搜索

[21820] 2021-03-29_如何识别恶意CobaltStrike服务器

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-03-29_如何识别恶意CobaltStrike服务器 如 何 识 别 恶 意 C o b a l t   S t r i k e 服 务 器 L e m o n S e c   2 0 2 1 - 0 3 - 2 9 摘 要 摘 要 C o b a l t   S t r i k e 是 一 个 渗 透 平 台 ， 供 安 全 专 业 人 员 用 于 模 拟 高 级 黑 客 的 定 向 攻 击 和 后 渗 透 行 动 。 该 工 具 由 总 部 位 于 华 盛 顿 的 S t r a t e g i c   C y b e r   L L C 公 司 开 发 并 授 权 ， 该 公 司 对 该 工 具 的 非 法 使 用 受 到 监 管 ， 并 受 到 出 口 管 制 。 尽 管 如 此 ， C o b a l t   S t r i k e 框 架 已 经 成 为 该 类 软 件 中 的 最 热 门 的 选 择 ， 其 中 包 括 M e t a s p l o i t   P r o 、 C o r e   I m p a c t 等 其 他 付 费 套 件 。 在 这 类 平 台 中 ， 虽 然 C o b a l t   S t r i k e 并 不 是 唯 一 一 个 被 盗 版 用 户 和 网 络 罪 犯 使 用 的 平 台 ， 但 其 已 经 被 各 种 包 括 A P T 3 2 在 内 的 威 胁 集 团 使 用 ， 他 们 使 用 该 工 具 进 行 初 步 渗 透 ， 而 以 同 名 命 名 的 C o b a l t 集 团 也 严 重 依 赖 该 框 架 。 考 虑 到 安 全 测 试 人 员 ， 更 重 要 的 是 恶 意 攻 击 者 ， 大 量 使 用 C o b a l t   S t r i k e 平 台 ， 识 别 C o b a l t   S t r i k e 服 务 器 连 接 到 企 业 网 络 资 产 的 必 要 性 是 显 而 易 见 的 。 尽 管 检 测 方 法 已 经 公 开 ， 但 仍 由 大 量 的 C o b a l t   S t r i k e 服 务 器 并 没 有 打 补 丁 ， 允 许 指 纹 识 别 和 后 续 其 他 方 式 的 探 测 。 通 过 对 在 野 的 C o b a l t   S t r i k e 服 务 器 取 样 ， 并 比 较 指 纹 识 别 的 方 法 以 帮 助 防 御 者 更 好 地 跟 踪 和 监 控 该 框 架 。 追 踪 C o b a l t S t r i k e 服 务 器 可 以 帮 助 红 队 探 测 没 有 修 改 C o b a l t   S t r i k e 默 认 配 置 蓝 队 的 活 动 。 尽 管 补 丁 使 得 特 定 的 指 纹 识 别 方 法 更 加 困 难 ， C o b a l t   S t r i k e 服 务 器 仍 然 相 当 暴 露 ， 相 对 容 易 被 发 现 。 许 多 C o b a l t   S t r i k e 服 务 器 在 补 丁 发 布 之 前 没 有 更 新 他 们 的 系 统 ， 而 新 部 署 的 使 用 了 升 级 后 的 软 件 。 最 近 和 部 署 的 C o b a l t   S t r i k e 服 务 器 更 有 可 能 部 署 更 新 的 C o b a l t   S t i k e 版 本 （ 超 过 3 . 1 2 ） ， 同 时 继 续 使 用 默 认 的 T L S 证 书 ， 因 此 这 仍 然 是 一 个 可 靠 的 检 测 机 制 。 当 前 C o b a l t   S t r i k e 服 务 器 与 历 史 威 胁 活 动 相 比 ， 大 部 分 恶 意 和 中 立 用 户 似 乎 都 是 用 了 默 认 的 、 未 补 丁 的 C o b a l t S t i k e 配 置 ， 也 许 是 为 了 兼 容 其 他 C o b a l t   S t i k e 服 务 器 ， 或 者 仅 仅 因 为 默 认 设 置 运 行 良 好 因 此 使 用 者 懒 得 改 动 什 么 东 西 。 