CobaltStrike逆向学习系列(4)：Beacon 上线协议分析

字数统计: 954字   |   阅读时长≈ 3分

只有对工具足够的了解，才能够更好的进行修改

这是[信安成长计划]的第 4 篇文章

0x00 目录

0x01 Beacon 发送

0x02 TeamServer 处理

0x03 流程图

0x04 参考文章

在上一篇讲解 C2Profile 解析的时候，已经提到过如何断入到真正的 beacon.dll 当中，并且也清楚了它执行时的调用顺序，Beacon 上线的所有流程也都是在第二次主动调用 DLLMain 时执行的。

因为主要说明的是上线流程，功能性的暂且不提，但是中间会穿插 C2Profile 的读取操作。

0x01 Beacon 发送

通过导入表能够很明显的看到通信相关的函数，所以就直接在关键函数上下断

图片

首先调用 InternetOpenA 传入了 agent

图片

接着是 InternetConnectA 传入 IP 与端口

图片

之后便是 HttpOpenRequestA 传入了请求类型和 URI

图片

最后便是 HttpSendRequestA 发送请求了，很明显能看到 COOKIE 已经被加密了

图片

接下来就需要往回跟，看它是从哪里进行加密的，最终发现，在进入功能性的 while 循环之前，就已经完成了信息收集和加密操作

图片

这里也就顺带理一下 C2Profile 的解析，在加密之前，会先从 C2Profile 中取出一个值

图片

回到 BeaconPayload 查一下 index 为 7 的就是 publickey，这也就说明了，在取值的时候是通过 index 来取对应内容的

图片

然后分析一下 GetPtrValue，这里用 F5 就很不友好了，还是看汇编更容易理解一些

图片

中间的 GetValue 也就是根据 index，取出来其中的值，并返回

图片

整体下来的逻辑就是，根据 index 跳到对应的偏移，前八个字节用来判断类型，后八个字节是取出真正的值或地址，其他几个类型的取值也是一样的。

到这里为止，对于 C2Profile 的全部逻辑也就理清楚了，之后就可以对 BeaconEye 进行分析了。

0x02 TeamServer 处理

在 TeamServer 中使用了 NanoHTTPD 库来处理 HTTP 请求，并且写了一个 WebServer 类，继承了 NanoHTTPD，并在里面写了处理函数，我们就直接在这个位置下断即可

图片

在接到流程以后，继续往下跟，会跟入 MalleableHook.serve()，它实际上调用的是 BeaconHTTP.serve()，在这里进行了解析操作

图片

到这里也就到了真正处理的地方了，它判断了长度是否是 128 位

图片

跟进以后，直接就进行了解密操作

图片

直接初始化私钥，然后进行解密

图片

随后判断了标志位 48879，然后读取长度，看是否小于 117，接着把剩余的字符返回

图片

接着会保留前 16 个字节，然后 16-20 判断字符集

图片

之后在获取了 Listener 的名字以后，就来初始化 BeaconEntry 了

图片

就是不断从中间取值，所以 metadata 主要的作用就是填写 Beacon 所需要的信息

图片

接着调用 this.getSymmetricCrypto().registerKey 方法来注册加密 Key，这里传入的 var8 就是刚开始保留的前十六个字节

图片

会先判断当前 BeaconId 是否存在，存在的话会直接 return，如果是第一次上线的话，肯定是不存在的，然后将传进来的十六字节 sha265，前一半作为 AESKey，后一半作为 HmacSHA256Key，接着将他们与 BeaconId 做成 Map

图片

最后就调用 sendResponse 返回信息了

图片

0x03 流程图

图片

0x04 参考文章

快乐鸡哥：https://bbs.pediy.com/thread-267208.htm

文章首发公众号平台


赏

谢谢你请我吃糖果

支付宝
微信

扫一扫，分享到微信

tag:

    缺失模块。
    1、请确保node版本大于6.2
    2、在博客根目录（注意不是yilia-plus根目录）执行以下命令：
    npm i hexo-generator-json-content --save

    3、在根目录_config.yml里添加配置： 

      jsonContent:
    meta: false
    pages: false
    posts:
      title: true
      date: true
      path: true
      text: false
      raw: false
      content: false
      slug: false
      updated: false
      comments: false
      link: false
      permalink: false
      excerpt: false
      categories: false
      tags: true

俗话说“好记性不如烂笔头”，各个安全社区各自为战，当我们想要搜索某一方面的文章的时候总是得在各个平台之间来回横跳，于是乎，一个平台文章聚合搜索的想法诞生了。
然后正好我想有一个自己的博客，于是乎两者融合在了一起。
下面简单介绍各个导航的区别：
个人文章：本人的笔记、复现、总结等或者本人参与的共同创作。
收集文章：手工从公众号收集保存的文章，更新频率看本人喜好所以比较慢。
聚合文章：从各大平台收集整理，由工具实现，每天更新。
很惭愧，只做了一点微小的工作。