搜索

[26746] 2021-07-11_魔改CobaltStrike：beacon浅析(下)

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-19
2021-07-11_魔改CobaltStrike：beacon浅析(下) 魔 改 C o b a l t S t r i k e ： b e a c o n 浅 析 ( 下 ) 原 创   快 乐 鸡 哥   m o o n s e c   2 0 2 1 - 0 7 - 1 1 收 录 于 话 题 # 渗 透 测 试   , 1 8 # 渗 透 测 试   免 杀   红 队   , 2 3 魔 改 魔 改 C o b a l t S t r i k e ： ： b e a c o n 浅 析 浅 析 ( 下 下 ) 1 概 述 概 述 这 次 书 接 上 回 ， 魔 改 C o b a l t S t r i k e ： 命 由 己 造 （ 上 ） 之 前 分 析 了 1 - 5 0 号 功 能 ， 下 面 来 分 析 5 0 - 1 0 0 功 能 号 ， 若 有 错 还 请 大 伙 指 出 ， 谢 谢 大 伙 。 2 5 0 - 1 0 0 功 能 号 分 析 功 能 号 分 析 R p o r t f w d 任 务 号 5 0 ， 端 口 转 发 数 据 先 获 取 到 监 听 的 端 口 号 ： 然 后 b i n d s o c k a t t r   0 . 0 . 0 . 0 : 8 8 8 8 和 开 始 l i s t e n : 任 务 号 5 1 ， r p o r t f w d s t o p   p o r t   停 止 指 定 端 口 转 发 有 关 于 r p o r t f w d 所 涉 及 到 的 任 务 号 有 1 5 、 1 6 、 5 0 、 5 1 ， c s 和 m s f 应 该 是 根 据 p o r t f w d 开 源 项 目 h t t p s : / / g i t h u b . c o m / r s s n s j / p o r t f w d / 进 行 整 合 的 。
L s 任 务 号 5 3 ， 调 用 F i n d F i r s t F i l e A ( ) 、 F i n d N e x t F i l e A ( ) 相 关 A p i 遍 历 当 前 文 件 夹 ， 调 用 F i l e T i m e T o S y s t e m T i m e ( ) 获 取 文 件 的 文 件 修 改 时 间 大 小 等 信 息 并 通 过 S y s t e m T i m e T o T z S p e c i f i c L o c a l T i m e ( ) 转 换 ， 最 后 进 行 相 应 的 拼 接 返 回 给 t e a m s e r v e r 端 ： 把 获 取 到 的 相 关 文 件 信 息 返 回 给 t e a m s e r v e r ： M k d i r 任 务 号 5 4 ， c r e a t e D i r e c t o r y A ( ) 创 建 目 录
d r i v e s 任 务 号 5 5 ， G e t L o g i c a l D r i v e r s ( ) 列 出 目 标 机 上 所 有 的 磁 盘 盘 符 R m 任 务 号 5 6 ， 删 除 文 件 先 用 G e t F i l e A t t r i b u t e s A ( ) 获 取 到 文 件 属 性 ， 进 行 判 断 是 文 件 还 是 文 件 夹 ： 如 果 是 文 件 夹 就 遍 历 删 除 里 面 文 件 再 删 文 件 夹 ： 如 果 是 文 件 则 直 接 删 ：
O n e - l i n e r 任 务 号 5 9 ， 简 单 来 说 就 是 开 启 服 务 器 ， 让 执 行 相 应 的 p s 命 令 ， 返 回 一 个 会 话 。 绑 定 端 口 ， 新 建 线 程 进 行 监 听 ： 执 行 p s 脚 本 返 回 会 话 ： 用 管 道 执 行 % C O M S P E C %   / c   e c h o   配 合 p t h h a s h   发 送 给 对 应 d l l 首 先 调 用 C r e a t e a N a m e P i p e A ( ) 创 建 管 道 ： 创 建 新 线 程 ， 等 待 另 一 端 连 接 该 管 道 ：