对 C o b a l t   S t r i k e 服 务 器 的 探 测 可 以 帮 助 防 御 者 在 其 企 业 网 络 中 建 立 预 警 机 制 ， 先 于 蓝 队 先 发 制 人 。 公 开 的 公 开 的 C o b a l t   S t r i k e 服 务 器 识 别 方 法 服 务 器 识 别 方 法 2 0 1 9 年 2 月 1 9 日 ， S t r a t e g i c   C y b e r   L L C 发 布 了 C o b a l t   S t r i k e   T e a m   S e r v e r   P o p u l a t i o n   S t u d y 。 该 研 究 的 部 分 目 的 是 调 查 C o b a l t   S t r i k e 软 件 的 许 可 状 态 ， 并 识 别 和 分 析 对 当 前 使 用 的 软 件 版 本 所 做 的 重 大 更 改 。 该 研 究 确 认 了 多 种 方 法 用 于 识 别 在 野 的 C o b a l t   S t i k e 服 务 器 ： C o b a l t   S t r i k e 服 务 器 附 带 默 认 的 安 全 证 书 ， 除 非 管 理 员 修 改 了 默 认 证 书 ， 否 则 可 以 使 用 该 默 认 证 书 进 行 指 纹 识 别 ： S H A 2 5 6 :   8 7 f 2 0 8 5 c 3 2 b 6 a 2 c c 7 0 9 b 3 6 5 f 5 5 8 7 3 e 2 0 7 a 9 c a a 1 0 b f f e c f 2 f d 1 6 d 3 c f 9 d 9 4 d 3 9 0 c S e r i a l   N u m b e r :   1 4 6 4 7 3 1 9 8 当 启 用 时 ， C o b a l t   S t r i k e   D N S 服 务 器 会 响 应 任 何 D N S 请 求 与 b o g o n （ 假 ） I P ： 0 . 0 . 0 . 0   （ 这 并 不 是 C S 服 务 器 独 有 的 特 征 ） C o b a l t   S t r i k e 服 务 器 的 默 认 控 制 端 口 是 5 0 0 5 0 / T C P ， 这 个 端 口 在 其 他 服 务 器 上 大 部 分 不 会 打 开 。 C o b a l t   S t r i k e 服 务 器 的 ” 4 0 4   N o t   F o u n d “   H T T P 响 应 与 N a n o H T T P D w e b 服 务 器 不 同 ， 并 且 能 被 探 测 到 。 总 的 来 说 ， 上 面 列 表 中 最 可 靠 的 方 法 是 使 用 默 认 安 全 证 书 对 C o b a l t   S t r i k e 服 务 器 进 行 指 纹 识 别 。 其 余 的 检 测 方 法 不 太 确 定 ， 所 有 方 法 与 其 他 方 法 相 互 印 证 后 都 具 有 较 高 的 置 信 度 。 例 如 ， 任 何 使 用 5 0 0 5 0 端 口 、 同 时 提 供 N a n o H T T P   w e b
服 务 器 特 有 的 H T T P 响 应 的 服 务 器 都 更 像 是 C o b a l t   S t r i k e 服 务 器 ， 而 不 是 仅 显 示 H T T P 响 应 签 名 的 服 务 器 。 基 于 基 于 N a n o H T T P D 响 应 的 方 法 响 应 的 方 法 C o b a l t   S t r i k e 服 务 器 基 于 N a n o H T T P D ， 于 2 0 1 2 年 首 次 发 布 。 N a n o H T T P D 是 一 个 基 于 j a v a 的 开 源 w e b 服 务 器 框 架 。 