本文是CobaltStrike逆向学习系列的第八篇，主要分析Beacon如何将执行命令的结果加密回传给TeamServer，以及TeamServer如何处理并回传给Controller。内容涉及Beacon接收与处理命令、结果回传的流程，包括数据的加密解密、Hmac校验、防止重播攻击等环节。
这是[信安成长计划]的第 8 篇文章
关注微信公众号[信安成长计划]
0x00 目录
0x01 Beacon 接收与处理
0x02 结果回传
Beacon 在接受完命令并执行后，会将数据加密回传给 TeamServer，TeamServer 进行解析后，并根据类型对结果的格式进行处理后，再回传给 Controller
0x01 Beacon 接收与处理
直接在通信相关函数上下断，HttpSendRequest 发送任务，InternetReadFile 接收任务
跟出函数以后再根据其上下文分析，也就能推断出大致范围
同理在回结果的时候也是一样，这样也就大致确定了整个处理逻辑的代码范围，在这之间进行任务接收、解密、执行、结果回传等
0x02 结果回传
在 Beacon 回结果的时候依然是从 WebServer 接收，继续走了 MalleableHook 来调用到真正的处理函数
最低0.47元/天 解锁文章
扫一扫
2219
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
