背景
RTO I 的课程结束了，Cobalt Strike 算是会用了。然后继上一篇文章之后，我还没有机会用 Cobalt Strike Beacon 做一下 Windows Defender Bypass。之后会写。
另外，我也想问一下我自己，Cobalt Strike 里面最基本的 payload - beacon，你了解清楚了吗？
所以今天，我就花点时间给自己解惑，同时也提出更多问题往后深入。
接下来先对 Beacon 做下逆向，看一下 HTTP Beacon 大致上都做了什么。
Beacon
创建一个基于 HTTP Listener 的 64位 beacon。
看一下文件格式，64位 PE 文件。
看到 PE 头。
xxd beacon.exe | less -S
这一段 bOb 很有意思，可以用作 Signature Detection 吗？
strings 一下看到了使用了哪些方法。
使用了哪些 dll。
在 IDA 里具体看一下。
创建命名管道
拖到 IDA。
从进度条长度来看，HTTP beacon 的复杂度并不高（也有可能是我什么都不懂，错的离谱）。
逆向的能力不是很强，所以先随便看看。
我的思路是能不能找到相关 API，如 VirtualAlloc，CreateThread 之类的字符串，或者是参数的字符串也行。所以我就一个一个点开看了一下。
运气比较好的是，在第四个 entry 就找到了。
如图，StartupInfo 是 CreateProcessA API 的参数。
CreateProcessA 方法原型。
BOOL CreateProcessA(
LPCSTR lpApplicationName,
LPSTR lpCommandLine,
LPSECURITY_ATTRIBUTES lpProcessAttributes,
LPSECURITY_ATTRIBUTES lpThreadAttributes,
BOOL bInheritHandles,
DWORD dwCreationFlags,
LPVOID lpEnvironment,
LPCSTR lpCurrentDirectory,
LPSTARTUPINFOA lpStartupInfo,
LPPROCESS_INFORMATION lpProcessInformation
);
找到了 StartupInfo，就意味着找到了 CreateProcess 。
接着往下看，不一会儿看到了 GetProcAddress API。
调用之后检查 eax 返回值，如果是 0 表示成功，跳到 loc_4012A1。
接着一个一个翻看左边的方法名列表。
在 sub_401795 找到了 CreateThread 方法。看到了默认的 pipe name。
拼接完成之后，应该是 \\.\pipe\MSSE-XX-server。
其中 xx 是一个数字跟 ecx 中的数值 （0x26AA -> 9898）做除法运算（实际是取模），最后取了 EDX 中的余数作为 xx 的值。
这里创建了一个线程并执行。看一下到底启动了一个什么样的线程。跟进 sub_401685，那里是执行代码的起始地址。
再跟进 sub_4015D0。
所以，上面的 CreateThread 方法，是创建一个命名管道，用来写入和读取数据，命令执行的结果应该就是通过管道来获取的。第一步完成，HTTP Beacon 首先创建了一个命名管道，管道名称就是上面看到的
\\.\pipe\MSSE-XX-server
继续跟进代码，看下一步做了什么操作。
连接命名管道
创建完了命名管道（如果创建成功），紧接着就是执行 ConnectNamedPipe 连接该命名管道。
这里开始网管道里面写数据。
写数据有了，读取在哪里呢？
继续往下找，可以看到这里调用了 CreateFileA API。
这里 dwCreateionDisposition 设置为 0x3。
查看官方文档，这个设置是会打开一个已经存在的文件或者设备。
猜想这里是用 CreateFileA 打开了已经创建好的管道。
然后通过 ReadFile API 读取数据。
唯一可以说明这里打开的文件就是之前创建的管道的指标，就是这个 Buffer (lpFileName) 参数。
双击点进去，可以看到他指向了 sub_4015D0。
而 sub_4015D0 正是创建命名管道的方法。
进一步可以判定，这个 Buffer 就是管道名，ReadFile 就是读取了该管道的数据。
Beacon HTTP 请求?
接下来，我想找到诸如 IP 地址，端口，从而找到 HTTP 请求的代码。
结果通过 IP 地址找不到。
返回去看 strings 命令的输出，确实没有看到跟 HTTP 或者 Socket 连接相关的方法或者是 DLL。
而如果看一下 msfvenom 生成的 payload。
msfvenom -p windows/x64/meterpreter_reverse_tcp LHOST=127.0.0.1 LPORT=443 -f exe -o msf.exe
strings msf.exe
可以很清楚看到诸如 WSADuplicateSocketA，WinHTTPConnect 等方法，也看到了 WS2_32.dll。
有点疑惑。
拖到 windows 机器上用 WinDBG 看一下。
看来 strings 不能列出运行期间会加载的 dll。
在 WindDBG 里面看到了 winhttp.dll，WS2_32.dll。
选择 WS2_32.dll 在 recv API 上打个断点试一下。
bp ws2_32!recv
发送一条命令看一下能不能触发断点。
断点触发了。其实每隔5秒就会触发断点，因为 beacon 会 checkin，就算没有命令可以执行，C2 Server 也会发送相应的 response。
sleep 没有输出。再执行一个 whoami 看一下怎么发送命令结果的。
再次触发断点。单步执行。
今天告一段落，找时间继续。还要验证一下上面所说的读取数据的 CreateFileA 方法。
总结
这篇文章对 Beacon 做了一些比较简单的分析。开个头先，之后还会不断深入。文章来源：https://www.toymoban.com/news/detail-440497.html
KEEP CALM AND HACK AWAY！文章来源地址https://www.toymoban.com/news/detail-440497.html
参考链接
- https://www.ired.team/miscellaneous-reversing-forensics/windows-kernel-internals/windows-x64-calling-convention-stack-frame
- https://learn.microsoft.com/en-us/windows/win32/api/fileapi/nf-fileapi-createfilea
- https://learn.microsoft.com/en-us/windows/win32/api/processthreadsapi/nf-processthreadsapi-createprocessa
- https://learn.microsoft.com/en-us/windows/win32/api/processthreadsapi/nf-processthreadsapi-createthread
- https://learn.microsoft.com/en-us/windows/win32/api/winhttp/nf-winhttp-winhttpconnect
- https://learn.microsoft.com/en-us/windows/win32/api/winsock2/nf-winsock2-wsaduplicatesocketa
- https://learn.microsoft.com/en-us/windows/win32/api/winsock2/nf-winsock2-connect
- https://learn.microsoft.com/en-us/windows/win32/api/winsock2/nf-winsock2-wsastringtoaddressw
- https://decoded.avast.io/threatintel/decoding-cobalt-strike-understanding-payloads/
- https://docs.oracle.com/cd/E19455-01/806-3773/6jct9o0am/index.html#:~:text=div%20executes%20unsigned%20division.,AH%2C%20Dx%2C%20or%20EDX.
到了这里，关于Cobalt Strike Beacon 初探的文章就介绍完了。如果您还想了解更多内容，请在右上角搜索TOY模板网以前的文章或继续浏览下面的相关文章，希望大家以后多多支持TOY模板网！