N a n o H T T P D 服 务 器 响 应 中 包 含 一 个 额 外 的 空 字 节 ： ” H T T P / 1 . 1 ” 后 面 是 一 个 空 字 节 （ 0 x 2 0 ） ， 而 在 其 他 w e b 服 务 器 响 应 中 不 存 在 这 个 空 字 节 。 2 0 1 9 年 1 月 2 日 ，   C o b a l t   S t r i k e   3 . 1 3 版 发 布 。 C o b a l t   S t r i k e 发 布 的 声 明 指 出 ， 与 以 前 的 版 本 相 比 ， 其 中 一 个 变 化 是 “ 从 H T T P 状 态 响 应 中 删 除 了 无 关 的 空 字 节 ” 。 任 何 来 自 3 . 1 3 之 前 的 C o b a l t   S t r i k e 服 务 器 的 H T T P 响 应 都 包 含 这 个 空 字 节 ， 可 以 使 用 扫 描 器 检 索 H T T P 响 应 来 搜 索 它 们 。 也 可 以 手 动 对 C o b a l t   S t r i k e 服 务 器 的 连 接 抓 包 ， 可 以 很 容 易 看 到 这 个 额 外 的 空 位 。 由 于 运 行 破 解 版 本 的 C o b a l t S t r i k e 实 例 没 有 更 新 或 打 补 丁 ， 这 种 方 法 增 加 了 发 现 恶 意 C o b a l t   S t r i k e 服 务 器 的 可 能 性 。 安 全 公 司 F o x - I T 于 2 0 1 9 年 2 月 2 6 日 发 布 了 关 于 C o b a l t   S t r i k e 服 务 器 的 研 究 ， 该 研 究 不 仅 提 供 了 细 节 和 如 何 识 别 3 . 1 3 版 本 之 前 的 服 务 器 （ 对 应 H T T P 响 应 中 额 外 的 空 字 符 ） ， 还 包 括 从 R a p i d 7 公 开 数 据 中 从 2 0 1 5 到 2 0 1 9 年 使 用 该 检 测 方 法 发 现 的 超 过 7 0 0 0   C o b a l t   S t r i k e   主 机 I P 列 表 。 类 似 的 ， 2 0 1 9 年 2 月 2 7 日 ， 知 道 创 宇 安 全 研 究 团 队 发 表 了 一 篇 博 客 ， 详 细 介 绍 了 他 们 使 用 S t r a t e g i c   C y b e r   L L C 报 告 的 N a n o H T T P D   4 0 4   N o t   F o u n d 响 应 异 常 以 及 空 字 节 异 常 来 识 别 C o b a l t   S t r i k e 服 务 器 。 他 们 在 Z o o m E y e 的 数 据 中 发 现 的 服 务 器 更 少 ， 但 仍 然 超 过 了 3 0 0 0 台 。 知 道 创 宇 报 告 称 ， 构 建 C o b a l t   S t r i k e 的 开 源 N a n o H T T P D 代 码 响 应 方 式 如 下 ： 知 道 创 宇 的 检 测 逻 辑 就 是 基 于 这 一 发 现 。 然 而 他 们 随 后 还 观 察 到 H T T P 响 应 中 的 顺 序 实 际 上 可 能 不 同 ， 在 一 些 C o b a l t S t r i k e 系 统 的 响 应 中 ” C o n t e n t - T y p e ” 在 ” D a t e ” 之 后 显 示 。 基 于 基 于 J A 3 指 纹 的 检 测 方 式 指 纹 的 检 测 方 式 对 于 由 详 细 网 络 流 量 数 据 的 用 户 ， J A 3 是 一 种 更 可 靠 的 发 现 C o b a l t   S t r i k e 服 务 器 的 方 法 。 由 三 位 S a l e s f o r c e 研 究 员 开 发 的 开 源 J A 3 项 目 ， 可 以 通 过 对 服 务 器 和 客 户 端 之 间 的 T L S 协 商 进 行 指 纹 识 别 来 检 测 可 疑 的 H T T P S 浏 览 。 