调 用 c o n n e c t N a m e P i p e ( ) 等 待 另 一 端 来 连 接 该 管 道 ， 同 时 线 程 阻 塞 ： 接 着 a g g r e s s o r 端 会 发 送 m i m i k a t z . d l l 进 行 挂 起 注 入 并 调 用 执 行 ， 过 程 与 s p a w n 一 致 ， 下 面 是 m i m i k a t z . d l l 内 容 ： m i m i k a t z . d l l 进 行 挂 起 注 入 并 调 用 执 行 ： 恢 复 线 程 并 执 行 ： 在 内 存 中 D u m p 下 来 m i m i k a t z . d l l ， 里 面 保 存 着 两 条 管 道 名 字 ， 负 责 m i m i k a t z 与 b e a c o n 通 信 用 的 ： p i p e 8 f 5 8 7 9 是 b e a c o n 生 成 的 ， m i m i k a t z 调 用 p e e k N a m e d P i p e 去 连 接 ：
p i p e 2 c 6 7 b f b a 是 m i m i k a t z 生 成 的 ， b e a c o n 调 用 p e e k N a m e d P i p e 去 连 接 ： a g g r e s s o r 会 发 送 任 务 号 6 1 来 建 立 进 行 与 m i m i k a t z . d l l 的 通 信 ， 并 进 行 后 续 的 模 拟 高 权 限 t o k e n 。 m i m i k a t z 执 行 后 a g g r e s s o r 回 传 通 信 管 道 信 息 ， 任 务 号 6 1 ： 调 用 p e e k N a m e d P i p e 链 接 m i m i k a t z 生 成 的 管 道 p i p e 2 c 6 7 b f b a ： 一 旦 停 止 阻 塞 ， 就 会 调 用 I m p e r s o n a t e N a m e d P i p e C l i e n t 来 模 拟 高 权 限 客 户 端 的 t o k e n ， 并 调 用 o p e n T r e a d T o k e n ( ) 获 得 当 前 线 程 t o k e n ： I m p e r s o n a t e L o g g e d O n U s e r ( ) 让 当 前 线 程 模 拟 登 陆 用 户 进 行 操 作 ， 并 保 存 t o k e n 值 为 全 局 t o k e n H a n d l e ：
M i m i k a t z J o b 执 行 后 数 据 的 回 传 任 务 号 6 2 ， 流 程 与 任 务 号 4 0 一 样 。 l i n k   连 接 S M B B e a c o n 任 务 号 6 8 ， l i n k 通 过 管 道 连 接 S M B 形 式 的 B e a c o n A g g r e s s 端 在 生 成 l i n k 方 式 的 s t a g l e s s 时 ， 会 加 载 w i n d o w s / b e a c o n _ b i n d _ p i p e 中 p v i o t . d l l 的 数 据 ： 在 l i n k 之 前 ， 需 要 建 立 连 接 ： s h e l l n e t   u s e   1 0 . 1 0 . 1 0 . 1 6 5 c $   / u s e r : " a d m i n i s t r a t o r "   " ! @ # Q 1 2 3 " 再 执 行 j u m p p s e x e c 6 4   1 0 . 1 0 . 1 0 . 1 6 5   T e s t _ S M B ： 在 执 行 j u m p 命 令 过 程 中 会 调 用 到 l i n k ， 下 面 看 j u m p 指 令 的 执 行 过 程 分 析 ： 先 调 用 任 务 号 9 u p l o a d 上 传 文 件 ： 将 文 件 保 存 在 目 标 i p 的 A D M I N $ 下 ， 名 字 问 f 9 f e b c 5 . e x e 然 后 通 过 任 务 号 1 0 0 i n l i n e - e x e c u t e 调 用 该 文 件 。
