搜索

[26720] 2021-04-22_魔改CobaltStrike协议：让天眼落泪？

文档创建者：s7ckTeam
浏览次数：223
最后更新：2025-01-19
2021-04-22_魔改CobaltStrike协议：让天眼落泪？ 1 2 魔 改 C o b a l t S t r i k e 协 议 ： 让 天 眼 落 泪 ？ 原 创   快 乐 鸡 哥   m o o n s e c   2 0 2 1 - 0 4 - 2 2 收 录 于 话 题   # 渗 透 测 试   免 杀   红 队   , 2 3 个 魔 改 魔 改 C o b a l t S t r i k e 协 议 ： 让 天 眼 落 泪 ？ 协 议 ： 让 天 眼 落 泪 ？ 概 述 这 次 文 章 将 较 详 细 介 绍 下 C o b a l t   S t r i k e   4 . 1 的 a g r e s s o r 端 登 录 t e a m s e r v e r 端 的 通 讯 和 b e a c o n 端 与 t e a m s e r v e r 端 通 讯 ， 包 括 元 数 据 、 心 跳 包 、 执 行 任 务 等 数 据 传 输 。 帖 子 写 到 一 半 I D E A 授 权 就 掉 了 ， 所 以 就 拖 到 现 在 才 写 完 ， 附 项 目 地 址 ： h t t p s : / / g i t h u b . c o m / m a i 1 z h i 2 / C o b a l t s t r i k e S o u r c e / a g g r e s s o r 端 登 录 t e a m s e r v e r 端 的 通 讯 分 析 2 . 1 、 、 a g r e s s o r 客 户 端 发 送 密 码 登 录 客 户 端 发 送 密 码 登 录 t e a m s e r v e r 端 进 行 验 证 ： 端 进 行 验 证 ： 运 行 T e a m s e r v e r 端 ， 首 先 会 创 建 S e c u r e S e r v e r S o c k e t 对 象 ， 然 后 循 环 调 用 a c c e p t A n d A u t h e n t i c a t e ( ) 接 受 认 证 信 息 ： 点 击 c o n n e t 按 钮 后 ： A g g r e s s o r 端 首 先 在 d i a l o g A c t i o n ( ) 方 法 获 得 相 应 的 登 录 信 息 ： 然 后 传 入 h o s t 、 p o r t 创 建 安 全 套 接 字 ： S e c u r e S o c k e t 的 构 造 方 法 中 设 置 了 相 关 的 s o c k e t 属 性 , 调 用 c r e a t e S o c k e t ( ) 传 入 要 连 接 的 i p 地 址 和 p o r t : a g r e s s o r 端 调 用 完 c r e a t e S o c k e t ( ) 后 ， t e a m s e r v e r 端 a c c e p t A n d A u t h e n t i c a t e ( ) 会 接 受 到 信 息 ， 其 中 跟 入 a u t h e n t i c a t e ( S o c k e t   v a r 1 ,   S t r i n g   v a r 2 , S t r i n g   v a r 3 ) 方 法 负 责 处 理 接 受 到 的 信 息 ：
跟 入 该 方 法 ， 当 v a r 4 没 读 取 到 足 够 的 字 符 就 一 直 阻 塞 ： A g g r e s s o r 端 构 建 完 S e c u r e S o c k e t 对 象 后 ， 调 用 其 a u t h e n t i c a t e ( s t r i n g   v a r 1 ) 方 法 ， 并 传 入 登 录 的 密 码 ， 该 方 法 主 要 通 过 密 码 构 造 相 应 的 数 据 包 ， 其 数 据 包 先 传 入 4 8 8 7 9 这 个 数 值 （ 标 志 ） ， 然 后 再 传 密 码 的 长 度 ， 接 着 传 入 密 码 的 内 容 ， 最 后 以 0 x 4 1 进 行 填 充 ： 数 据 包 v a r 3 内 容 ： 当 v a r 3 . f l u s h ( ) 调 用 向 s e r v e r 端 发 送 数 据 ， t e a m s e r v e r 的 a u t h e n t i c a t e ( S o c k e t   v a r 1 ,   S t r i n g   v a r 2 ,   S t r i n g   v a r 3 ) 方 法 就 会 停 止 阻 塞 ， 接 受 到 相 应 的 数 据 并 对 密 码 进 行 判 断 ： 若 密 码 相 等 密 码 相 等 则 发 送 5 1 9 6 6 标 志 数 给 a g g r e s s o r 端 ： 然 后 返 回 执 行 P o s t A u t h e n t i c a t i o n 对 象 实 现 的 c l i e n t A u t h e n t i c a t e d ( ) :