T L S / S S L 版 本 、 可 接 受 的 加 密 套 件 和 e l l i p t i c   c u r v e 细 节 （ 如 e l l i p t i c   c u r v e   p o i n t 格 式 ） 可 以 被 做 成 指 纹 ， 就 像 浏 览 器 可 以 被 其 他 版 本 、 附 加 组 件 和 特 定 于 该 浏 览 器 的 其 他 特 性 指 纹 一 样 。 J A 3 签 名 用 于 客 户 端 ， 而 J A 3 S 签 名 用 于 服 务 器 。 在 C o b a l t   S t r i k e 的 案 例 中 ， C l i e n t   b e a c o n （ 使 用 W i n d o w s 套 接 字 来 发 起 通 信 ） 和 运 行 在 K a l i   L i n u x 上 的 C o b a l t   S t r i k e 服 务 器 的 T L S 协 商 已 经 有 了 指 纹 。 这 些 指 纹 需 要 一 起 使 用 才 能 可 靠 地 发 现 C o b a l t   S t r i k e 服 务 器 。 尽 管 C o b a l t   S t r i k e 使 用 者 可 以 通 过 重 定 向 来 部 分 避 开 这 种 检 测 ， 但 许 多 C o b a l t   S t r i k e 服 务 器 并 不 使 用 这 种 代 理 。 J A 3 和 J A 3 S 签 名 可 以 与 Z e e k / B r o 和 S u r i c a t a 等 工 具 一 起 使 用 。 来 自 这 些 网 络 检 测 工 具 的 数 据 可 以 随 后 输 入 到 诸 如 S p l u n k 这 样 的 S I E M 中 。 J A 3 和 J A 3 S 的 签 名 可 以 从 S a l e s f o r c e ’ s   G i t h u b   a c c o u n t 和 其 他 s o u r c e s 获 得 。 J A 3 H T T P / 1 . 1   4 0 4   N o t   F o u n d C o n t e n t - T y p e :   t e x t / p l a i n D a t e :   D a y ,   D D   M m m   Y Y Y Y   H H : M M : S S   G M T C o n t e n t - L e n g t h :   0
C o b a l t   S t r i k e 默 认 的 S S L / T L S 证 书 是 固 定 的 ， 所 以 一 般 都 是 使 用 这 个 证 书 作 为 特 征 值 来 发 现 C o b a l t   S t r i k e 服 务 器 ， 服 务 端 传 给 客 户 端 的 S S L 默 认 证 书 有 很 明 显 的 特 征 ： J A 3 方 法 用 于 收 集 C l i e n t   H e l l o 数 据 包 中 以 下 字 段 的 十 进 制 字 节 值 ： 版 本 、 可 接 受 的 密 码 、 扩 展 列 表 、 椭 圆 曲 线 密 码 和 椭 圆 曲 线 密 码 格 式 。 然 后 将 这 些 值 串 联 到 一 起 ， 在 使 用 “ , ” 分 割 开 各 个 字 段 ， 同 时 用 “ - ” 来 分 隔 各 个 字 段 中 的 各 个 值 。 C = E a r t h ， S T = C y b e r s p a c e ， L = S o m e w h e r e ， O = C o b a l t S t r i k e ， O U = A d v a n c e d P e n T e s t i n g ， C N = M a j o r   C o b a l t S t r i k e
