CobaltStrike逆向学习系列(5)：Bypass BeaconEye

最新推荐文章于 2025-11-26 18:56:35 发布
原创 最新推荐文章于 2025-11-26 18:56:35 发布 · 586 阅读 · 1 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#系统安全 #web安全 #安全

本文介绍了如何Bypass安全工具BeaconEye对CobaltStrike Beacon的检测。通过分析BeaconEye的检测原理，提出两种Bypass方法：1) 改变结构打破规则；2) 使用HOOK技术深度修改。详细讨论了实施过程及关键函数的HOOK，为安全研究提供了实践指导。
最低0.47元/天 解锁文章
CobaltStrike逆向学习系列(9)：Bypass BeaconEye - Beacon 堆混淆
SecSource_Stars的博客
01-21 797
这是[信安成长计划]的第 9 篇文章 关注微信公众号[信安成长计划] 0x00 目录 0x01 CS4.5 Sleep_Mask 0x02 HeapEncrypt 0x03 效果 0x04 参考文章 在之前的文章《Bypass BeaconEye》中提过了两个 Bypass BeaconEye 的方法，都是通过打乱 C2Profile 结构来做的，还有另外一种方式就是在 Sleep 的时候加密堆内存，在 CS4.5 中也对 Sleep_Mask 进行了更新 0x01 CS4.5 Sleep_Mask 根据
如何使用BeaconEye监控CobaltStrike的Beacon
MSB_WLAQ的博客
10-07 1141
关于BeaconEye BeaconEye是一款针对CobaltStrike的安全工具，该工具可以扫描正在运行的主动CobaltStrike Beacon。当BeaconEye扫描到了正在运行Beacon的进程之后，BeaconEye将会监控每一个进程以查看C2活动。 工作机制 BeaconEye将会扫描活动进程或MiniDump文件，以尝试检测CobaltStrike Beacon。在活动进程模式下，CobaltStrike Beacon可以将其以调试器的身份与目标进程绑定，监控Beaco...
探照灯BeaconEye：您的CobaltStrike猎手与监控利器
gitblog_00069的博客
05-09 509
探照灯BeaconEye：您的CobaltStrike猎手与监控利器 BeaconEye 是一款强大的工具，专为检测和监控运行中的CobaltStrike信标而设计。它能深入剖析进程，寻找潜在的恶意活动，并在发现信标时跟踪其通信行为。这款工具由安全专家@EthicalChaos 创建，旨在提供对系统安全状况的深刻洞察。 项目技术分析 BeaconEye采用实时扫描和迷你转储文件分析两种模式。在实时...
从BeaconEye说起，围绕CS内存特征的检测与规避
dzqxwzoe的博客
08-01 755
2021年8月BeaconEye项目发布，这是一个基于CobaltStrike内存特征进行检测的威胁狩猎工具。BeaconEye具有优秀的检出率与检测效率，使大多数已有规避技术无效化，在网络安全圈内掀起了关于CS内存攻防的新一轮讨论热潮。
CobaltStrike逆向学习系列-主线篇
02-22
【CobaltStrike逆向学习系列-主线篇】 在网络安全领域，CobaltStrike是一款广泛使用的渗透测试工具，尤其在红队操作和安全研究中扮演重要角色。逆向分析CobaltStrike能帮助我们深入理解其工作原理，为二次开发和...
CobaltStrike逆向学习系列(15)：CS功能分析-BOF
SecSource_Stars的博客
02-22 985
这是[信安成长计划]的第 15 篇文章 0x00 目录 0x01 BOF功能分析 0x02 BOF功能执行 0x03 写在最后 其实在看过 RDI 与 DotNet 功能执行之后，BOF 的执行基本就不用再说了，唯一需要提及的可能就是它所包含的技术，而且相关的文章和代码也都很丰富了 0x01 BOF功能分析 在 CS 中，有相当一部分功能都是 BOF 形式的，我们随意选择一个 它继承了 PostExInlineObject 类，需要自己实现的并不多，但实际上，一些函数还是自己实现的好 在实际调用的时候，
Cobaltstrike bypass Defender
课嗨教育的专栏
03-16 1291
Defender一直是我们比较头疼的一个东西，相对于其他杀毒软件的可以退出关闭而言，Defender作为微软自带的一款杀毒软件，经常会在未经允许的情况下删除我们本地的东西。就很烦躁。刚好今天群里看到一篇文章，但是看着觉得眼熟，仔细看了下跟雷石以前的一篇文章很像，咱们本文就基于cs的exe马简单做个bypass defender的小总结。 参考： https://docs.microsoft.com/en-us/powershell/module/defender/remove-mpprefe...