再 调 用 5 5 任 务 号 r m 去 删 除 上 传 的 文 件 ： 接 着 再 调 用 4 7 任 务 号 p a u s e 暂 停 1 秒 ： 最 后 调 用 任 务 号 6 8 l i n k   B e a c o n : 调 用 c r e a t e F I l e ( ) 打 开 命 名 管 道 ： 调 用 S e t N a m e d P i p e H a n d l e S t a t e ( ) 切 换 管 道 为 读 模 式 ： 循 环 调 用 R e a d F i l e ( ) 读 服 务 端 返 回 的 数 据 ： 将 数 据 返 回 给 t e a m s e r v e r 端 上 线 ： S p a w n t o ( x 6 4 ) 任 务 号 6 9 ， s p a w n t o x 6 4 ， 设 置 B e a c o n 派 生 会 话 时 使 用 的 程 序 ， 执 行 流 程 与 任 务 号 1 3 s p a w n t o   x 8 6 一 样 。 e x e c u t e - a s s e m b l y ( x 8 6 )
任 务 号 7 0 ， 内 存 执 行 C # 的 可 执 行 文 件 ， 首 先 传 输 i n v o k e a s s e m b l y . d l l 并 注 入 到 r u n d l l 3 2 . e x e ， 实 现 了 在 其 内 存 中 创 建 C L R 环 境 ， 然 后 通 过 管 道 再 将 C # 可 执 行 文 件 读 取 到 内 存 中 , 最 后 执 行 。 M s f 、 c s 的 e x e c u t e - a s s e m b l y 与 开 源 的 h t t p s : / / g i t h u b . c o m / b 4 r t i k / m e t a s p l o i t - e x e c u t e - a s s e m b l y / 大 同 小 异 ， 我 们 大 概 了 解 下 其 执 行 流 程 ： 当 e x e c u t e - a s s e m b l y 的 d l l 注 入 到 相 应 进 程 后 先 后 调 用 I C L R M e t a H o s t : : E n u m e r a t e L o a d e d R u n t i m e s 、 I C L R M e t a H o s t : : G e t R u n t i m e 方 法 以 获 取 有 效 的 I C L R R u n t i m e I n f o 指 针 ： 调 用 I C L R R u n t i m e I n f o : : G e t I n t e r f a c e 方 法 获 取 接 口 并 使 用 ： 这 里 使 用 的 是 I C o r R u n t i m e H o s t ： · 需 指 定 C L S I D _ C o r R u n t i m e H o s t 为 r c l s i d 参 数 · 需 指 定 I I D _ I C o r R u n t i m e H o s t 为 R I I D 参 数 当 获 取 到 _ A p p D o m a i n P t r 后 ， 使 用 其 L o a d _ 3 ( . . . ) 从 内 存 中 读 取 并 加 载 . N E T 程 序 集 获 取 参 数 后 调 用 静 态 方 法 。
e x e c u t e - a s s e m b l y ( x 6 4 ) 任 务 号 7 1 ， 流 程 与 任 务 号 7 0 一 样 ， 区 别 只 是 传 输 d l l 的 版 本 是 x 6 4 的 。 S e t e n v 任 务 号 7 2 ， p u t e n v ( ) 设 置 环 境 变 量 C p 任 务 号 7 3 ， 调 用 C o p y F i l e A ( ) 复 制 文 件 M v 任 务 号 7 4 ， 调 用 M o v e F i l e A ( ) 移 动 文 件 : p p i d 任 务 号 7 5 ， 伪 造 子 进 程 （ j o b s ） 的 父 进 程 为 指 定 进 程 ， j o b s 是 指 p o r t s c a n 等 操 作 ， 不 是 派 生 会 话 操 作 。 首 先 我 们 设 置 指 定 j o b s 的 父 进 程 为 1 8 3 6 0 “ 我 们 设 置 了 注 入 c a l c . e x e ， 该 进 程 p i d 为 3 5 7 5 2 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理