这 些 字 段 的 顺 序 如 下 ： T L S 版 本 信 息 、 可 接 受 的 密 码 、 扩 展 列 表 、 椭 圆 曲 线 密 码 和 椭 圆 曲 线 密 码 格 式 。 用 C o b a l t S t r i k e 4 . 1 的 连 接 流 量 举 例 。 7 7 1 , 4 9 1 8 8 - 4 9 1 9 2 - 6 1 - 4 9 1 9 0 - 4 9 1 9 4 - 1 0 7 - 1 0 6 - 4 9 1 6 2 - 4 9 1 7 2 - 5 3 - 4 9 1 5 7 - 4 9 1 6 7 - 5 7 - 5 6 - 4 9 1 8 7 - 4 9 1 9 1 - 6 0 - 4 9 1 8 9 - 4 9 1 9 3 - 1 0 3 - 6 4 - 4 9 1 6 1 - 4 9 1 7 1 - 4 7 - 4 9 1 5 6 - 4 9 1 6 6 - 5 1 - 5 0 - 4 9 1 9 6 - 4 9 1 9 5 - 4 9 2 0 0 - 1 5 7 - 4 9 1 9 8 - 4 9 2 0 2 - 1 5 9 - 1 6 3 - 4 9 1 9 9 - 1 5 6 - 4 9 1 9 7 - 4 9 2 0 1 - 1 5 8 - 1 6 2 , 6 7 , , 1 1 - 2 - 2 5 6 ( 如 果 无 上 述 字 段 ， 则 这 些 字 段 的 值 为 空 ) 然 后 会 计 算 这 些 字 符 串 的 M D 5 哈 希 值 ， 以 生 成 易 于 使 用 和 共 享 的 长 度 为 3 2 字 符 的 指 纹 ， 他 们 就 是 J A 3   T L S 客 户 端 的 指 纹 。 比 如 上 述 C o b a l t S t r i k e 4 . 1 客 户 端 指 纹 ： f a 7 0 4 7 2 3 a 2 1 0 6 3 2 b 2 f f 9 a d 0 3 b e 4 1 8 6 5 1 J A 3 S 创 建 J A 3 后 ， 就 可 以 使 用 同 样 的 方 式 对 T L S 的 服 务 端 进 行 指 纹 识 别 ， 即 对 T L S   S e r v e r   H e l l o 信 息 进 行 指 纹 识 别 。 J A 3 S 会 收 集 S e r v e r   H e l l o 数 据 包 中 以 下 各 个 字 段 的 十 进 制 字 节 值 ： 版 本 、 可 接 受 的 加 密 算 法 和 扩 展 列 表 ， 然 后 将 这 些 值 串 联 起 来 ， 使 用 “ , ” 来 分 隔 各 个 字 段 ， 使 用 “ - ” 分 隔 每 个 字 段 中 的 各 个 值 。 这 些 字 段 的 顺 序 如 下 ： T L S 版 本 信 息 、 可 接 受 的 密 码 、 扩 展 列 表
C o b a l t S t r i k e 4 . 1 的 服 务 端 ： 7 7 1 , 4 9 1 9 2 , 9 — — — → 5 5 1 3 a b 2 9 8 3 a 0 d b 8 8 f a d d 3 5 3 d e 0 3 4 1 e 7 c 同 一 台 服 务 器 会 根 据 C l i e n t   H e l l o 信 息 机 器 内 容 以 不 同 的 方 式 创 建 S e r v e r   H e l l o 消 息 ， 因 此 这 里 不 能 跟 J A 3 那 样 ， 仅 仅 根 据 服 务 器 的 H e l l o 消 息 来 对 其 进 行 指 纹 识 别 。 尽 管 服 务 器 对 不 同 客 户 端 的 响 应 不 同 ， 但 是 他 们 对 同 一 客 户 端 的 响 应 总 是 一 致 的 。 比 如 ： 客 户 端 正 在 发 送 T L S   C l i e n t   H e l l o 数 据 包 ， 其 中 数 据 都 是 A 。 因 此 ， 服 务 器 会 的 响 应 的 内 容 也 是 由 A 构 成 ， 并 将 始 终 用 A 来 提 供 同 样 的 响 应 。 与 此 同 时 ， 另 一 个 客 户 端 也 在 发 送 数 据 包 ， 并 且 内 容 都 是 B 。 类 似 的 ， 服 务 器 现 在 会 用 B 进 行 响 应 ， 并 且 总 是 用 B 组 成 的 B 串 进 行 响 应 。 可 以 看 到 ， 对 于 不 同 的 客 户 端 ， 服 务 器 会 给 予 不 同 的 响 应 ， 但 是 对 于 每 个 客 户 端 来 说 ， 总 是 以 相 同 的 方 式 进 行 相 应 。 