事件响应-工具源码学习--beaconEye扫描原理
qq_44606373的博客
02-14 1088
然后就是开始根据获取到的进程信息进行循环，遍历所有进程，跳过自身进程，对每个进程通过NewProcessScan函数初始化进程扫描相关信息，根据进程是32位还是64位选择合适的matchArray和nextArray，并调用processScan.SearchMemory函数将相关信息发送到searchIn通道，触发对该进程内存的搜索。总的原理，获取内存信息，利用sundy算法实现规则数组与内存信息的快速匹配（从文本的左端开始，将模式串与文本对齐。），从而实现C2进程的检索。方便后续在内存中进行扫描。
802.11 Beacon包参数解析
10-14
自己做的OMNIPEEK,以及wireshark版本beacon包解析. 两种抓包工具抓出的结果不太一样，但是可以互相补充。 这个文档可以用来了解802.11 mac层的各个参数。 802.11初学者必备。后续会慢慢丰富此文档。
Cobaltstrike去除特征
Ms08067安全实验室
12-02 6371
本文作者：BlackCat（Ms08067实验室内网小组成员）前言：红蓝对抗的时候，如果未修改CS特征、容易被蓝队溯源。去特征的几种方法：1、更改默认端口方法一、直接编辑teamser...
解析项目`bypass-BeaconEye`: 网络安全的守护者与隐私保护利器
gitblog_00016的博客
04-03 392
解析项目bypass-BeaconEye: 网络安全的守护者与隐私保护利器 去发现同类优质开源项目:https://gitcode.com/ 项目简介 在数字世界中，网络安全和隐私保护日益重要。是一个专门针对 BeaconEye 漏洞检测工具的反制措施，旨在帮助用户防止未经授权的网络监控和数据追踪。它以开源的形式发布，任何人都可以查看、复制、修改并分发代码，共同提升网络安全性。 技术分析 bypa...
python3 cobalt strike msf shellcode反序列化bypass 360，火绒
sweelg的博客
09-07 1082
本文仅以分离免杀为例，利用Python语言制作加载器对Cobaltstrike生成的Shellcode进行绕过杀软作为样例，举例说明通过加密Shellcode、分离免杀以及Python反序列化达到bypass的思路和方法。 原理： 我们原始的shellcode加载器是直接把shellcode放在里面进行运行，然而我们的分离免杀 整体流程是将我们的Shellcode与程序进行分离，而上传到目标的可执行程序仅作为一个类似于下载器的程序使用，例如我们可以搭建一个Http Server，之后构造我们的Shel
MemoryEvasion
Mccc_li的博客
10-27 1676
CobaltStrike自3.1.2就引入了SleepMask套件，SleepMask套件可以在http/https或dns Beacon进入sleep的时候混淆Beacon和堆。但是泄露的CS SleepMask已经被分析烂了，于是就自己写了个在睡眠状态混淆代码的Loader。
告警流量分析：Cobalt Strike（默认实验文）
soldi_er的博客
10-26 3749
文章目录前言从去除流量特征反推分析流量包200815084549005001_tmp.pcap - 无有用信息200929112751005001_tmp.pcap - 无有用信息流量包协议可疑 IP 地址犯错 - one hour passed201021151312005001_tmp.pcap - 有用信息第一段数据TCP 流所有 description源地址筛选：ip.src == 10.160.161.16源地址筛选：ip.src == 10.150.187.155总结 前言 软件一般都有流量特征
深入浅出：解读AD域认证与UAC，构建系统安全的两道防线
tianyuanwo的专栏
11-22 91
摘要：AD域认证和UAC是企业与个人电脑的两大安全机制。AD域认证作为企业网络的"中枢神经系统"，通过域控制器实现集中认证和单点登录，适合大规模用户管理；UAC则是本机操作的"安全监护员"，采用双令牌机制限制管理员权限，防范恶意软件。二者协同构建纵深防御体系：AD控制网络访问权限，UAC保护系统操作安全。理解它们的差异与互补关系，对构建安全IT环境至关重要。（149字）
SpringSecurity相关jar包的介绍
最新发布
2509_94006941的博客
11-26 283
Spring Security是spring采用AOP思想，基于servlet过滤器实现的安全框架。它提供了完善的认证机制和方法级的 授权功能。是一款非常优秀的权限管理框架。Spring Security主要jar包功能介绍。
实时日志关联分析工具：智能检测潜在安全威胁
运维有小邓
11-24 677
摘要：金融机构安全运营中心发现，看似孤立的登录失败日志经关联分析后揭示出黑客攻击链条。EventLogAnalyzer的事件相关引擎通过预定义规则（如暴力破解、SQL注入检测）、可视化界面和自定义功能，实现日志智能关联分析，从海量数据中发现威胁模式。该工具提供30+预定义规则，支持实时监测、多维度报表和即时告警，覆盖账户安全、Web攻击、数据泄露等场景，帮助企业实现从被动响应到主动防御的转变，通过日志关联分析构建全面的安全防护体系。
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值