本文是CobaltStrike逆向学习系列的第六篇，主要分析了C2Profile中的sleep_mask设置，探讨了其如何影响内存混淆。当set userwx为“true”时，CobaltStrike会混淆text段，通过CryptoAPI或自定义算法生成密钥进行加解密。而在set userwx为“false”时，text段不会混淆，保持原始状态。通过对混淆前后Sleep和接收命令时的代码段状态对比，展示了sleep_mask功能的实际效果。
这是[信安成长计划]的第 6 篇文章
关注微信公众号[信安成长计划]
0x00 目录
0x01 C2Profile 分析
0x02 set userwx “true”
0x03 set userwx “false”
CobaltStrike 提供了一个内存混淆功能，它会在 Sleep 的时候将自身混淆从而避免一定的检测
0x01 C2Profile 分析
因为 sleep_mask 是从 C2Profile 中设置的，所以就需要先搞清楚 TeamServer 是如何解析的
很明显它还跟其他的设置项有关，这里我们重点关注一下 rwx 的设置
首先会将 text 段的结尾地址存储到 index=41 的位置
接着判断了 text 段与 rdata 段中间的空白位置够不够 256 个字节，推测会将加解密函数放在这里
最低0.47元/天 解锁文章
扫一扫
937
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