在 这 个 日 志 输 出 中 ， J A 3 位 于 左 侧 ， J A 3 S 位 于 右 侧 ， 使 用 同 一 客 户 端 与 同 一 服 务 器 交 互 了 4 次 。 然 后 ， 再 次 使 用 不 同 的 客 户 端 进 行 了 4 次 以 上 的 交 互 。 不 难 发 现 ， 服 务 器 的 响 应 方 式 对 于 同 一 客 户 端 总 是 相 同 的 ， 但 对 于 不 同 的 客 户 端 却 是 不 同 的 。 例 如 ， M e t a S p l o i t   的   M e t e r p r e t e r   和   C o b a l t S t r i k e （ 并 非 4 . 1 版 本 ）   的   B e a c o n   都 使 用   W i n d o w s   套 接 字 来 启 动   T L S   通 信 。 在   W i n d o w s   1 0   上 ， J A 3 = 7 2 a 5 8 9 d a 5 8 6 8 4 4 d 7 f 0 8 1 8 c e 6 8 4 9 4 8 e e a （ 指 定   I P   地 址 ） ， J A 3 = a 0 e 9 f 5 d 6 4 3 4 9 f b 1 3 1 9 1 b c 7 8 1 f 8 1 f 4 2 e 1 （ 指 定 域 名 ） 。 由 于   W i n d o w s   上 的 其 他 普 普 通 通 的 应 用 程 序 也 使 用 相 同 的 套 接 字 ， 因 此 ， 我 们 很 难 识 别 其 中 的 恶 意 通 信 。 但 是 ， K a l i   L i n u x   上 的   C 2   服 务 器 对 该 客 户 端 应 用 程 序 的 响 应 方 式 与   I n t e r n e t   上 的 普 通 服 务 器 对 该 套 接 字 的 响 应 方 式 相 比 来 说 是 独 一 无 二 的 。 尽 管 服 务 器 对 不 同 客 户 端 的 响 应 不 同 ， 但 它 们 对 同 一 客 户 端 的 响 应 总 是 一 致 的 。 因 此 ， 如 果 结 合   j a 3 + j a 3 s ， 就 能 够 识 别 这 种 恶 意 通 信 ， 而 不 用 考 虑 目 的 地 I P 、 域 名 或 证 书 等 细 节 信 息 。 基 于 基 于 J A R M 的 检 测 方 式 的 检 测 方 式
介 绍 介 绍 近 期 ， S a l e s f o r c e 研 究 人 员 发 布 了 一 篇 名 为 E a s i l y   I d e n t i f y   M a l i c i o u s   S e r v e r s   o n   t h e   I n t e r n e t   w i t h   J A R M 的 文 章 ， 并 在 g i t h u b 上 发 布 了 一 个 J A R M 扫 描 工 具 ， 相 关 内 容 引 起 了 国 外 部 分 研 究 人 员 的 讨 论 。 J A R M 是 一 个 主 动 T L S 服 务 端 指 纹 工 具 ， 主 要 用 途 如 下 ： 快 速 验 证 一 组 T L S 服 务 器 是 否 使 用 相 同 的 T L S 配 置 ； 通 过 T L S 配 置 划 分 T L S 服 务 器 ， 并 识 别 可 能 归 属 的 公 司 ； 识 别 网 站 默 认 的 应 用 或 基 础 架 构 ； 识 别 恶 意 软 件 C & C 控 制 节 点 ， 以 及 其 他 恶 意 服 务 器 。 J A R M 的 核 心 在 于 ： T L S   S e r v e r 根 据 T L S   C l i e n t   H e l l o 中 参 数 的 不 同 ， 返 回 不 同 的 S e r v e r   H e l l o 数 据 包 。 