CobaltStrike逆向学习系列(7)：Controller 任务发布流程分析

2022-03-01

字数统计: 676字 | 阅读时长≈ 2分

只有对工具足够的了解，才能够更好的进行修改

这是[信安成长计划]的第 7 篇文章

0x00 目录

0x01 Controller->TeamServer

0x02 TeamServer->Beacon

0x03 流程图

所有的任务在 Controller 处理以后，都会直接发送到 TeamServer，接着等待 Beacon 回连的时候将任务取走，文章以 shell whoami 为例

0x01 Controller->TeamServer

当在 Console 中输入命令回车后，会进入 BeaconConsole 进行处理

专门来处理 shell 命令，命令解析 popString 所返回的就是要执行的命令 whoami

接着会在 TaskBeacon 中处理执行逻辑，因为只有一个 Beacon 就直接跟入了

然后就是构造任务了，将信息处理后用于 Beacon 去解析执行

之后会先打印执行日志，然后才是真正的传递了

日志记录也是一样通过 TeamQueue 传给 TeamServer

TeamServer 在 ManageUser 中接到日志

在处理以后直接添加广播将信息发送出去

然后通过 BroadcastWriter 写回给 Controller

接着 Controller 将任务发送给 TeamServer

TeamServer 在接到以后同样走对应的处理逻辑

从两个参数中取出 BeaconId 和任务，然后进入 BeaconData 处理逻辑

这里的有用代码也就是 else 中的 add 了，上面的判断是 CS 的一个暗桩，运行三十分钟后再执行命令就会直接发布退出任务

在将任务添加到 List 以后，也会将 BeaconId 记录下来

到这里任务的发布就完成了

0x02 TeamServer->Beacon

在 Beacon 回心跳包的时候，会来请求任务

直接从任务队列中取出数据

然后循环添加，并将添加过的移除，如果任务大于指定大小的话就会跳出循环

最后将任务队列返回

之后再相应的将其他的内容取出

最后构造并返回，这里会进行打印日志的操作，输出发送了的命令的长度

在返回之后会对数据进行加密

首先会根据 BeaconId 取出对应的 AESKey 和 HmacSHA256Key

之后写入系统时间/1000，任务长度，任务数据，并对其进行补齐，添加 A，补够 16 的整数倍

然后进行 AES 加密

接着对数据进行 Hmac

之后将 AES 加密后的任务写入，并将 Hmac 的前 16 位拼接到后面

之后便返回给 Beacon 了

0x03 流程图

本文作者： 信安成长计划
本文来源： 奇安信攻防社区
原文链接： https://forum.butian.net/share/1320
版权声明： 除特别声明外，本文各项权利归原文作者和发表平台所有。转载请注明出处！

缺失模块。
1、请确保node版本大于6.2
2、在博客根目录（注意不是yilia-plus根目录）执行以下命令：
npm i hexo-generator-json-content --save

3、在根目录_config.yml里添加配置：

  jsonContent:
    meta: false
    pages: false
    posts:
      title: true
      date: true
      path: true
      text: false
      raw: false
      content: false
      slug: false
      updated: false
      comments: false
      link: false
      permalink: false
      excerpt: false
      categories: false
      tags: true

俗话说“好记性不如烂笔头”，各个安全社区各自为战，当我们想要搜索某一方面的文章的时候总是得在各个平台之间来回横跳，于是乎，一个平台文章聚合搜索的想法诞生了。
然后正好我想有一个自己的博客，于是乎两者融合在了一起。
下面简单介绍各个导航的区别：
个人文章：本人的笔记、复现、总结等或者本人参与的共同创作。
收集文章：手工从公众号收集保存的文章，更新频率看本人喜好所以比较慢。
聚合文章：从各大平台收集整理，由工具实现，每天更新。
很惭愧，只做了一点微小的工作。