背景
RTO I 的课程结束了,Cobalt Strike 算是会用了。然后继上一篇文章之后,我还没有机会用 Cobalt Strike Beacon 做一下 Windows Defender Bypass。之后会写。
另外,我也想问一下我自己,Cobalt Strike 里面最基本的 payload - beacon,你了解清楚了吗?
所以今天,我就花点时间给自己解惑,同时也提出更多问题往后深入。
接下来先对 Beacon 做下逆向,看一下 HTTP Beacon 大致上都做了什么。
Beacon
创建一个基于 HTTP Listener 的 64位 beacon。
看一下文件格式,64位 PE 文件。
看到 PE 头。
xxd beacon.exe | less -S
这一段 bOb
很有意思,可以用作 Signature Detection 吗?
strings
一下看到了使用了哪些方法。
使用了哪些 dll。
在 IDA 里具体看一下。
创建命名管道
拖到 IDA。
从进度条长度来看,HTTP beacon 的复杂度并不高(也有可能是我什么都不懂,错的离谱)。
逆向的能力不是很强,所以先随便看看。
我的思路是能不能找到相关 API,如 VirtualAlloc,CreateThread 之类的字符串,或者是参数的字符串也行。所以我就一个一个点开看了一下。
运气比较好的是,在第四个 entry 就找到了。
如图,StartupInfo
是 CreateProcessA
API 的参数。
CreateProcessA
方法原型。
BOOL CreateProcessA(
LPCSTR lpApplicationName,
LPSTR lpCommandLine,
LPSECURITY_ATTRIBUTES lpProcessAttributes,
LPSECURITY_ATTRIBUTES lpThreadAttributes,
BOOL bInheritHandles,
DWORD dwCreationFlags,
LPVOID lpEnvironment,
LPCSTR lpCurrentDirectory,
LPSTARTUPINFOA lpStartupInfo,
LPPROCESS_INFORMATION lpProcessInformation
);
找到了 StartupInfo
,就意味着找到了 CreateProcess
。
接着往下看,不一会儿看到了 GetProcAddress
API。
调用之后检查 eax 返回值,如果是 0 表示成功,跳到 loc_4012A1
。
接着一个一个翻看左边的方法名列表。
在 sub_401795
找到了 CreateThread
方法。看到了默认的 pipe name
。
拼接完成之后,应该是 \\.\pipe\MSSE-XX-server
。
其中 xx
是一个数字跟 ecx 中的数值 (0x26AA -> 9898)做除法运算(实际是取模),最后取了 EDX 中的余数作为 xx
的值。
这里创建了一个线程并执行。看一下到底启动了一个什么样的线程。跟进 sub_401685
,那里是执行代码的起始地址。
再跟进 sub_4015D0
。
所以,上面的 CreateThread
方法,是创建一个命名管道,用来写入和读取数据,命令执行的结果应该就是通过管道来获取的。第一步完成,HTTP Beacon 首先创建了一个命名管道,管道名称就是上面看到的
\\.\pipe\MSSE-XX-server
继续跟进代码,看下一步做了什么操作。
连接命名管道
创建完了命名管道(如果创建成功),紧接着就是执行 ConnectNamedPipe
连接该命名管道。
这里开始网管道里面写数据。
写数据有了,读取在哪里呢?
继续往下找,可以看到这里调用了 CreateFileA
API。
这里 dwCreateionDisposition
设置为 0x3
。
查看官方文档,这个设置是会打开一个已经存在的文件或者设备。
猜想这里是用 CreateFileA
打开了已经创建好的管道。
然后通过 ReadFile
API 读取数据。
唯一可以说明这里打开的文件就是之前创建的管道的指标,就是这个 Buffer (lpFileName)
参数。
双击点进去,可以看到他指向了 sub_4015D0
。
而 sub_4015D0
正是创建命名管道的方法。
进一步可以判定,这个 Buffer
就是管道名,ReadFile
就是读取了该管道的数据。
Beacon HTTP 请求?
接下来,我想找到诸如 IP 地址,端口,从而找到 HTTP 请求的代码。
结果通过 IP 地址找不到。
返回去看 strings
命令的输出,确实没有看到跟 HTTP 或者 Socket 连接相关的方法或者是 DLL。
而如果看一下 msfvenom 生成的 payload。
msfvenom -p windows/x64/meterpreter_reverse_tcp LHOST=127.0.0.1 LPORT=443 -f exe -o msf.exe
strings msf.exe
可以很清楚看到诸如 WSADuplicateSocketA
,WinHTTPConnect
等方法,也看到了 WS2_32.dll
。
有点疑惑。
拖到 windows 机器上用 WinDBG 看一下。
看来 strings
不能列出运行期间会加载的 dll。
在 WindDBG 里面看到了 winhttp.dll
,WS2_32.dll
。
选择 WS2_32.dll
在 recv
API 上打个断点试一下。
bp ws2_32!recv
发送一条命令看一下能不能触发断点。
断点触发了。其实每隔5秒就会触发断点,因为 beacon 会 checkin,就算没有命令可以执行,C2 Server 也会发送相应的 response。
sleep
没有输出。再执行一个 whoami
看一下怎么发送命令结果的。
再次触发断点。单步执行。
今天告一段落,找时间继续。还要验证一下上面所说的读取数据的 CreateFileA
方法。
总结
这篇文章对 Beacon 做了一些比较简单的分析。开个头先,之后还会不断深入。文章来源:https://www.toymoban.com/news/detail-440497.html
KEEP CALM AND HACK AWAY!文章来源地址https://www.toymoban.com/news/detail-440497.html
参考链接
- https://www.ired.team/miscellaneous-reversing-forensics/windows-kernel-internals/windows-x64-calling-convention-stack-frame
- https://learn.microsoft.com/en-us/windows/win32/api/fileapi/nf-fileapi-createfilea
- https://learn.microsoft.com/en-us/windows/win32/api/processthreadsapi/nf-processthreadsapi-createprocessa
- https://learn.microsoft.com/en-us/windows/win32/api/processthreadsapi/nf-processthreadsapi-createthread
- https://learn.microsoft.com/en-us/windows/win32/api/winhttp/nf-winhttp-winhttpconnect
- https://learn.microsoft.com/en-us/windows/win32/api/winsock2/nf-winsock2-wsaduplicatesocketa
- https://learn.microsoft.com/en-us/windows/win32/api/winsock2/nf-winsock2-connect
- https://learn.microsoft.com/en-us/windows/win32/api/winsock2/nf-winsock2-wsastringtoaddressw
- https://decoded.avast.io/threatintel/decoding-cobalt-strike-understanding-payloads/
- https://docs.oracle.com/cd/E19455-01/806-3773/6jct9o0am/index.html#:~:text=div%20executes%20unsigned%20division.,AH%2C%20Dx%2C%20or%20EDX.
到了这里,关于Cobalt Strike Beacon 初探的文章就介绍完了。如果您还想了解更多内容,请在右上角搜索TOY模板网以前的文章或继续浏览下面的相关文章,希望大家以后多多支持TOY模板网!