而 C l i e n t   H e l l o 的 参 数 可 以 人 为 指 定 修 改 ， 因 此 通 过 发 送 多 个 精 心 构 造 的 C l i e n t   H e l l o 获 取 其 对 应 的 特 殊 S e r v e r   H e l l o ， 最 终 形 成 T L S S e r v e r 的 指 纹 。 具 体 能 够 产 生 影 响 的 参 数 包 括 但 不 限 于 ： 操 作 系 统 及 其 版 本 O p e n S S L 等 第 三 方 库 及 其 版 本 第 三 方 库 的 调 用 顺 序 用 户 自 定 义 配 置 … … 而 前 文 提 到 ， T L S 服 务 器 对 不 同 客 户 端 的 响 应 不 同 ， 但 是 他 们 对 同 一 客 户 端 的 响 应 总 是 一 致 的 。 因 此 不 能 跟 J A 3 那 样 ， 仅 仅 根 据 J A 3 S 对 服 务 器 进 行 指 纹 识 别 。 而 J A R M 采 取 了 一 种 类 似 f u z z 的 方 式 ， 主 动 向 T L S 服 务 器 发 送 1 0 个 T L S   H e l l o 数 据 包 并 对 S e r v e r   H e l l o 中 的 特 定 字 段 进 行 分 析 ， 以 特 定 方 式 对 1 0 个 T L S 服 务 器 响 应 进 行 哈 希 处 理 ， 最 终 生 成 J A R M 指 纹 。 J A R M 中 的 1 0 个 T L S 客 户 端 H e l l o 数 据 包 经 过 特 殊 设 计 ， 目 的 就 是 提 取 T L S 服 务 器 中 的 唯 一 响 应 。 例 如 ： J A R M 以 不 同 的 顺 序 发 送 不 同 的 T L S 版 本 ， 密 码 和 扩 展 ； T L S   C l i n t 将 密 码 从 最 弱 到 最 强 排 序 ， T L S   S e r v e r 将 选 择 哪 种 密 码 ？ … … 总 之 J A R M 与 我 们 在 进 行 流 量 分 析 威 胁 时 常 用 的 J A 3 、 J A 3 / S 不 同 ： J A 3 、 J A 3 / S 主 要 基 于 流 量 ， 服 务 器 面 对 不 同 客 户 端 产 生 不 同 的 J A 3 S 指 纹 。 J A R M 则 是 完 全 主 动 的 扫 描 并 生 成 指 纹 ， 服 务 器 可 以 生 产 唯 一 的 J A R M 指 纹 。 利 用 利 用 J A R M 识 别 识 别 C 2 的 问 题 的 问 题 在 E a s i l y   I d e n t i f y   M a l i c i o u s   S e r v e r s   o n   t h e   I n t e r n e t   w i t h   J A R M 原 文 中 ， 作 者 给 出 了 一 份 C 2 和 J A R M 对 应 的 清 单 ： M a l i c i o u s   S e r v e r   C 2 J A R M   F i n g e r p r i n t O v e r l a p   w i t h   A l e x a   T o p   1 M T r i c k b o t 2 2 b 2 2 b 0 9 b 2 2 b 2 2 b 2 2 b 2 2 b 2 2 b 2 2 b 2 2 b 3 5 2 8 4 2 c d 5 d 6 b 0 2 7 8 4 4 5 7 0 2 0 3 5 e 0 6 8 7 5 c 0 A s y n c R A T 1 d d 4 0 d 4 0 d 0 0 0 4 0 d 1 d c 1 d d 4 0 d 1 d d 4 0 d 3 d f 2 d 6 a 0 c 2 c a a a 0 d c 5 9 9 0 8 f 0 d 3 6 0 2 9 4 3 0 M e t a s p l o i t 0 7 d 1 4 d 1 6 d 2 1 d 2 1 d 0 0 0 4 2 d 4 3 d 0 0 0 0 0 0 a a 9 9 c e 7 4 e 2 c 6 d 0 1 3 c 7 4 5 a a 5 2 b 5 c c 0 4 2 d 0