新 建 线 程 ， 等 待 后 续 接 受 a g g r e s s o r 端 所 发 送 的 信 息 ： a g g r e s s o r 端 接 受 到 后 进 行 判 断 ： 至 此 t e a m s e r v e r 端 校 验 a g g r e s s o r 端 密 码 完 毕 。 2 . 2 、 、 a g g r e s s o r . a u t h e n t i c a t e 消 息 类 型 传 输 ： 消 息 类 型 传 输 ： 接 着 A g g r e s s o r 端 再 通 过 S e c u r e S o c k e t 对 象 构 造 出 T e a m S o c k e t 对 象 ： 传 入 T e a m S o c k e t 对 象 来 创 建 T e a m Q u e u e 对 象 ， 其 中 T e a m R e a d e r 与 T e a m W r i t e r 均 为 T e a m Q u e u e 的 内 部 类 ， 均 实 现 R u n n a b l e 接 口 负 责 与 T e a m S e r v e r 通 信 ： 然 后 调 用 T e a m Q u e u e 的 c a l l ( ) 方 法 ， 把 消 息 类 型 a g g r e s s o r . a u t h e n t i c a t e 、 用 户 名 、 密 码 、 版 本 信 息 均 传 入 ， 再 把 请 求 通 过 T e a m W r i t e r 属 性 发 送 给 t e a m s e r v e r 端 ：
T e a m S e r v e r 端 收 到 a g g r e s s o r 的 a g g r e s s o r . a u t h e n t i c a t e 类 型 请 求 数 据 包 ： 跟 入 p r o c e s s ( ) ， 先 比 较 数 据 包 的 类 型 ， 再 判 断 版 本 号 ， 接 着 校 验 密 码 和 是 否 重 复 登 录 ， 最 后 向 a g g r e s s o r 回 复 s u c c e s s : 最 后 新 建 名 为 w r i t e   f o r   n i c k n a m e 的 线 程 向 各 个 客 户 端 回 复 消 息 ： A g g r e s s o r 端 收 到 S u c c e s s 回 复 ：
2 . 3 、 、 a g g r e s s o r .   m e t a d a t a 消 息 类 型 传 输 ： 消 息 类 型 传 输 ： A g g r e s s o r 端 继 续 向 t e a m s e r v e r 端 发 送 ： a g g r e s s o r . m e t a d a t a 类 型 请 求 : T e a m S e r v e r 端 收 到 a g g r e s s o r . m e t a d a t a 请 求 后 ， 调 用 p r o c e s s ( ) 方 法 : 继 续 跟 入 p r o c e s s ( ) ， 该 函 数 主 要 用 h a s h m a p 存 放 相 关 的 数 据 ， 最 后 向 a g g r e s s o r 端 返 回 了 a g g r e s s o r . m a t e d a t a 类 型 和 h a s h m a p 数 据 : a g g r e s s o r 客 户 端 接 收 t e a m s e r v e r 端 返 回 的 a g g r e s s o r . m a t e d a t a 类 型 和 h a s h m a p 数 据 : 跟 入 p r o c e s s r e a d ( ) 函 数 ， 函 数 主 要 获 取 消 息 包 中 数 据 类 型 和 数 据 :
再 跟 入 r e s u l t ( ) ， 可 见 该 函 数 负 责 处 理 从 t e a m s e r v e r 端 返 回 的 a g g r e s s o r . a u t h e n t i c a t e 和 a g g r e s s o r . m e t a d a t a 类 型 的 信 息 : 传 入 m e t a d a t a 数 据 h a s h m a p   v a r 2 来 构 造 A g g r e s s o r C l i e n t 对 象 ， 跟 入 该 对 象 的 构 造 方 法 ： 继 续 跟 入 s e t u p ( ) 方 法 ， 该 方 法 主 要 是 注 册 各 类 B r i d g e 对 象 ， 储 存 t e a m s e r v e r 端 返 回 的 m e t a d a t a ， 加 载 插 件 框 ， 以 及 发 送 a g g r e s s o r . r e a d y 给 t e a m s e r v e r 告 知 其 准 备 完 。 最 后 调 用 该 对 象 的 s h o w T i m e ( ) ， 至 此 显 示 出 主 界 面 ， 后 续 同 步 相 关 数 据 : 下 面 图 是 3 6 0 空 间 测 绘 的 ， 顺 手 帮 他 们 改 了 图 中 的 小 错 误 ：
