搜索

[26769] 2021-08-30_魔改CobaltStrike重写Stager和Beacon

文档创建者：s7ckTeam
浏览次数：242
最后更新：2025-01-19
2021-08-30_魔改CobaltStrike重写Stager和Beacon 1 2 魔 改 C o b a l t S t r i k e 重 写 S t a g e r 和 B e a c o n 原 创   快 乐 鸡 哥   m o o n s e c   2 0 2 1 - 0 8 - 3 0 收 录 于 话 题   # 渗 透 测 试   免 杀   红 队   , 2 3 个 魔 改 魔 改 C o b a l t S t r i k e 重 写 重 写 S t a g e r 和 和 B e a c o n 一 、 概 述 一 、 概 述 这 次 我 们 一 起 用 C # 来 重 写 s t a g e r 及 其 B e a c o n 中 的 大 部 分 常 用 功 能 ， 帖 子 主 要 介 绍 该 项 目 的 运 行 原 理 （ L o l B i n s S t a g e r B e a c o n ） 及 相 应 的 功 能 介 绍 及 展 示 。 L o l B i n s 部 分 是 由 G a d g e t T o J s 使 S t a g e r 转 换 为 j s 、 v b a 、 h t a 文 件 后 ， 再 结 合 相 应 的 c s r i p t 、 m s h t a 等 程 序 来 运 行 ； S t a g e r 功 能 包 括 从 网 络 中 拉 取 B e a c o n 的 程 序 集 并 在 内 存 中 加 载 及 A M S I B y p a s s ； B e a c o n 部 分 主 要 有 包 括 正 常 上 线 、 文 件 管 理 、 进 程 管 理 、 令 牌 管 理 、 结 合 S y s C a l l 进 行 注 入 、 原 生 端 口 转 发 、 关 E T W 等 一 系 列 功 能 。 项 目 地 址 ： h t t p s : / / g i t h u b . c o m / m a i 1 z h i 2 / S h a r p B e a c o n 项 目 基 于 . n e t 4 . 0 ， 暂 支 持 c s 4 . 1 （ 更 高 版 本 待 测 试 ） ， 感 谢 M 大 、 B G W 师 傅 、 S h a r p S p l o i t 、 G e a s o n 的 分 享 。 另 因 最 近 出 去 广 州 找 工 作 没 时 间 弄 ， 就 暂 时 写 到 这 里 ， 开 发 进 度 比 较 赶 致 使 封 装 不 是 很 好 、 设 计 模 式 也 没 有 用 ， 但 每 个 实 现 功 能 点 都 有 较 详 细 注 释 ， 等 后 续 工 作 安 定 后 会 进 行 重 构 及 完 善 更 多 功 能 。 若 有 错 误 之 处 还 请 师 傅 指 出 ， 谢 谢 大 家 。 二 、 二 、 L o l B i n s L O L B i n s ， 全 称 “ L i v i n g - O f f - t h e - L a n d B i n a r i e s ” ， 直 白 翻 译 为 “ 生 活 在 陆 地 上 的 二 进 “ ， 我 大 概 将 其 分 为 两 大 类 ： 1 、 带 有 M i c r o s o f t 签 名 的 二 进 制 文 件 ， 可 以 是 M i c r o s o f t 系 统 目 录 中 二 进 制 文 件 。 2 、 第 三 方 认 证 签 名 程 序 。 L o l B i n s 的 程 序 除 了 正 常 的 功 能 外 ， 还 可 以 做 其 他 意 想 不 到 的 行 为 。 在 A P T 或 红 队 渗 透 常 用 ， 常 见 于 海 莲 花 等 A P T 组 织 所 使 用 。 下 图 是 较 常 见 的 L o l B i n s ， 还 有 很 多 就 不 一 一 列 出 了 ： 而 G a d g e t T o J S 项 目 则 可 以 把 源 码 c s 文 件 动 态 编 译 再 b a s e 6 4 编 码 后 ， 保 存 在 j s 、 v b a 、 v b s 、 h t a 文 件 ， 而 在 其 相 关 文 件 中 文 件 利 用 了 当 B i n a r y F o r m a t t e r 属 性 在 进 行 反 序 列 化 时 ， 可 以 触 发 对 A c t i v a t o r . C r e a t e I n s t a n c e ( )   的 调 用 ， ， 从 而 实 现 . N E T   程 序 集 加 载 / 执 行 。 但 这 需 要 在 . n e t 程 序 集 中 把 相 应 的 功 能 写 在 默 认 / 公 共 构 造 函 数 ， 这 样 才 能 触 发 . N E T   程 序 集 执 行 。 下 面 以 实 例 程 序 为 例 ：
在 相 应 文 件 夹 下 执 行 如 下 命 令 ： . G a d g e t T o J S c r i p t . e x e   - w   j s   - c   P r o g r a m . c s   - d     S y s t e m . W i n d o w s . F o r m s . d l l   - b   - o   g g 其 中 命 令 参 数 解 析 如 下 ： - w j s 表 示 所 生 成 的 是 j s 文 件 ， 可 以 生 成 其 他 形 式 的 文 件 - c P r o g r a m . c s 是 所 选 择 的 c s 文 件 - d   S y s t e m . W i n d o w s . F o r m s . d l l     c s 文 件 所 用 到 的 d l l - b   会 在 j s 文 件 中 的 引 入 第 一 个 s t a g e r ， 因 为 当 在 . N E T 4 . 8 + 的 版 本 中 引 入 了 旁 路 类 型 检 查 控 件 ， 默 认 值 为 f a l s e ， 如 果 所 生 成 的 脚 本 要 在 . N E T 4 . 8 + 的 环 境 中 运 行 ， 则 设 置 为 t r u e （ - - B y p a s s / - b ） 。 生 成 的 s t a g e r 1 就 是 b y p a s s 这 个 检 查 的 。 - o g g 生 成 文 件 名 生 成 j s 、 h t a 、 v b s 等 文 件 后 默 认 是 会 被 杀 的 ： 而 我 们 只 需 要 简 单 修 改 下 单 引 号 为 / 就 行 了 : 最 后 执 行 所 生 成 的 j s 或 h t a ：
