搜索

[18571] 2021-06-05_魔改CobaltStrike：探究beacon里每个功能点是如何实现的

文档创建者：s7ckTeam
浏览次数：29
最后更新：2025-01-18
2021-06-05_魔改CobaltStrike：探究beacon里每个功能点是如何实现的 1 2 3 魔 改 C o b a l t S t r i k e ： 探 究 b e a c o n 里 每 个 功 能 点 是 如 何 实 现 的 H A C K 学 习 呀   2 0 2 1 - 0 6 - 0 5 以 下 文 章 来 源 于 m o o n s e c   ， 作 者 快 乐 鸡 哥 魔 改 魔 改 C o b a l t S t r i k e ： 命 由 己 造 （ 上 ） ： 命 由 己 造 （ 上 ） 概 述 这 次 我 们 来 探 究 b e a c o n 里 每 个 功 能 点 是 如 何 实 现 的 ， 以 便 日 后 更 好 地 实 现 自 定 义 b e a c o n 。 因 为 有 近 百 个 相 关 功 能 点 ， 所 以 文 章 就 分 了 上 下 两 部 分 。 项 目 地 址 如 下 ： h t t p s : / / g i t h u b . c o m / m a i 1 z h i 2 / C o b a l t s t r i k e S o u r c e 前 情 提 要 我 们 从 上 篇 协 议 剖 析 得 文 章 中 知 道 当 b e a c o n 发 送 心 跳 包 后 ， t e a m s e r v e r 会 返 回 相 应 的 任 务 号 ， 并 返 回 相 应 得 任 务 信 息 ， b e a c o n 接 收 到 任 务 信 息 后 ， 会 进 入 循 环 处 理 ： 在 A l l C a s e _ 1 0 0 0 7 F 1 9 ( ) 里 面 就 是 b e a c o n 得 全 部 命 令 功 能 ， 我 们 按 反 编 译 循 环 中 的 c a s e 号 从 低 向 高 写 ， c a s e 号 与 发 送 数 据 包 的 任 务 号 是 大 同 小 异 的 。 功 能 剖 析 s p a w n （ （ x 8 6 ） ） c a s e 1 ， 派 生 会 话 ， 原 理 是 挂 起 方 式 启 动 r u n d l l 3 2 并 注 入 d l l 接 收 到 的 数 据 ： m o o n s e c   . 暗 月 博 客
C r e a t e p r o c e s s ( ) 以 挂 起 方 式 启 动 r u n d l l 3 2 . e x e ： 注 意 输 入 的 标 志 0 x 0 0 0 0 0 0 0 4   C R E A T E _ S U S P E N D E D : 使 用 V i r t u a l A l l o c E x ( ) 在 目 标 r u n d l l 3 2 进 程 申 请 内 存 空 间 ： W r i t e P r o c e s s M e m o r y ( ) 在 申 请 的 内 存 空 间 写 入 d l l ：
使 用 V i r t u a l P r o t e c t E x ( ) 设 置 内 存 属 性 ， P A G E _ E X E C U T E _ R E A D W R I T E 设 置 c o n t e x t 上 下 文 ， 并 恢 复 线 程 ： e x i t 退 出 退 出 c a s e 3 ， E x i t 退 出 功 能 ， 修 改 d w M i l l i s e c o n d s 时 间 为 0 ： 如 果 为 0 就 调 用 s u b _ 1 0 0 0 9 B B 0 ( ) 退 出 程 序 ：
S l e e p c a s e 4 ， S l e e p 设 置 b e a c o n 睡 眠 时 间 接 收 数 据 包 ， 取 得 修 改 的 时 间 并 进 行 修 改 d w M i l l i s e c o n d s C d 切 换 目 录 切 换 目 录 c a s e   5 ， 切 换 目 录 使 用 S e t C u r r e n t D i r e c t o r y 切 换 当 前 进 程 的 当 前 工 作 目 录 。
I n j e c t ( x 8 6 ) c a s e 9 ， 指 定 已 打 开 进 程 来 注 入 会 话 ， 原 理 就 是 远 程 线 程 注 入 ， d l l i n j e c t 、 s h i n j e c t 之 类 也 会 走 这 个 c a s e 。 先 用 o p e n p r o c e s s ( ) 打 开 目 标 进 程 ： 目 标 申 请 空 间 后 写 入 d l l 文 件 ： 最 后 调 用 C r e a t e R e m o t e T h r e a d ( ) 进 行 远 程 线 程 注 入 ： U p l o a d 上 传 文 件 上 传 文 件 c a s e 1 0   ， u p l o a d 上 传 文 件 ， 首 先 分 割 t e a m s e r v e r 回 传 的 数 据 ， 得 到 上 传 的 文 件 名 ， 然 后 w b 模 式 打 开 文 件 ：
