搜索

[26705] 2021-03-19_魔改CobaltStrike：免杀就像便秘一样

文档创建者：s7ckTeam
浏览次数：229
最后更新：2025-01-19
2021-03-19_魔改CobaltStrike：免杀就像便秘一样 1 2 魔 改 C o b a l t S t r i k e ： 免 杀 就 像 便 秘 一 样 快 乐 鸡 哥   m o o n s e c   2 0 2 1 - 0 3 - 1 9 收 录 于 话 题   # 渗 透 测 试   免 杀   红 队   , 2 3 个 魔 改 魔 改 C o b a l t S t r i k e ： 免 杀 就 像 便 秘 一 样 ： 免 杀 就 像 便 秘 一 样 一 、 概 述 最 近 快 开 展 护 网 行 动 ， 陆 续 有 老 哥 问 是 否 有 免 杀 的 马 子 。 遂 本 篇 文 章 简 要 介 绍 C o b a l t S t r i k e 的 免 杀 方 式 。 若 有 什 么 错 误 之 处 ， 请 大 伙 指 出 ， 谢 谢 。 下 面 主 要 分 三 部 分 来 展 开 。 环 境 配 置 如 下 ： 受 害 端 ： 1 9 2 . 1 6 8 . 2 0 2 . 1 4 3 、 1 9 2 . 1 6 8 . 2 0 2 . 1 控 制 端 ： 1 9 2 . 1 6 8 . 2 0 2 . 1 T e a m s e r v e r : 1 9 2 . 1 6 8 . 2 0 2 . 1 二 、 S t a g e r 执 行 返 回 B e a c o n 时 的 网 络 特 征 及 规 避 网 络 测 绘 当 C o b a l t S t r i k e 的 s t a g e r 在 受 害 端 运 行 时 ， 会 请 求 T e a m S e r v e r 端 拉 取 B e a c o n 进 行 在 内 存 中 反 射 注 入 运 行 ， 有 关 s t a g e r 端 的 详 细 分 析 可 以 看 之 前 我 所 写 的 文 章 ， h t t p s : / / w w w . 5 2 p o j i e . c n / t h r e a d - 1 3 3 4 5 2 5 - 1 - 1 . h t m l 。 先 运 行 s t a g e ， 打 开 w i r e s h a r k 抓 包 ： 可 见 受 害 端 访 问 t e a m s e r v e r h t t p : / / 1 9 2 . 1 6 8 . 2 0 2 . 1 / 7 v 9 v ， 返 回 2 0 6 k 的 数 据 包 ， 结 合 之 前 上 文 的 C S 的 s t a g e r 分 析 文 章 可 以 得 出 响 应 得 数 据 就 是 经 过 异 或 后 的 B e a c o n 数 据 。 先 来 具 体 看 看 s t a g e r 是 如 何 生 成 相 关 U R I 的 ： 调 用 M S F U R I ( ) ， 传 入 参 数 4 ： 跟 入 ， 可 见 传 入 的 参 数 4 表 示 所 生 成 的 U R I 为 ” / ” 再 假 上 4 个 字 符 串 组 成 的 ， 最 后 传 入 c h e c k s u m 8 ( ) 后 并 判 断 结 果 是 否 为 9 2 ：
字 符 串 由 v a r 1 传 入 p i c k ( ) 方 法 来 随 机 生 成 ： 跟 入 c h e c k s u m 8 ( ) 方 法 ， 该 方 法 就 是 计 算 传 入 的 U R I 字 符 （ 不 包 括 / ） 的 a s c 值 的 总 和 ， 再 把 和 与 2 5 6 进 行 求 余 ： 所 以 ， U R I 的 规 则 就 是 四 个 字 符 串 的 a s c 码 之 和 ， 再 把 和 值 与 2 5 6 求 余 ， 若 求 余 后 的 值 等 于 9 2 则 生 成 该 U R I 值 。 现 在 来 观 察 T e a m S e r v e r 是 如 何 响 应 s t a g e 并 返 回 B e a c o n 的 : 现 跟 入 N a n o H T T P D 对 应 的 线 程 中 先 接 受 请 求 头 的 数 据 ： 再 将 请 求 头 的 数 据 、 请 求 方 式 和 U R I 传 入 _ s e r v e ( ) 方 法 ， 在 该 方 法 中 先 对 u s e r a g e n t 进 行 判 断 ： 紧 接 着 把 U R I 传 入 c h e c k s u m 8 ( ) 函 数 进 行 规 则 判 断 ： 在 i s S t a g e r ( ) 中 调 用 c h e c k s u m 8 ( ) 函 数 对 传 入 的 U R I 进 行 判 断 ， c h e c k s u m 8 （ ） 上 述 已 介 绍 过 ： 拼 接 相 应 的 响 应 头 和 响 应 数 据 ：