C o b a l t   S t r i k e 0 7 d 1 4 d 1 6 d 2 1 d 2 1 d 0 7 c 4 2 d 4 1 d 0 0 0 4 1 d 2 4 a 4 5 8 a 3 7 5 e e f 0 c 5 7 6 d 2 3 a 7 b a b 9 a 9 f b 1 0 M e r l i n   C 2 2 9 d 2 1 b 2 0 d 2 9 d 2 9 d 2 1 c 4 1 d 2 1 b 2 1 b 4 1 d 4 9 4 e 0 d f 9 5 3 2 e 7 5 2 9 9 f 1 5 b a 7 3 1 5 6 c e e 3 8 3 0 3 M a l i c i o u s   S e r v e r   C 2 J A R M   F i n g e r p r i n t O v e r l a p   w i t h   A l e x a   T o p   1 M 在 理 想 情 况 下 如 果 J A R M 与 C 2 唯 一 对 应 ， 那 么 我 们 就 多 了 一 种 主 动 发 现 C 2 节 点 的 特 征 。 然 而 ， 3 6 0 Q u a k e 团 队 在 验 证 时 ， 搜 索 C o b a l t   S t r i k e 对 应 的 J A R M 发 现 了 2 3 3 8 个 独 立 I P ， 但 T O P 5 的 应 用 为 ： 应 用 应 用 数 量 数 量 C o b a l t   S t r i k e 团 队 服 务 器 1 , 1 3 7 C o b a l t S t r i k e - B e a c o n 服 务 端 3 7 3 T o m c a t - W e b 服 务 器 4 0 W e b l o g i c 应 用 服 务 器 2 1 W o r d P r e s s C M S 博 客 系 统 1 4 可 以 看 到 和 上 面 C o b a l t S t r i k e 相 同 J A R M 的 还 有   T o m c a t 、 W e b l o g i c 和 W o r d P r e s s 等 开 启 T L S 的 W e b 应 用 ， 也 就 是 说 C o b a l t S t r i k e 这 个 应 用 只 是 该 J A R M 对 应 T L S 服 务 器 其 中 的 一 个 子 集 。 而 在 之 后 的 验 证 中 发 现 ， J A R M 指 纹 与 上 层 应 用 无 强 关 联 性 ， 使 用 相 同 J D K 的 T o m c a t 和 C o b a l t   S t r i k e 拥 有 相 同 的 J A R M 指 纹 ， 这 也 解 释 了 为 什 么 会 有 那 么 多 的 W e b l o g i c 和 T o m c a t 应 用 被 识 别 出 来 了 。 因 此 不 能 直 接 通 过 J A R M 去 判 定 C o b a l t S t r i k e ； 同 样 ， 对 于 C o b a l t S t r i k e 而 言 J A R M 也 并 不 唯 一 ， 其 J A R M 与 不 同 J D K 环 境 下 T L S 服 务 有 关 。 J A R M 仅 仅 是 一 种 T L S 服 务 端 特 征 的 标 识 方 式 ， 只 能 作 为 一 个 辅 助 手 段 ， 不 能 完 全 被 用 作 W e b 上 层 应 用 的 唯 一 指 纹 。 Q u a k e 团 队 提 取 了 部 分 C o b a l t S t r i k e 服 务 器 的 J A R M 数 据 放 置 在 Q u a k e 的 开 源 仓 库 中 ， 仅 供 业 界 研 究 使 用 （ 不 作 为 精 准 威 胁 情 报 ） ： C o b a l t S t r i k e - J A R M 一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 扫 描 关 注 扫 描 关 注 L e m o n S e c 觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理