ÈËÉú¾ÍÊDz©XDR£ºÕë¶ÔÃâɱC2¹¤¾ßµÄ³¡¾°»¯¼ì²âÀûÆ÷
Ðû²¼Ê±¼ä 2022-05-09½üÄêÀ´£¬£¬£¬´ó×ڵĺóÉøÍ¸Ê¹Óã¨Post-Exploitation£©¹¤¾ß°ü¡¢×Ô½ç˵¶ñÒâÈí¼þºÍ¿ªÔ´Ô¶³Ì¿ØÖÆÄ¾Âí£¨RAT£©µÈ¾ß±¸¸»ºñµÄ¼ì²â¹æ±ÜÊÖÒպͷ´ËÝÔ´ÄÜÁ¦µÄ¹¤¾ß£¬£¬£¬»îÔ¾ÓÚÖÖÖÖʵս¶Ô¿¹ÑÝÁ·¡¢ÀÕË÷¹¥»÷ÉõÖÁÊǾßÓйú¼ÒÅä¾°µÄAPT¹¥»÷Ö®ÖС£¡£¡£¡£ÈëÇÖÕß¿ÉÒÔÔËÓÃÕâÀ๤¾ß¾ÙÐÐÖÕ¶ËÐÐΪÒÔ¼°ÍøÂçͨѶÁ÷Á¿µÄÃâɱ¡£¡£¡£¡£
ÔÚÕâÀà¾ÓÉÉî¶ÈˢеÄÃâɱC2¹¤¾ßÑÛǰ£¬£¬£¬ÆÈÇÐÐèÒªÔ½·¢Ç¿Ê¢µÄÐͬ×÷սϵͳÀ´Ó¦¶Ô¡£¡£¡£¡£ÈËÉú¾ÍÊDz©XDR¼Æ»®ÊÇÒÔ½ôñîºÏ·½·¨ÊµÏÖ¿ìËÙÍþв¼ì²âºÍÏìÓ¦µÄ¹¤¾ß¼¯£¬£¬£¬Í¨¹ýÍêÕûÁýÕÖÖÕ¶ËÍþв¼ì²âÓëÏìÓ¦£¨EDR£©¡¢¼ÓÃÜËíµÀ¼ì²â¡¢È«Á÷Á¿È¡Ö¤ÆÊÎö¡¢É³ÏäÑùÌìÖ°Îö¡¢¹¥»÷Á´»¹ÔµÈ½¹µãÄÜÁ¦£¬£¬£¬ÓÐÓüì²âºÍ×èµ²Ö÷Á÷ÃâɱC2¹¤¾ß¡£¡£¡£¡£
±¾ÎÄÒÔCobalt StrikeΪÀý£¬£¬£¬¿´ÈËÉú¾ÍÊDz©XDR¼Æ»®ÔõÑù¾«×¼ÄÃÄóËü¡£¡£¡£¡££¨Cobalt Strike×÷Ϊһ¿îÉøÍ¸²âÊÔ¹¤¾ß£¬£¬£¬¼¯³ÉÁ˶àÖÖ¹¦Ð§£¬£¬£¬ÓÖÉÆÓÚ¡°ÍÅÕ½¡±£¬£¬£¬±»Òµ½çÈ˳ÆÎªCSÉñÆ÷¡£¡£¡£¡££©
¡°Öն˲à+ÍøÂç²à¡±Ë«¹ÜÆëÏ ¾«×¼×èµ²ÖÖÖÖÏÂÔØÐÐΪ
Cobalt Strike½«ÈëÇÖÖ´ÐеÄÄÚÈÝpayload²ð·ÖΪÁ½²¿·Ö£¬£¬£¬¼´stagerºÍstage£¨Ò²¾ÍÊÇbeacon£©¡£¡£¡£¡£stagerͨ³£ÊǾÓÉÊÖ¹¤ÓÅ»¯µÄ»ã±àÖ¸Á£¬£¬ÓÃÓÚÏÂÔØshellcode£¬£¬£¬½âÃܳöbeacon²¢×¢ÈëÄڴ棬£¬£¬ÓÉbeaconÈÏÕæºóÐøµÄC&CÏà¹ØÊÂÇ飬£¬£¬Õû¸öÀú³Ì±»³ÆÎª¡°staging¡±¡£¡£¡£¡£
¹ØÓÚÏÂÔØÆ÷stager£¬£¬£¬ÈËÉú¾ÍÊDz©XDR¼Æ»®ÖеÄÁ÷Á¿¼ì²â¼°É³Ïä¼ì²â¹¦Ð§¿ÉÒÔ׼ȷʶ±ð´ó²¿·Östager¼°shellcodeµÄÏÂÔØÐÐΪ¡£¡£¡£¡£
