r t f a c t . e x e 找 到 1 0 2 4 个 ‘ A ’ 的 位 置 ： 然 后 把 相 应 的 位 置 、 异 或 所 需 的 数 组 、 异 或 后 的 s h e l l c o d e 内 容 及 长 度 等 信 息 填 入 v a r 1 0 : 然 后 把 a r t f a c t 3 2 . e x e 的 1 0 2 4 个 ’ A ’ 进 行 替 换 ， 并 返 回 a r t f a c t 3 2 . e x e 内 容 ： 接 着 把 a r t f a c t 3 2 . e x e 内 容 传 入 f i x C h e c k s u m ( ) 做 校 验 和 ： 最 后 调 用 w r i t e t o f i l e ( ) 把 数 据 写 入 文 件 ：
对 比 文 件 ， 1 0 2 4 个 ‘ A ’ 被 替 换 成 异 或 后 的 s h e l l c o d e ： 3 . 2 生 成 生 成 S t a g e ( B e a c o n . e x e ) 分 析 分 析 : 前 面 流 程 都 一 样 ， 主 要 分 析 W i n d o w s E x e c u t e S t a g e D i a l o g . j a v a 跟 入 g e t L i s t e n e r ( ) ， 里 面 主 要 做 配 置 信 息 ： 再 跟 入 n e w S c L i s t e n e r ( ) ： 先 看 D a t a U t i l s . g e t P r o f i l e ( v a r 1 ) ， 主 要 获 取 c 2 p r o f i l e 通 信 设 置 ：
再 看 D a t a U t i l s . g e t P u b l i c K e y ( v a r 1 ) ， 获 取 p u b k e y 的 值 ： 返 回 l i s t e n e r v a r 4 后 ， 调 用 v a r 4 的 e x p o r t ( ) 方 法 ， 跟 入 ， 函 数 里 判 断 p a y l o a d 的 类 型 ： 获 得 相 关 h o s t 和 p o r t 后 调 用 e x p o r t B e a c o n S t a g e H T T P ( ) : 再 跟 入 e x p o r t B e a c o n S t a g e ( ) ， 先 获 得 当 前 的 系 统 时 间 ， 然 后 读 取 r e s o u r c e / b e a c o n . d l l : 跟 入 r e a d R e s o u r c e ( S t r i n g s ) ， 先 把 r e s o u r c e / 替 换 成 s l e e v e / ， 然 后 调 用 d e c r y p t ( ) 解 密 读 取 到 的 相 应 资 源 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理