3 4 三 、 三 、 S t a g e r S t a g e r 部 分 的 功 能 可 以 包 括 下 图 几 项 ： 我 主 要 实 现 了 从 网 络 中 拉 取 B e a c o n 的 程 序 集 并 在 内 存 中 加 载 及 A M S I B y p a s s ， 沙 箱 及 虚 拟 机 检 测 的 方 式 有 挺 多 方 式 的 ， 师 傅 可 以 自 行 添 加 。 拉 取 程 序 集 及 内 存 加 载 这 个 较 为 简 单 ， 就 不 细 说 了 ： 下 面 说 说 b y p a s s A M S I ， 这 里 一 开 始 找 的 不 是 A m s i S c a n B u f f e r ， 而 是 找 D l l C a n U n l o a d N o w 的 地 址 ： 然 后 再 通 过 相 关 的 硬 编 码 找 到 A m s i S c a n B u f f e r 后 ， 再 进 行 相 应 的 p a t c h ： 四 、 四 、 B e a c o n B e a c o n 部 分 主 要 有 包 括 正 常 上 线 、 文 件 管 理 、 进 程 管 理 、 令 牌 管 理 、 结 合 S y s C a l l 进 行 注 入 、 原 生 端 口 转 发 、 关 E T W 等 一 系 列 功 能 。
4 . 1 文 件 管 理 文 件 管 理 先 从 文 件 管 理 部 分 说 ， 包 含 了 c p 、 m v 、 u p l o a d 、 d o w n l o a d 、 f i l e b r o w s e 、 r m 、 m k d i r 上 述 这 七 个 功 能 点 ： C p : M v : U p l o a d : D o w n l o a d : F i l e b r o w s e :
r m : m k d i r 4 . 2 进 程 部 分 进 程 部 分 进 程 部 分 ， 已 完 成 的 有 r u n 、 s h e l l 、 e x e c u t e 、 r u n a s 、 k i l l ， 未 完 成 的 有 r u n u : R u n : s h e l l : e x e c u t e :
r u n a s : p s : k i l l : 4 . 3 令 牌 权 限 令 牌 权 限 令 牌 权 限 部 分 ， 已 完 成 的 有 g e t p r i v s 、 m a k e _ t o k e n 、 s t e a l _ t o k e n 、 r e v 2 s e l f ： G e t p r i v s : m a k e _ t o k e n ： 测 试 时 在 m a k e _ t o k e n 后 执 行 了 c m d . e x e   / C   d i r   1 0 . 1 0 . 1 0 . 1 6 5 C $
s t e a l _ t o k e n ： 测 试 时 在 s t e a l _ t o k e n 后 执 行 了 w h o a m i r e v 2 s e l f ： 4 . 4 端 口 转 发 端 口 转 发 端 口 转 发 部 分 ， 已 完 成 的 有 r p o r t f w d 、 r p o r t f w d s t o p ： R p o r t f w d ， 注 意 这 里 端 口 转 发 t e a m s e r v e r 只 返 回 了 本 地 需 要 绑 定 的 端 口 ， 没 有 返 回 需 转 发 的 i p 和 p o r t 。 在 1 9 2 . 1 6 8 . 2 0 2 . 1 8 0 : 2 2 2 2 2 上 新 建 m s f 监 听 ： 在 本 机 地 址 1 9 2 . 1 6 8 . 2 0 2 . 1 的 2 3 4 5 6 端 口 转 发 到 上 述 m s f 的 监 听 本 地 访 问 2 3 4 5 6 端 口 ：
另 一 个 网 段 访 问 2 3 4 5 6 端 口 ： r p o r t f w d   s t o p ： 4 . 5 注 入 部 分 注 入 部 分 注 入 部 分 ， c s 的 s h i n j e c t 、 d l l i n j e c t 、 i n j e c t 都 用 来 远 程 线 程 注 入 ， 我 个 人 机 器 是 w i n 1 0 x 6 4   1 9 0 9 , s h e l l c o d e 是 用 c s 的 6 4 位 c # s h e l l c o d e ， 被 注 入 的 程 序 是 6 4 位 的 c a l c . e x e ， 程 序 返 回 的 N T S T S T U S 均 为 S U C C E S S ， 且 s h e l l c o d e 均 已 注 入 在 相 应 的 程 序 中 ， 并 新 建 出 线 程 进 行 执 行 ， 但 最 后 c a l c . e x e 都 崩 了 ， 有 点 奇 怪 呀 ： 申 请 r w x 内 存 空 间 存 放 s h e l l c o d e 后 并 在 所 执 行 s h e l l c o d e 下 断 :
执 行 N t C r e a t e T h r e a d E x ( ) , 被 注 入 的 c a l c . e x e 新 建 线 程 执 行 此 s h e l l c o d e ： 最 后 跑 起 来 报 的 c 0 5 ， 但 分 配 的 内 存 属 性 是 r w x 的 ：
5 4 . 6 杂 项 部 分 杂 项 部 分 杂 项 部 分 ， 已 完 成 有 s l e e p 、 p w d 、 e x i t 、 s e t e n v 、 d r i v e s 、 c d ： S l e e p ： e x i t ： s e t e n v ： d r i v e s ： P w d ： c d ： 五 、 完 善 及 改 进 五 、 完 善 及 改 进
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理