È»¶ø£¬£¬£¬ÂÄÀúÀϵÀµÄÈëÇÖÕßͨ³£²»»áʹÓøù¥»÷¿ò¼ÜÔÉúµÄstager£¬£¬£¬¶øÊÇʹÓÃ×Ô¼º¿ª·¢µÄ¹¤¾ßÌæ»»stagerÏÂÔØÖ´ÐÐbeacon¡£¡£¡£¡£
ÃæÁÙÕâÖÖÇéÐΣ¬£¬£¬ÈËÉú¾ÍÊDz©XDR¼Æ»®¿ÉÒÔ´ÓÖն˲à¾ÙÐмì²â×èµ²¡£¡£¡£¡£stagerÔÚÂ䵨Àú³ÌÖÐÒ»Ñùƽ³£¶¼»áÓÐshellcodeÏÂÔØ¡¢ÎļþÂ䵨¡¢ÄÚ´æ×¢ÈëÐÐΪ¡£¡£¡£¡£ÈËÉú¾ÍÊDz©EDRͨ¹ý¹¹½¨ÖÕ¶ËÐÐΪ»ùÏߣ¬£¬£¬¶ÔÕâÀàʱÐò¹ýʧÐÐΪ¡¢»ùÏ߯«ÀëÐÐΪ¾ÙÐмì²â·À»¤£¬£¬£¬²¢ÒÀ¸½×ÔÉíÓÐÓÃÀú³Ì¼¶¼à¿ØÊÕÂÞÓëÍþвÑÐÅÐÄÜÁ¦£¬£¬£¬¹¹½¨ÖÕ¶ËÉϰ¶Á÷Ë®¡¢Àú³Ì¿ìÕÕ¡¢ÕʺſìÕյȣ¬£¬£¬ÊµÊ±·¢Ã÷ÕÊ»§ÌáȨ¼°Àú³ÌÌáȨÐÐΪ¡¢Ô¤¾¯Î£º¦µã¡¢ÍêÉÆÊÕÂÞÐÅÏ¢£¬£¬£¬ÎªºóÐøÍþвËÝÔ´ÌṩÓÐÁ¦Ö§³Ö¡£¡£¡£¡£
»úеѧϰÖúÁ¦ ¾«×¼Ê¶±ð¼ÓÃÜËíµÀ
Cobalt Strike BeaconÂ䵨ºó£¬£¬£¬»á½¨ÉèC2ËíµÀ£¬£¬£¬°´ÆÚ·¢ËÍÐÄÌø°üÓëЧÀÍÆ÷ͨѶ£¬£¬£¬ÆÚ´ý»ñÈ¡ºóÐøÈëÇÖÖ¸Áî¡£¡£¡£¡£ÔÚÖն˲࣬£¬£¬ÈËÉú¾ÍÊDz©EDRͨ¹ýÏÂÁîÖ´ÐÐÄÚÈÝÑÐÅм°·´µ¯ÅþÁ¬ÐÐΪÑÐÅУ¬£¬£¬¶ÔC2ËíµÀÒ»Á¬¼à¿ØºÍʵʱԤ¾¯£»£»£»£»£»ÔÚÍøÂç²à£¬£¬£¬ÈËÉú¾ÍÊDz©XDR¼Æ»®ÖеÄÁ÷Á¿¼ì²âÒýÇæ¿É¶Ô¸ß¶È¶¨ÖÆ»¯µÄHTTP Beacon¡¢HTTPS Beacon¼°DNS Beacon¾ÙÐÐÓÐÓüì²â¡£¡£¡£¡£
¹ØÓÚHTTP Beacon£¬£¬£¬ÈëÇÖÕß¿ÉÒÔ×ÔÓɵØÐÞ¸ÄÉèÖÃÎļþÀ´¾ÙÐи߶È×Ô½ç˵»¯µÄÉèÖ㬣¬£¬ÉõÖÁ¿ÉÒÔ½«Í¨Ñ¶Á÷Á¿Î±×°³ÉÆäËüÕý³£Ó¦ÓÃÍøÕ¾µÄ»á¼ûÁ÷Á¿£¬£¬£¬ÒÔ¹æ±ÜÁ÷Á¿Çå¾²Éó²éºÍ¼ì²â¡£¡£¡£¡£ÈËÉú¾ÍÊDz©XDR¼Æ»®Í¨¹ý·º»¯´¦Öóͷ£ÇëÇóÍ·µÄ²î±ð²¿·Ö£¬£¬£¬ÈçÇëÇóÒªÁìmethod¡¢url½á¹¹¡¢ÇëÇóÍ·ÜöÝ͵ȣ¬£¬£¬¾ÛÀà³öHTTP BeaconµÄÇëÇóÄ£°å£¬£¬£¬²¢Æ¾Ö¤Ã¿¸öÄ£°å×é¼þµÄ·ºÆðƵÂÊ£¬£¬£¬·ÖÅɲî±ð·ÖÖµ¡£¡£¡£¡£Í¬Ê±Á¬ÏµÊ¢ÐÐÎªÌØÕ÷ÅÌËãÊ¢ÐÐΪ·ÖÖµ¡£¡£¡£¡£×îºóƾ֤ÇëÇóÄ£°å¡¢Ê¢ÐÐΪµÄ¸÷×ÔÈ¨ÖØ×ö³ö×ÛºÏÅжϣ¬£¬£¬»ñµÃ·º»¯ÄÜÁ¦½ÏÇ¿µÄHTTP Beacon¼ì²âÄ£×Ó¡£¡£¡£¡£
