CobaltStrike逆向学习系列(15)：CS功能分析-BOF

最新推荐文章于 2025-04-16 23:59:40 发布
原创 最新推荐文章于 2025-04-16 23:59:40 发布 · 985 阅读 · 2 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#学习

本文是CobaltStrike逆向学习系列的第15篇，主要分析了BOF（Buffer Overflow Function）功能，包括其执行流程和特点。BOF在CS中以PostExInlineObject类为基础，执行时会获取beacon的payload和架构，通过go函数解析并执行。BOF允许自定义执行函数，通过参数传递数据，具有良好的扩展性。文中提到了COFFLoader作为内存加载器的参考资源，并指出虽然细节优化空间大，但CS的整体设计十分完善，方便功能扩展。

这是[信安成长计划]的第 15 篇文章

0x00 目录

0x01 BOF功能分析

0x02 BOF功能执行

0x03 写在最后

其实在看过 RDI 与 DotNet 功能执行之后，BOF 的执行基本就不用再说了，唯一需要提及的可能就是它所包含的技术，而且相关的文章和代码也都很丰富了

0x01 BOF功能分析

在 CS 中，有相当一部分功能都是 BOF 形式的，我们随意选择一个

图片

它继承了 PostExInlineObject 类，需要自己实现的并不多，但实际上，一些函数还是自己实现的好

图片

在实际调用的时候，会先获取到 beacon 的 payload 和架构，然后一起传入后，调用了 go

图片

在 go 函数里，首先会获取到需要执行的 bof 文件，然后对其进行解析

图片

在其中他会获取执行函数，默认执行的函数是 go

最低0.47元/天 解锁文章
Cobalt Strike (CS) 逆向初探
悦分享
08-03 937
当进入第三段文件执行的时候，就算是真正开始了远控文件的旅行，不过那是另一段旅程了，就不在这篇文章里写了（必经本篇篇幅已经好多）。但是，还是还是简单的把那个文件的一些分析写在下面。考虑到已经进入一个远控软件的核心功能部分，按照我的想法，为了方便，还是把内存dump下来，通过静态和动态结合的方式来。因此，祭出Scylla。首先运行到新内存区域入口处：然后点转储内存：选择所处模块的区域，转储PE，因为该修复的都修复了，所以直接转pe文件，也不同修复转储了。（后面的.mem文件要不要都无所谓了）。.........
Cobalt Strike CS2 Beacon免杀技术分析
syg6921008的博客
04-03 2231
Cobalt Strike 2/4.x (CS2) 是当前红队演练和APT模拟中最常用的控制框架。由于它的 Beacon payload 默认给出的可执行文件、加载器和 shellcode 均已被大量杀毒软件加入特征并纵向检测，因此，Beacon 免杀处理是正常使用的必须技术前缀。免杀技术分为静态免杀，动态免杀，行为干扰免杀，内存免杀和正常行为防护等方面，以下进行精细分类。利用 VirtualAlloc / VirtualProtect 创建可执行内存段自定义 shellcode 解密流程。
一个Cobalt Strike信标对象文件（BOF）项目，该项目使用直接系统调用来枚举特定已加载模块或进程句柄的进程。-C/C++开发
05-27
一个Cobalt Strike信标对象文件（BOF）项目，该项目使用直接系统调用来枚举特定已加载模块或进程句柄的进程。 FindObjects-BOF一个钴打击信标对象文件（BOF）项目，该项目使用直接系统调用来枚举特定模块或进程句柄的进程。 这个仓库是做什么用的？ 在信标对象文件中使用直接系统调用来枚举特定已加载模块（例如winhttp.dll，amsi.dll或clr.dll）的进程。 在信标对象文件中使用直接系统调用来枚举特定进程句柄的进程（例如lsass.exe）。 避免使用Windows和本机API
CobaltStirke BOF技术剖析（一）｜BOF实现源码级分析
发果叁
08-04 1088
