Cobaltstrike反制方法小结

作者: book4yi | 来源:发表于2022-09-27 22:53 被阅读0次

本文仅作为学习记录，如有侵权，请联系删除！

0x01 批量伪装上线：

以HTTP Beacon为例，在CS的上线过程中，有一串很明显的加密Cookie，是非对称RSA加密类型，需要一个私钥Private Key才能对其进行解密，实际情况里我们并拿不到

可以利用以下代码来提取Private Key与Public Key：

import java.io.File;
import java.util.Base64;
import common.CommonUtils;
import java.security.KeyPair;

class DumpKeys
{   
    public static void main(String[] args)
    {
        try {
            File file = new File(".cobaltstrike.beacon_keys");
            if (file.exists()) {
                KeyPair keyPair = (KeyPair)CommonUtils.readObject(file, null);
                System.out.printf("Private Key: %s\n\n", new String(Base64.getEncoder().encode(keyPair.getPrivate().getEncoded())));
                System.out.printf("Public Key: %s\n\n", new String(Base64.getEncoder().encode(keyPair.getPublic().getEncoded())));
            }
            else {
                System.out.println("Could not find .cobaltstrike.beacon_keys file");
            }
        }
        catch (Exception exception) {
           System.out.println("Could not read asymmetric keys");
        }
    }
}

把这个java文件放置在CS服务器的CS文件夹下，在JDK11版本下运行：

java -cp cobaltstrike.jar Dumpkeys.java

继续沿着思路展开，数据包中的核心是加密后的Cookie，那么我们能否进行伪造，达到假主机上线的效果。

上线包的请求Cookie值是受控主机元数据经过非对称加密后的密文，CS服务器接收到Cookie值后进行解密从而获取到受控主机信息。受控主机元数据包含了若干敏感信息：

HTTP型Beacon 上线包的核心在于Cookie，Cookie是对受控主机元数据的非对称加密的密文

一般攻击者会自定义Malleable C2 Profile修改默认流量特征，这里以jQuery为例，尝试通过重放数据包，观察Server是否成果响应了我们的请求，last是否被重制为1s

但这里有个限制，只能伪造已经上线的主机，不能伪造新的受控主机。但若我们了解上线的整个过程，数据是如何被加密的，就有可能在短时间内大量伪造假主机上线。

以Stager型Beacon为例，回顾下CS上线流程：

攻击者利用CS Server生成新的Beacon监听（包括一对非对称公私钥）并生成Stager；

攻击者投递Stager到受控主机；

受控主机在Exploit阶段执行小巧的Stager；

受控主机根据Stager Url请求特征向Beacon Staging Server下载体积较大更复杂的Stage到本地，Beacon Staging Server会校验Url的合法性；

Stage解密并解析Beacon配置信息（比如公钥PublicKey、C2 Server信息）；

Stage通过公钥PublicKey加密主机的元数据并发送至C2 Server；

C2 Server用私钥解密数据获取主机元数据。

其中核心在于两个部分：Stager Url校验算法、Beacon配置的解密算法