然 后 获 得 数 据 长 度 和 内 容 ， 调 用 f w r i t e 写 入 ： d o w n l o a d 下 载 文 件 下 载 文 件 c a s e 1 1 ， d o w n l o a d 下 载 文 件 ， 先 分 割 数 据 包 获 得 需 要 下 载 的 文 件 名 ， 然 后 打 开 文 件 ， 不 断 读 取 文 件 内 容 ， 然 后 加 密 返 回 给 t e a m s e r v e r ： e x e c u t e 执 行 程 序 执 行 程 序 c a s e 1 2   ， e x e c u t e 执 行 程 序 ， 但 不 回 显
直 接 使 用 c r e a t e p r o c e s s ( ) 启 动 相 应 进 程 ： S p a w n t o ( x 8 6 ) c a s e 1 3 ， s p a w n t o ， 设 置 B e a c o n 派 生 会 话 时 使 用 的 程 序 当 再 执 行 s p a w n 时 ， 会 判 断 启 用 哪 个 程 序 进 行 注 入 ， 而 不 是 再 注 入 默 认 的 r u n d l l 3 2 . e x e ： 端 口 转 发 数 据 回 传 端 口 转 发 数 据 回 传 ( 没 有 命 令 参 数 没 有 命 令 参 数 ) c a s e 1 5 ， ， c a s e 1 6 ， ， 这 两 个 是 与 r p o r t f w d 端 口 转 发 相 关 的 c a s e ， 首 先 接 收 到 访 问 目 标 机 器 的 请 求 信 息 ：
然 后 发 送 给 目 标 机 器 ， 然 后 中 转 机 通 过 s e l e c t 模 型 等 待 信 息 返 回 ： 最 后 把 r p o r t f w d 端 口 转 发 的 信 息 返 回 ： d e s k t o p V N C 远 程 桌 面 远 程 桌 面 c a s e 1 8 ， x 8 6   d e s k t o p V N C 远 程 桌 面 （ 不 注 入 其 他 进 程 ） ， 不 建 议 用 v n c d o w n l o a d _ c a n c e l 取 消 相 关 下 载 文 件 取 消 相 关 下 载 文 件 c a s e 1 9 ， 命 令 b e a c o n 取 消 相 关 的 文 件 下 载 ：
中 转 子 中 转 子 b e a c o n 所 发 送 的 数 据 所 发 送 的 数 据 ( 没 有 相 关 命 令 参 数 没 有 相 关 命 令 参 数 ) c a s e 2 2 ， 没 有 相 关 命 令 行 ， 负 责 中 转 子 b e a c o n 的 数 据 传 输 （ 注 意 ， 不 是 端 口 转 发 的 数 据 ） ： U n l i n k c a s e 2 3 ， 调 用 s h u t d o w ( ) 断 开 与 子 B e a c o n 的 连 接 G e t u i d
c a s e 2 7 ， 获 取 当 前 令 牌 关 联 的 用 户 I D 使 用 G e t T o k e n I n f o r m a t i o n 检 索 令 牌 信 息 和 L o o k u o A c c o u n t S i d 获 取 令 牌 S I D ： 最 后 拼 接 输 出 ： r e v 2 s e l f c a s e 2 8 ， 恢 复 B e a c o n 原 始 令 牌 调 用 R e v e r t T o S e l f ( ) 终 止 当 前 用 户 标 识 的 模 拟 并 返 回 原 始 线 程 标 记 : s t e a l _ t o k e n c a s e 3 1 ， 从 目 标 进 程 中 窃 取 访 问 令 牌 先 打 开 进 程 ， 获 取 指 定 进 程 的 句 柄 令 牌 ， 再 用 I m p e r s o n a t e L o g g e d O n U s e r 模 拟 一 个 登 陆 用 户 的 访 问 令 牌 的 安 全 上 下 文 ， 最 后 用 D u p l i c a t e T o k e n E x 拷 贝 一 个 当 前 令 牌 相 同 权 限 的 令 牌
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理