对BOF(Beacon ObjectFile)的支持是在CobaltStrike4.1版本中新引入的功能。BOF文件是由c代码编译而来的可在Beacon进程中动态加载执行的二进制程序。无文件执行与无新进程创建的特性更加符合OPSEC的原则，适用于严苛的终端对抗场景。低开发门槛与便利的内部BeaconAPI调用与使得BOF特别适合后渗透阶段攻击工具的快速开发与移植。
BOF-DLL-Inject:使用Cobalt Strike的信标目标文件实现手动Map DLL注入
04-14
BOF-DLL-注入 BOF DLL注入是一个自定义的，该使用手动映射DLL注入以便将dll全部从内存迁移到进程中。 好处 不太可能被签名 DLL有效负载保留在内存中，永不接触磁盘 附加功能易于实现 DLL未在内核领域注册为包括EPROCESS结构的模块 笔记 要了解我如何开发此工具以及有关该工具的更多信息，请参阅我的博客
内网渗透神器CobaltStrike之BOF编写(十一)
xf555er的博客
08-21 2528
Beacon Object File(BOF) 从Cobalt Strike4.1开始所添加的新功能，它允许你使用C语言编写扩展来扩展Beacon的功能。这些扩展可以在运行时直接加载到Beacon的内存中并执行，无需在目标机器的磁盘上创建任何文件BOF的一个关键特性是它的运行时环境非常有限。它不能直接调用Windows API，而只能通过Cobalt Strike提供的一组函数来与操作系统进行交互。这样做的原因是为了防止BOF在运行时出错导致Beacon崩溃。
CobaltStrike逆向学习系列-主线篇
02-22
【CobaltStrike逆向学习系列-主线篇】 在网络安全领域，CobaltStrike是一款广泛使用的渗透测试工具，尤其在红队操作和安全研究中扮演重要角色。逆向分析CobaltStrike能帮助我们深入理解其工作原理，为二次开发和...
CS-Situational-Awareness-BOF：使用信标对象文件实现的情境意识命令
02-05
CS-Situational-Awareness-BOF：使用信标对象文件实现的情境意识命令
HW蓝队：Cobalt Strike快速上手与溯源反制
最新发布
Neolock的博客
04-16 1386
Cobalt Strike快速上手与溯源反制
CobaltStrike逆向学习系列(3)：Beacon C2Profile 解析
SecSource_Stars的博客
01-10 797
这是[信安成长计划]的第 3 篇文章 关注微信公众号[信安成长计划] 0x00 目录 0x01 Controller 端分析 0x02 Beacon 端分析 0x03 展示图 在上一篇文章中完成了 Stageless Beacon 生成的分析，接下来就是对 Beacon 的分析了，在分析上线之前先将 C2Profile 的解析理清楚，因为 Beacon 中大量的内容都是由 C2Profile 决定的。 而且，目前 C2Profile 也是被作为检测 CobaltStrike 的一种手段，只有在理解了它的实
CS-BOFs:CobaltStrike信标对象文件的集合
05-26
CS-转炉 CobaltStrike信标对象文件的集合
BOF：收集信标对象文件以与Cobalt Strike一起使用以促进:spiral_shell:
03-04
信标对象文件 姓名 句法 MiniDumpWriteDump minidumpwritedump <PID> <path_of_dmp?> MiniDumpWriteDump BOF（仅限64位） DbgHelp的MiniDumpWriteDump函数的自定义实现。 使用静态syscall来替换诸如NtReadVirtualMemory之类的低级函数。 使用@jthuraisamy的和@Outflanknl的生成的系统。 代码改编自ReactOS在上实现的MiniDumpWriteDump。
CobaltStrike-BOF:信标BOF集合，用于学习窗户和钴击
03-20
