CobaltStrike逆向学习系列(6)：Beacon sleep_mask 分析

字数统计: 1.1k字   |   阅读时长≈ 3分

只有对工具足够的了解，才能够更好的进行修改

这是[信安成长计划]的第 6 篇文章

CobaltStrike 提供了一个内存混淆功能，它会在 Sleep 的时候将自身混淆从而避免一定的检测

0x01 C2Profile 分析

因为 sleep_mask 是从 C2Profile 中设置的，所以就需要先搞清楚 TeamServer 是如何解析的

图片

很明显它还跟其他的设置项有关，这里我们重点关注一下 rwx 的设置

图片

首先会将 text 段的结尾地址存储到 index=41 的位置

图片

接着判断了 text 段与 rdata 段中间的空白位置够不够 256 个字节，推测会将加解密函数放在这里

图片

obfuscate 就让它默认为 false，它不是我们这次关注的重点，接下来就会将 0 和 4096 添加到其中

图片

再看一眼 text 段的 Virtual Address，这块很明显就是 PE 头的那段内容

图片

接下来就是循环添加内容了，可以很明显的看到 do while 的循环条件是 text 段且不允许使用 rwx，这也就意味着，当我们不允许使用 rwx 的时候，text 段并不会被添加到 index=42 的项中，应该也就不会被混淆了，在最后还添加了零，用于标示结尾

图片

0x02 set userwx "true"

为了快速定位到加解密函数所在，可以设置断点来完成，因为按照之前的分析，使用 rwx 的时候，text 段也会被混淆的，所以跟入函数以后，直接滑倒开头下写入断点即可

图片

接着直接放过也就到达了位置

图片

接着根据这个位置到 IDA 中进行查找，然后通过回溯也很容易能够找到整个的调用链

图片

在主循环的最后有一个用于处理 Sleep 的函数

图片

它通过判断 0x29 来决定是否直接调用 Sleep，如果使用了 sleep_mask，0x29 中存储的就是 text 段的结尾地址

图片

首先它会将自己当前函数与加解密函数一起传入

图片

在函数中先计算了两个函数地址的差值，通过对比很明显能够看出这个就是加解密函数的长度

图片

接着从 0x29 中取出 text 段的结尾地址，并从全局变量中取出 PE 头的位置，相加也就得到了在内存中的 text 的结尾地址，也就是后面要存放加解密函数的地址，接着传统的拷贝也就不提了，重点是后面的赋值操作

图片

申请了 0x20 的空间，也就是 32 个字节，8 个字节存储 PE 头地址，8 个字节存储 0x2A 的地址

图片

这个 0x2A 也就是之前构造的那一串结构

图片

然后将加 16 的位置传入

图片

第一个使用 CryptoAPI 生成密钥

图片

如果失败的话，用第二个自己实现的算法生成密钥

图片

最后就来调用加解密函数了，第一个是构造的结构，第二个是 Sleep 函数，第三个是时间

图片

接着就来分析加解密函数，根据中间 Sleep 调用可以推断出，上面是加密函数，下面是解密函数

图片

参数是指针类型，取数组，下标 1，也就是 0x2A 所取到的值了

然后 v6 就是第一个值 sectionAddress，v7 就是第二个值 sectionEnd，然后将 v3 再后移

用来判断跳出规则的就是最后添加的两个零

do while 的混淆条件就是 sectionAddress<sectionEnd，也就是将所有的代码都进行混淆

图片

之后的解密也是一样的逻辑就不提了

接下来就是验证的时候了

Sleep 时候的状态

图片

此时的代码段

图片

接收命令时候的状态

图片

此时的代码段

图片

在允许 RWX 权限的时候，代码段是混淆的

0x03 set userwx "false"

理论在之前也都讲完了，这里就是验证一下最终的效果

Sleep 时候的状态

图片

此时的代码段

图片

接收命令时的状态

图片

此时的代码段

图片

在禁止 RWX 权限的时候，代码段是不混淆的

文章首发公众号平台


赏

谢谢你请我吃糖果

支付宝
微信

扫一扫，分享到微信

tag:

    缺失模块。
    1、请确保node版本大于6.2
    2、在博客根目录（注意不是yilia-plus根目录）执行以下命令：
    npm i hexo-generator-json-content --save

    3、在根目录_config.yml里添加配置： 

      jsonContent:
    meta: false
    pages: false
    posts:
      title: true
      date: true
      path: true
      text: false
      raw: false
      content: false
      slug: false
      updated: false
      comments: false
      link: false
      permalink: false
      excerpt: false
      categories: false
      tags: true

俗话说“好记性不如烂笔头”，各个安全社区各自为战，当我们想要搜索某一方面的文章的时候总是得在各个平台之间来回横跳，于是乎，一个平台文章聚合搜索的想法诞生了。
然后正好我想有一个自己的博客，于是乎两者融合在了一起。
下面简单介绍各个导航的区别：
个人文章：本人的笔记、复现、总结等或者本人参与的共同创作。
收集文章：手工从公众号收集保存的文章，更新频率看本人喜好所以比较慢。
聚合文章：从各大平台收集整理，由工具实现，每天更新。
很惭愧，只做了一点微小的工作。