红队专题-Cobalt strike 4.x

红队专题-Cobalt strike 4.x - Beacon重构

news2024/9/24 11:33:47

红队专题

招募六边形战士队员
重构后 Beacon 适配的功能
- windows平台
- linux和mac平台
- C2profile
重构思路
- 跨平台
- 功能免杀
- 代码部分
- - sysinfo包
  - packet包
  - config.go
  - 命令的执行
  - shell、run、execute
  - - powershell
  - powerpick命令
  - powershell-import
  - execute-assembly
堆内存加密
字符集
参考链接

在这里插入图片描述

招募六边形战士队员

一起学习代码审计、安全开发、web攻防、逆向等。。。
私信联系
在这里插入图片描述

重构后 Beacon 适配的功能

不局限于cobalt strike 功能的跨平台后渗透免杀信标
没有beacon的特征，针对beacon特征的AV是检测不出来的；

windows平台

sleep、
shell、
upload、
download、
exit、cd、pwd、file_browse、ps、kill、getuid、mkdir、rm、cp、mv、run、execute、drives、powershell-import、powershell命令混淆、免杀bypassuac（uac-to。ken-duplication）、

免杀系统服务提权（svc-exe）、
execute-assembly（不落地执行c#）、

多种线程注入的方法（可自己更换源码）、
spawn、
inject、shinject、

dllinject（反射型dll注入）、管道的传输、

多种cs原生反射型dll注入（mimikatz、portscan、screenshot、keylogger等）、

令牌的窃取与还原、令牌的制作、权限的获取、runu父进程欺骗、代理发包、自删除、timestomp更改文件时间等功能。支持cna自定义插件的reflectiveDll、execute-assembly、powershell、powerpick、upload and execute等功能。

linux和mac平台

sleep、shell、upload、download、exit、cd、pwd、file_browse、ps、kill、getuid、mkdir、rm、cp、mv、自删除、timestomp
后续会添加linux与mac平台下后渗透功能
进程管理部分、文件管理部分支持图形化交互

C2profile

适配了C2profile流量侧的设置与部分主机侧的设置，支持的算法有base64、base64url、mask、netbios、netbiosu。

重构思路

传统cs的免杀偏向于如何加载上线
杀软对beacon的特征查得非常严，尤其是卡巴这种查内存的

入门cs的通信协议以及cs原生的beacon实现。

根据实战的需求来调试并实现beacon的各种功能。
考虑稳定性
体积的大小

跨平台

部分功能需要分平台实现
不同平台间同一个功能部分的实现又是相同的
抽出了一个service层来实现不同平台间功能重复的部分，进而减少代码的冗余。

功能免杀

很多地方原封不动照搬cs的原生实现并不是很好
对部分功能进行了实现的调整，同时针对cs不免杀的功能进行了替换

代码部分

在这里插入图片描述

main.go作为主函数
在beacon第一次与服务端通信之前执行隐藏窗口、反沙箱等操作。
成功建立了连接则每隔一段时间向服务端发送请求，
查看是否有需要下发的命令及数据，如果有的话则根据下发的命令号进行不同的处理。

sysinfo包

获取不同平台下目标主机的基本信息的功能，

拼装了beacon与服务器建立通信所需的meta数据。

在这里插入图片描述
windows平台下部分复杂的功能被拆分成execute_assembly.go、jobs.go、token.go等来单独实现。

services.go实现了对不同命令的跨平台处理。

packet包

在这里插入图片描述
实现了对命令的具体的处理操作以及通信等功能。

config.go

是配置文件，类似于C2profile

适配了大部分C2profile流量端与部分主机端配置的同时

还加入了代理发包、自删除、反沙箱等cs没有的设置。

命令的执行

shell、run、execute

区别在于shell调用cmd，run调用执行的程序本身，而execute无回显。

基于go的os/exec实现了跨平台的shell
golang的底层库并不是很稳定
os/exec库的cmd不支持Token的使用无法实现令牌的窃取
将命令执行的实现更改为了windows api CreateProcess。

首先会判断当前是否有窃取/制作的Token，若有的话则用CreateProcessWithTokenW以Token权限来执行，没有的话则用CreateProcess执行。

shell和run在执行之后会用管道将结果回传，而execute不会。

Linux和Mac平台下目前用/bin/bash来执行shell。

powershell

shell powershell是从cmd调用powershell，

而powershell命令本身是以-nop -exec bypass -EncodedCommand参数来执行编码后的命令，

如whoami

powershell -nop -exec bypass -EncodedCommand dwBoAG8AYQBtAGkA

在这里插入图片描述
对powershell命令集成了混淆
由于360对powershell命令执行监控的过于严格，powershell命令执行暂时过不了360
将混淆后落地的ps1文件用powershell -ExecutionPolicy Bypass -File执行可过360
可以用shell powershell执行未混淆的powershell。