CobaltStrike转炉 信标转炉的集合。 1）DCOM横向运动 一种快速PoC，它通过信标对象文件使用DCOM（ShellWindows）进行横向移动。您可以指定凭据或使用当前用户。要使用当前用户，只需将域，用户名和密码保留为空。有关在C中使用COM对象的简短文章。 2）WMI横向移动-Win32_Process创建 与上一个概念相似，但有趣的学习经验。 采纳的代码 。此方法使用Win32_Process类。 3）WMI横向移动-事件订阅 这使用WMI事件进行横向移动。大部分繁重的工作都是由完成的 4）按需C2 这是使用dotnet BOF的按需C2的实现。信标将进入睡眠状态，直到提供带有给定单词（主题或正文）的电子邮件为止。这样，您的信标仅在您希望其呼叫家时才呼叫家。当信标呼叫到家时，它将以可延展配置文件中配置的任何睡眠时间呼叫到家。完成后，您可以再次运行BOF，并且信标将
【亲测免费】 探索安全界的宝石：Cobalt Strike Beacon Object File（BOF）模板
gitblog_00085的博客
05-26 664
探索安全界的宝石：Cobalt Strike Beacon Object File（BOF）模板 在网络安全领域，Cobalt Strike的Beacon Object Files（BOFs）是一个强大的工具，它让扩展Beacon功能变得更加简便且安全。BOFs是COFF对象文件，可在与Beacon相同的进程中执行，避免了使用可能暴露操作安全性的fork&run技术。这个开源项目提供了一个...
探秘 Cobalt Strike BOF：悄无声息绕过AMSI防护的利器
gitblog_00580的博客
08-26 447
探秘 Cobalt Strike BOF：悄无声息绕过AMSI防护的利器 在信息安全的暗夜中，攻防双方的较量从未停歇。今天，我们要介绍的是一款名为“Cobalt Strike BOF - Inject AMSI Bypass”的开源项目，它如同一位隐形的战士，潜入敌后，巧妙规避了强大的AMSI（Antimalware Scan Interface）防护机制。 项目介绍 Cobalt Strike是...
CS-Remote-OPs-BOF 项目使用教程
gitblog_00223的博客
09-16 782
CS-Remote-OPs-BOF 项目的目录结构如下： ``` CS-Remote-OPs-BOF/ ├── Injection/ │ ├── ... ├── Remote/ │ ├── ... ├── src/ │ ├── common/ │ │ ├── bofdefs.h │ ├── Injection/ │ │ ├── ... │ ├── Remote...
CobaltStrike 插件编写入门教程（二）
weixin_42282189的博客
11-01 1664
作者： 飞天魔鬼 免责声明：本文仅供学习研究，严禁从事非法活动，任何后果由使用者本人负责。 引言 之前写了一个可以离线判断目标beacon是否存在杀软的小插件，但是觉得还是不够完美。于是乎决定将其改造一下。 先看之前的效果： 之前的版本是将杀软信息输出到了eventlog中，这样在工作的时候会导致eventlog消息太多，看起来太杂乱。 0x01 思路 在cs中有一个内置的cna脚本叫做default.cna。这个脚本可以在cs官网上下载。 我注意到其中有一个名为BEACON_SBAR_LEFT的设.
CS BOF文件编写/改写
Love&Share
01-25 2431
Beacon Object File(BOF) cs 4.1后添加的新功能，
0x03-逆向-BoF基础的基础
0pr
06-04 1273
目录 今日目标 深入 BoF BoF 的前世今生 BoF 的种类 BoF 的应对策略 物理寻址的应用 找到 Boot Sector 在内存中的前两个字节的位置 寄存器 寄存器的种类 通用寄存器 段寄存器 指针寄存器 索引寄存器 控制寄存器 段和段寄存器小结 完成任务 程序拆解及必要汇编指令 org 指令 jmp 指令 times 指令 pusha popa 指令 条件控制指令 其他必要的汇编指令 总结 参考链接 今日目标 今天细看了一下 narnia2（不知道这是什
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值