3 至 此 ， 我 们 知 道 了 c s 的 a g r e s s o r 端 登 录 t e a m s e r v e r 端 通 讯 方 式 ， 所 以 可 以 进 行 相 应 简 单 的 修 改 来 规 避 c s 登 录 爆 破 ： t e a m s e r v e r 端 避 免 使 用 默 认 的 端 口 号 5 0 0 5 0 。 如 果 修 改 4 8 8 7 9 这 个 标 识 数 ， 需 要 修 改 的 地 方 有 三 个 ， 涉 及 到 修 改 a g g r e s s o r 端 ： S e c u r e S o c k e t 的 a u t h e n t i c a t e 方 法 ： A s y m m e t r i c C r y p t o 的 d e c r y p t ( ) 方 法 ： S e c u r e S e r v e r S o c k e t 的 a u t h e n t i c a t e 方 法 ： b e a c o n 端 与 t e a m s e r v e r 端 第 一 次 数 据 包 通 信 （ 元 数 据 ） 我 们 先 生 成 不 分 段 的 后 门 b e a c o n . e x e ， 因 为 不 分 段 的 b e a c o n 更 好 调 ， 其 通 信 过 程 都 一 样 的 。 当 启 动 t e a m s e r v e r 后 ， 会 把 c o b a l t s t r i k e . b e a c o n _ k e y s 反 序 列 化 为 K e y p a r i s 对 象 ： 然 后 把 该 对 象 传 入 A s y m m e t r i c C r y p t o 构 造 函 数 中 ， 并 把 p u b l i c k e y 和 p r i v a t e k e y 保 存 为 A s y m m e t r i c C r y p t o 对 象 中 相 应 的 属 性 ： 所 反 序 列 化 出 来 的 公 私 钥 ：
公 钥 会 在 后 门 生 成 时 放 进 去 ， 但 不 是 在 上 述 的 函 数 中 ， 详 见 之 前 发 的 后 门 生 成 的 帖 子 。 而 私 钥 则 是 为 后 续 通 信 做 加 解 密 处 理 准 备 的 。 下 面 我 们 继 续 操 作 ： 先 直 接 上 x 3 2 d b g ， c r e a t e t h r e a d ( ) 下 断 ， 查 看 线 程 调 转 的 地 方 再 相 应 下 断 ， 然 后 执 行 到 反 射 d l l ， 再 等 所 导 出 的 解 析 函 数 解 析 完 d l l 后 ， 再 通 过 导 入 表 搜 相 关 的 通 信 函 数 ， 因 为 这 次 文 章 主 要 是 协 议 分 析 ， 相 关 中 间 的 相 关 功 能 先 省 略 掉 ， 有 必 要 再 从 栈 回 溯 查 看 相 关 的 函 数 调 用 ， 然 后 我 们 看 到 相 关 的 通 信 函 数 ： w i n n e t 的 H t t p O p e n R e q u e s t A 、 H t t p S e n d R e q u e s t A 、 I n t e r n e t C l o s e H a n d l e 、 I n t e r n e t o p e n A 等 ， 还 有 w s 2 _ 3 2 的 s o c k e t 、 s e n d 、 r e c v 、 a c c e p t 等 ， 通 过 观 察 w s 2 _ 3 2 用 的 是 s e l e c t 网 络 模 型 ， 则 先 排 除 掉 ： 所 以 从 w i n n e t 的 相 关 a p i 下 断 入 手 ， 程 序 先 在 I n t e r n e t O p e n ( ) 函 数 断 下 ， 传 入 相 关 的 a g e n t 信 息 ：
接 着 I n t e r n e t C o n n e c t ( ) 函 数 ， 传 入 相 关 的 u r l : 1 9 2 . 1 6 8 . 2 0 2 . 1 和 p o r t : 8 0 h t t p o p e n R e q u e s t A ( ) 函 数 ， g e t 请 求 ， u r i 为 / p i x e l . g i f h t t p S e n d R e q u e s t ( ) 发 送 请 求 ， 注 意 c o o k i e 的 值 经 过 编 码 ： W i r e s h a r k 所 捕 捉 到 的 数 据 包 ： 可 见 c o o k i e 对 应 的 数 据 经 过 编 码 或 加 密 的 ， 我 们 往 上 翻 找 到 相 应 的 函 数 s u b _ 1 0 0 0 7 8 3 E ( ) ， 跟 进 该 函 数 ， 可 见 函 数 有 1 6 个 不 同 的 c a s e ， 当 发 送 第 一 个 数 据 包 （ 元 数 据 ） 时 先 后 走 c a s e 7 和 c a s e 3 ， c a s e 7 只 是 复 制 操 作 ： C a s e 3 是 自 实 现 的 b a s e 6 4 ：
根 据 所 编 码 的 内 容 & u n k _ 1 0 0 3 9 8 A 8 继 续 找 相 应 的 赋 值 和 加 密 操 作 s u b _ 1 0 0 0 6 7 1 C ( ) ， 在 该 函 数 中 ， 收 集 受 害 者 主 机 的 代 码 页 、 时 间 戳 、 程 序 i d 等 信 息 并 生 成 h a s h 值 ： 生 成 h a s h : 最 后 调 用 s u b _ 1 0 0 0 9 6 9 e ( ) 函 数 ， 对 收 集 的 信 息 进 行 r s a 加 密 ： 用 来 加 密 的 R S A 公 钥 ： R S A 加 密 前 所 收 集 的 数 据 内 容 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理