在线视频地址

Cobalt Strike的配置文件讲解

简介

Beacon是Cobalt Strike为高级攻击者建模的Payload。使用Beacon通过HTTP，HTTPS或DNS出口网络。而且Beacon非常灵活，支持异步和交互式通信。异步通信既低又慢。Beacon将通讯本地，下载任务，然后进入睡眠状态。交互式通信实时发生。

cobalt Strike 的Beacon(信标)的一些Http特征信息可以由C2配置文件进行修改和定制化，所以可定制的C2配置文件可以指定服务端如何发送，接受数据的规律和格式，防止被WAF，IDS对流量进行识别导致被发现。

image

可以在启动cs服务端的时候，指定一个配置文件进行加载

./teamserver [external IP] [password] [/path/to/my.profile]

配置文件详解

检查配置文件

cobalt Strike提供了一个小程序C2lint，用来检查你编写的配置文件是否是可用的，是否有错误，这个程序会检查你的语法是否正确，并且会生成一个简单的交互过程让你预览，cobalt Strike强烈推荐你在正式使用之前用这个小程序来检查一下。

./c2lint [/path/to/my.profile]

编写配置文件

编写一个配置文件最好的方式就是根据现有的配置文件进行修改，现在提供一个github上面的C2-Profiles例子：

https://github.com/rsmudge/Malleable-C2-Profiles

可以看到配置文件大概长这样：

set global_option "value";

protocol-transaction {
    set local_option "value";

    client {
        # customize client indicators
    }

    server {
        # customize server indicators
    }
}

所有的配置信息都是写在{}大括号里面。

例如：

http-get {
        set uri "/fengxuan";
        client {
                metadata {
                        base64;
                        prepend "user=";
                        header "Cookie";
                }
        }
}

这个配置定义了在HTTP协议中Get请求的传输，第一句set uri, 表示，在当请求/fengxuan这个URL的时候，会执行以下的配置。

那么整段配置是什么意思呢？

就是在请求/fengxuan 这个地址的时候，http header中的 user字段里面的内容会进行base64加密然后再进行传输，从这个地址接受的返回包，http header中的 user字段会进行base64解密。

数据传输的标记语法

对标记语法处理的四种方式

其他的选项

编写好的配置文件模板

#
# Etumbot Profile
#   http://www.arbornetworks.com/asert/2014/06/illuminating-the-etumbot-apt-backdoor/
#
# Author: @harmj0y
#
set sample_name "Etumbot";

set sleeptime "5000";
set jitter    "0";
set maxdns    "255";
set useragent "Mozilla/5.0 (compatible; MSIE 8.0; Windows NT 6.1; Trident/5.0)";

http-get {

    set uri "/image/";

    client {

        header "Accept" "text/html,application/xhtml+xml,application/xml;q=0.9,*/*l;q=0.8";
        header "Referer" "http://www.google.com";
        header "Pragma" "no-cache";
        header "Cache-Control" "no-cache";

        metadata {
            netbios;
            append "-.jpg";
            uri-append;
        }
    }

    server {

        header "Content-Type" "img/jpg";
        header "Server" "Microsoft-IIS/6.0";
        header "X-Powered-By" "ASP.NET";

        output {
            base64;
            print;
        }
    }
}

http-post {
    set uri "/history/";

    client {

        header "Content-Type" "application/octet-stream";
        header "Referer" "http://www.google.com";
        header "Pragma" "no-cache";
        header "Cache-Control" "no-cache";

        id {
            netbiosu;
            append ".asp";
            uri-append;
        }

        output {
            base64;
            print;
        }
    }

    server {

        header "Content-Type" "img/jpg";
        header "Server" "Microsoft-IIS/6.0";
        header "X-Powered-By" "ASP.NET";

        output {
            base64;
            print;
        }
    }
}

c2lint检查

这个过程可以检查并且预览交互过程

image

image

注意：有些警告，这个警告有时候会影响运行，不过大多数都不会。

实战

启动服务进行攻击

启动服务并且加载我们的配置文件

image

获取权限

image

WireShark分析流量

分析get流量

image

分析post流量

image

总结

cobalt strike 的配置文件可以进行高级定制化的攻击，有效防止WAF，和IDS的追查。可以达到长期的维持访问，在APT攻击中还是比较重要的。

如果图文看不懂可以看视频