3 最 后 调 用 s e n d R e s p o n s e ( ) 发 送 数 据 ： 在 该 方 法 中 每 次 发 送 2 0 4 8 个 字 节 数 据 ： 直 接 使 用 浏 览 器 访 问 该 U R I ， 能 返 回 相 应 的 B e a c o n : 所 以 目 前 有 网 络 测 绘 技 术 对 这 种 特 征 根 据 相 应 的 算 法 拼 接 U R I 在 公 网 上 进 行 扫 描 ， 所 以 我 们 需 要 对 其 修 改 ， 需 要 修 改 的 点 主 要 有 两 个 ： 1 、 当 控 制 端 A g g r e s s o r 生 成 s t a g e 时 ， 调 用 M S F U R I ( ) 生 成 请 求 U R I 这 个 函 数 后 ， 再 把 生 成 的 U R I 写 入 s t a g e ； 2 、 W e b S e r v e r 中 的 响 应 请 求 头 的 函 数 ， 当 调 用 i s S t a g e r ( ) 时 会 验 证 传 入 的 U R I ， 所 以 可 以 修 改 i s S t a g e ( ) 该 函 数 来 个 改 变 对 U R I 的 校 验 ； 修 改 的 方 法 有 很 多 是 比 较 灵 活 的 ， 可 以 直 接 写 定 某 个 U R I ， 也 可 以 换 一 种 生 成 的 规 则 ， 只 要 能 避 免 网 络 测 绘 就 可 以 了 。 三 、 S h e l l c o d e 的 转 换 为 C 代 码 C o b a l t S t r i k e 所 生 成 的 s h e l l c o d e 其 实 是 一 个 使 用 w i n i n e t 库 及 其 对 应 函 数 的 加 载 器 ， 其 作 用 就 是 用 来 下 载 对 应 的 s t a g e ， 并 在 内 存 中 反 射 注 入 。 所 以 我 们 完 全 可 以 把 对 应 s h e l l c o d e 转 为 c 代 码 ， 然 后 进 行 一 系 列 混 淆 等 操 作 来 实 现 免 杀 ， 这 里 混 淆 或 加 密 就 比 较 多 发 挥 的 空 间 了 。 我 直 接 把 C 代 码 所 生 成 的 s h e l l c o d e 写 入 ， 都 没 有 任 何 加 任 何 垃 圾 代 码 或 者 混 淆 和 加 密 编 码 等 操 作 就 已 经 免 杀 了 ：
执 行 上 线 ：
代 码 功 能 就 是 一 个 连 接 T e a m s e r v e r 端 并 下 载 s t a g e ， 并 跳 转 执 行 ， 这 里 截 取 部 分 代 码 ： 另 外 我 再 用 另 一 个 库 w i n h t t p 实 现 了 该 功 能 ：
4 均 能 正 常 上 线 的 ， 这 两 份 转 s h e l l c o d e 为 C 的 代 码 ， 上 传 到 之 前 C S 源 码 的 地 址 ， 混 淆 可 以 自 行 加 上 去 ： h t t p s : / / g i t h u b . c o m / m a i 1 z h i 2 / C o b a l t s t r i k e S o u r c e 四 、 B e a c o n 的 内 存 查 杀 特 征 虽 然 上 述 的 s t a g e r 已 能 免 杀 绝 大 部 分 的 杀 软 ， 但 是 卡 巴 对 内 存 反 射 注 入 加 载 的 b e a c o n 查 杀 比 较 厉 害 ， D O S 头 的 花 指 令 对 卡 巴 作 用 不 大 ： 这 里 D O S 头 的 前 面 是 一 串 不 定 长 的 花 指 令 ， 这 串 花 指 令 应 该 是 用 来 干 扰 3 6 0 / 火 绒 内 存 查 杀 的 ， 我 们 也 可 以 n o p 掉 ， ： 花 指 令 的 后 面 就 是 异 或 解 密 d l l 的 操 作 了 ， 具 体 异 或 解 密 算 法 可 以 看 我 之 前 发 的 C S 分 析 的 帖 子 ： 这 里 有 妹 纸 分 享 无 阶 段 生 成 的 b e a c o n . e x e 特 征 的 帖 子 ， h t t p s : / / x z . a l i y u n . c o m / t / 9 2 2 4 ? p a g e = 1 ， 里 面 总 结 了 b e a c o n 端 被 查 杀 的 几 个 特 征 : 1 .   读 取 了 默 认 的 d e f a u l t .   p r o f i l e 内 容 ， 可 以 看 看 之 前 我 发 的 帖 子 后 门 生 成 b e a c o n 部 分 里 有 提 及 ， 所 以 不 要 使 用 默 认 的 d e f a u l t .   p r o f i l e ， 需 要 加 载 自 己 p r o f i l e 。 2 .   导 出 反 射 注 入 的 函 数 名 字 ， 默 认 生 成 是 R e f l e c t i v e L o a d e r ， 这 个 也 是 需 要 在 p r o f i l e 替 换 的 。
5 3 .   就 是 查 杀 I A T 表 ， 可 以 在 p r o f i l e 配 置   s e t   o b f u s c a t e   " t r u e " 但 有 点 比 较 遗 憾 的 是 ， 我 复 现 该 方 法 时 ， 卡 巴 和 火 绒 的 静 态 和 实 时 监 控 都 过 不 了 ， 可 能 是 我 操 作 步 骤 问 题 抑 或 是 加 了 其 他 壳 ， 同 样 我 在 C S 4 . 1 解 密 出 的 d l l 也 是 报 毒 的 ： 但 3 6 0 是 能 过 掉 的 ： 五 、 总 结 如 果 能 从 规 避 网 络 测 绘 - > s h e l l c o d e 混 淆 - > b e a c o n 去 特 征 （ 成 功 的 话 ） 这 几 步 做 下 来 ， 应 该 是 能 规 避 市 面 上 一 些 杀 软 ， 其 实 在 没 有 源 码 的 情 况 下 能 做 的 动 作 还 是 比 较 有 限 和 麻 烦 的 ， 去 特 征 码 、 加 资 源 、 伪 造 签 名 、 搞 I A T 表 、 搞 入 口 点 等 ， 小 弟 功 力 尚 浅 ， 希 望 老 哥 能 发 表 高 见 ， 请 老 哥 指 导 ， 谢 谢 大 家 观 看 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理