CobaltStrike逆向学习系列(13)：RDI 任务执行流程分析

最新推荐文章于 2023-11-09 11:40:04 发布
原创 最新推荐文章于 2023-11-09 11:40:04 发布 · 2.1k 阅读 · 0 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#学习 #系统安全 #web安全 #安全 #安全架构

本文深入分析了CobaltStrike中RDI任务的执行流程，包括任务号的解析、功能执行过程，涉及内存分配、注入执行的多种方法，如VirtualAllocEx、NtMapViewOfSection、CreateRemoteThread等，并讲解了结果接收和管道通信的细节。

这是[信安成长计划]的第 13 篇文章

0x00 目录

0x01 任务号

0x02 功能执行

0x03 结果接收

在上一篇文章中已经讲明了 RDI 类型的任务在发布时候的流程，接下来就是执行了，文中不提任务接收与结果回传，这部分内容在之前也已经分析过了，继续使用 HashDump 来进行分析

0x01 任务号

按照上一次流程的分析，RDI 在构建的时候实际发布了两个任务，一个是 HashDump 的任务号，还有一个是通过 getJobType 获取到的

图片

根据上一篇文章的流程 HashDump 所调用的任务号是 44，这里的 getJobType 值也是直接在 Job 类当中写死了 40

图片

同时还有一点比较重要的就是，在第二个任务中所保存的，正是前面 Patch 到 HashDump 中的管道名

图片

其实根据这些，也就大致能够推测出后面这个功能就是用来接收 RDI 功能执行结果的

0x02 功能执行

直接看功能执行函数，接收了两个参数，一个是功能数据，一个是数据大小

最低0.47元/天 解锁文章
Cobalt Strike (CS) 逆向初探
悦分享
08-03 937
当进入第三段文件执行的时候，就算是真正开始了远控文件的旅行，不过那是另一段旅程了，就不在这篇文章里写了（必经本篇篇幅已经好多）。但是，还是还是简单的把那个文件的一些分析写在下面。考虑到已经进入一个远控软件的核心功能部分，按照我的想法，为了方便，还是把内存dump下来，通过静态和动态结合的方式来。因此，祭出Scylla。首先运行到新内存区域入口处：然后点转储内存：选择所处模块的区域，转储PE，因为该修复的都修复了，所以直接转pe文件，也不同修复转储了。（后面的.mem文件要不要都无所谓了）。.........
CobaltStrike逆向学习系列(14)：CS功能分析-DotNet
SecSource_Stars的博客
02-20 1902
这是[信安成长计划]的第 14 篇文章 0x00 目录 0x01 DotNet功能分析 0x02 DotNet功能执行 0x03 写在最后 在上两篇文章中，讲述了 CS 中的一种功能执行方式 RDI，这一次来分析一下另外一个非常重要的功能执行方式——DotNet 0x01 DotNet功能分析 CobaltStrike 提供了一种可以执行任意 DotNet 程序的方案，使用了名叫 invokeassembly 的 DLL，来加载和执行所传递的 DotNet 功能，提供这个方法的 Job 是 ExecuteA
CobaltStrike逆向学习系列(1)：CS 登陆通信流程分析
SecSource_Stars的博客
01-10 569
这是[信安成长计划]的第 1 篇文章 关注微信公众号[信安成长计划] 0x00 目录 0x01 密码校验 0x02 aggressor.authenticate 0x03 aggressor.metadata 0x04 数据同步 0x05 流程图 0x06 参考文章 先统一一下后续文章所提到的一些名词，以确保大家都在聊同一个东西，文中将 CobaltStrike分为 Controller、TeamServer、Beacon 三端，本文所描述的是 TeamServer 启动之后，从 Controller 登
CobaltStrike逆向学习系列(12)：RDI 任务发布流程分析
SecSource_Stars的博客
02-20 446
这是[信安成长计划]的第 12 篇文章 0x00 目录 0x01 任务构建 0x02 结果处理 0x03 功能 DLL 分析 之前的分析都是针对整个 CS 的框架来进行的，但是功能也是整个 C2 中相当重要的部分，接下来几篇文章会对基本的功能类型的流程进行分析 0x01 任务构建 CS 自带的 RDI 类型的功能也有好多，但所有的构建等也都是大同小异了，这里以 HashDump 来进行分析，HashDump 有两种触发方式，一种是在界面上直接点击，一种是通过命令 这两种方式在执行前都会去判断当前用户的权限
CobaltStirke BOF技术剖析（一）｜BOF实现源码级分析
发果叁
08-04 1088
对BOF(Beacon ObjectFile)的支持是在CobaltStrike4.1版本中新引入的功能。BOF文件是由c代码编译而来的可在Beacon进程中动态加载执行的二进制程序。无文件执行与无新进程创建的特性更加符合OPSEC的原则，适用于严苛的终端对抗场景。低开发门槛与便利的内部BeaconAPI调用与使得BOF特别适合后渗透阶段攻击工具的快速开发与移植。
CobaltStrike逆向学习系列-主线篇
02-22
12. **RDI任务发布和执行流程分析** - **任务构建和结果处理**：深入理解Remote Dynamic Instruction (RDI)任务的创建、发送和结果处理。 - **功能DLL分析**：探讨RDI任务中涉及的功能库，如何实现特定的渗透测试...
CobaltStrike逆向学习系列(2)：Stageless Beacon 生成流程分析
SecSource_Stars的博客
01-10 869
这是[信安成长计划]的第 2 篇文章 关注微信公众号[信安成长计划] 0x00 目录 0x01 Patch Beacon 0x02 Patch Loader 0x03 文件对比 0x04 流程图 CobaltStrike 的 Beacon 生成分为两种，Stage Beacon 和 Stageless Beacon，这次主要来说明的是无阶段的 Stageless Beacon，最终文件比较大，不用从网络中来拉取。 本文的分析流程使用的 payload 是 windows/beacon_http/rever
CobaltStrike逆向学习系列(6)：Beacon sleep_mask 分析
无心的博客
01-14 1161
这是[信安成长计划]的第 6 篇文章 关注微信公众号[信安成长计划] 0x00 目录 0x01 C2Profile 分析 0x02 set userwx “true” 0x03 set userwx “false” CobaltStrike 提供了一个内存混淆功能，它会在 Sleep 的时候将自身混淆从而避免一定的检测 0x01 C2Profile 分析 因为 sleep_mask 是从 C2Profile 中设置的，所以就需要先搞清楚 TeamServer 是如何解析的 很明显它还跟其他的设置项有关，
Cobalt Strike流量特征分析
weixin_52741673的博客
07-21 8562
cobalt strike流量特征分析
在linux下做源码免杀,Cobaltstrike免杀从源码级到落地思维转变
weixin_39856589的博客
05-12 577
文章来源；https://www.freebuf.com/articles/web/258988.html前言距离上一篇文章《那些FastJson漏洞不为人知的事情(开发角度)》已经过去三天了，但在我的心中仿佛过了一年。这三天是我在分析Cobaltstrike源码的一个过程，阅尽代码冷暖，但我依然要说一句Cobaltstrike牛逼~场景描述最早我为了研究MSF的免杀，去看了MSF木马源码，其采用...
cobaltstrike_bofs:我的CobaltStrike BOFS
03-12
QueueUserAPC_PPID queueuserapc_ppid / BOF在指定的父对象下生成您选择的进程，并通过QueueUserAPC（）注入提供的shellcode文件。
CobaltStrike4.0 远控分析
mai1zhi2的博客
12-25 1379
1. 概述 Cobalt Strike是渗透测试神器,其功能简介就不用多说了，其4.0版本更新已有一段时间了，这里献丑分析一下，若有错误的地方望大伙指出，谢谢。 2. 样本信息 样本名 artifact4.exe 样本大小 14,336 字节 MD5 9ff9170e001f5619a0be11516051f538 SHA1 b824ed85d7dbe14f193f70d328d061e90c760736 3. 实验环境...
浅谈CobaltStrike UDRL的实现与混淆
xf555er的博客
11-09 1851
在Profile配置中，Stage块的某些选项允许用户修改明显的PE文件特征，比如magic_mz，它允许用户自定义4个字节的MZ头，但是当UDRL应用后此功能将不再支持，不过我们可以使用Aggressor脚本去实现此功能，甚至比magic_mz功能更加强大首先在UDRL中，我们先自定义PE Header结构，在此结构中，我们仅存放PE头结构和节表结构等有效信息。在aggressor脚本中，为了对接上述我们自定义的PE Header，我们可以使用pedump。
魔改CobaltStrike：二开及后门生成分析
mai1zhi2的博客
04-21 3823
一、概述： 这次文章主要介绍下Cobalt Strike 4.1相关功能的二开和后门（artifact.exe\beacon.exe）的生成方式，Cobalt Strike的jar包我已反编译，并改了下反编译后的bug，teamserver与agressor均能正常调试使用，附反编译后项目地址： https://github.com/mai1zhi2/CobaltstrikeSource 。若有不对的地方希望大伙指出，谢谢。后续将会再分享通讯协议与自定义客户端（后门）。PS：感谢Moriarty的分享课。
Cobaltstrike系列教程(十二)CS与MSF,Armitage,Empire会话互转
J0o1ey Blog
01-19 2814
0x001-Cobaltstrike与MSF会话互转 ①Metasploit派生shell给Cobaltstrike 首先，你需要拿到一个metepreter会话，本例中session为1 Cobaltstrike的teamserver的ip为8.8...
Cobaltstrike系列教程(十三)控制持久化
J0o1ey Blog
01-19 5802
0x000-前文 有技术交流或渗透测试培训需求的朋友欢迎联系QQ547006660 2000人网络安全交流群，欢迎大佬们来玩 群号820783253 0x001-右键菜单实现控制持久化 在windows中，拿到目标主机权限后，，维持权限是必不可少的工作。 目前常见的手法有: 1.注册表 2.启动项 3.计时任务 4.设置服务 5.shift后门 6.dll劫持(白加黑) 7.利用其他安装的软件 ...
js跳出函数_前端基础进阶（八）：在chrome开发者工具中观察函数调用
weixin_39662611的博客
11-30 691
配图与本文无关前端开发中，有一个重要的技能，叫做断点调试。利用chrome开发者工具中的断点调试，我们能够一步步观察JavaScript的执行过程，直观感知函数调用栈、作用域链、变量对象、闭包、this等关键信息的变化。因此，断点调试对于快速定位代码错误，以及快速了解代码的执行过程有着非常重要的作用，这也是我们前端开发必不可少的一个高级技能。当然如果你对JavaScript的基础概念(执行上下文，...
告警流量分析：Cobalt Strike（默认实验文）
soldi_er的博客
10-26 3749
文章目录前言从去除流量特征反推分析流量包200815084549005001_tmp.pcap - 无有用信息200929112751005001_tmp.pcap - 无有用信息流量包协议可疑 IP 地址犯错 - one hour passed201021151312005001_tmp.pcap - 有用信息第一段数据TCP 流所有 description源地址筛选：ip.src == 10.160.161.16源地址筛选：ip.src == 10.150.187.155总结 前言 软件一般都有流量特征
红队笔记之CobaltStrike4.4源码修改方法
明光札记
12-04 8147
文章目录CobaltStrike4.4反编译的几个思路方法一：利用动态编程完成源码的修改方法二：借助反编译工具先反编译再进行编译方法三：借助原有jar与反编译源码修改并编译代码CobaltStrike4.4源码修改方法步骤简介具体步骤利用反编译工具逆向出源码新建工程引入逆向源码与原有jar包修改源码并重新打包 本文将介绍笔者对于CobaltStrike4.4几种反编译方法的思考以及具体修改方法，修改CobaltStrike主要为了修改和隐藏CobaltStrike4.4的特征，防止在攻防过程中被限制防火.
CobaltStrike逆向分析深度探索
此外，还讨论了如何实现自定义的Beacon检测工具，以及RDI任务的发布和执行流程，并对CobaltStrike的特定功能如DotNet和BOF进行了分析。" CobaltStrike是一款广泛用于红队行动和安全评估的工具，其逆向分析对于理解...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值