¹ØÓÚHTTPS Beacon£¬£¬£¬ÈëÇÖÕß»á½èÖúCDN½ÓÈëЧÀÍ»òÓòǰÖÃÊÖÒÕ½«Á÷Á¿×ªÖÁÕæÊµC2ЧÀÍÆ÷£¬£¬£¬ÒÔ¹æ±ÜÁ÷Á¿Éó²é¡£¡£¡£¡£ÈËÉú¾ÍÊDz©XDR¼Æ»®Í¨¹ýÖ¸ÎÆ¡¢SNI¡¢Ö¤Ê顢ʢÐÐΪµÈ¶à¸öά¶ÈÕë¶Ô´ó×Ú¶ñÒâÁ÷Á¿¾ÙÐÐѧϰ£¬£¬£¬ÓÐÓÃʶ±ðʹÓÃCDN¡¢Ãâ·ÑÖ¤Êé¡¢APIµÈ·½·¨µÄHTTPS Beacon£¬£¬£¬²¢¶ÔÓòǰÖÃÊÖÒÕ¾ÙÐÐÉîÈëÑо¿£¬£¬£¬ÌáȡͨÓÃÓòǰÖÃʶ±ðÒªÁ죬£¬£¬ÄÜ×î´óÏ޶ȼì²âÓòǰÖÃÈëÇÖ¡£¡£¡£¡£
¹ØÓÚDNS Beacon£¬£¬£¬ÈëÇÖÕßͨ¹ý½ÓÊÜij¸öÓòÃûÆÊÎö£¬£¬£¬Ê¹µÃ¶Ô¸ÃÓòÃûµÄËùÓÐ×ÓÓòÆÊÎöÇëÇó×îÖÕµÖ´ïC2ЧÀÍÆ÷ÉÏ£¬£¬£¬´ËºóʹÓÃDNSÇëÇóºÍÏìÓ¦À´³ÐÔØ¾ÓɱàÂë»ò¼ÓÃܵÄÊý¾ÝÄÚÈÝ¡£¡£¡£¡£ÈËÉú¾ÍÊDz©XDR¼Æ»®Õë¶ÔDNSËíµÀÓëÕý³£DNSÇëÇóµÄ²î±ðÐÔ£¬£¬£¬È磺ÇëÇó¾Þϸ¡¢ÇëÇóÓòÃû¡¢ÇëÇó¾àÀ롢Ƶ´ÎµÈ¶à¸öά¶È³éÈ¡ÌØÕ÷ÏòÁ¿¾ÙÐлúеѧϰʶ±ð£¬£¬£¬»ñµÃ·º»¯ÄÜÁ¦½ÏÇ¿µÄDNS Beacon¼ì²âÄ£×Ó¡£¡£¡£¡£
ÍêÕû»¹Ô¹¥»÷Á´ ÈëÇÖ×ã¼£ÎÞ´¦¶ÝÐÎ

ÈËÉú¾ÍÊDz©XDR¼Æ»®ÒÀ¸½¶ÀÍ̵Ĺ¥»÷Á´»¹Ô¹¦Ð§£¬£¬£¬Í¨¹ýÏßË÷·¢Ã÷¡¢À©Ïß¹ØÁª¡¢¹¥»÷Ä£×ÓÓ³ÉäÈý¸öÖ÷Òª°ì·¨£¬£¬£¬×ÊÖúÓû§¿ÉÊÓ»¯»¹Ô³öÍêÕûµÄ¹¥»÷Á´Â·Í¼£¬£¬£¬ÕÒµ½ÈëÇÖ·¾¶¼°ÏµÍ³Å³ÈõÐÔ»·½Ú£¬£¬£¬¿ìËÙÏàʶÔì³ÉÈëÇÖÊÂÎñµÄÔµ¹ÊÔÓÉ¡¢¹¥»÷Ô´¡¢ºóÐø²Ù×÷¡¢Ëðʧ¹æÄ££¬£¬£¬¾«×¼ÆÊÎöÈëÇÖÊÂÎñ£¬£¬£¬ÏêϸÃè»æÈëÇÖÊÖ·¨£¬£¬£¬Õ¹ÍûÈëÇÖÕßÄ¿µÄÓëÍýÏë¡£¡£¡£¡£
ÏßË÷·¢Ã÷¼´È·¶¨ÐÔÏßË÷ºÍ·ÇÈ·¶¨ÐÔÏßË÷µÄ¹ØÁªÀú³Ì¡£¡£¡£¡£È·¶¨ÐÔÏßË÷¼´ÍøÂç²à¡¢Öն˲àÈ·¶¨ÈëÇÖÀֳɲ¢ÇÒÄÜÏ໥ӡ֤µÄ׼ȷÏßË÷¡£¡£¡£¡£·ÇÈ·¶¨ÐÔÏßË÷¼´ÔÚÍøÂç²à¡¢Öն˲෢Ã÷µÄ²»¿ÉÈ·¶¨ÊÇ·ñÈëÇÖÀֳɵĸ¨ÖúÏßË÷¡£¡£¡£¡£È·¶¨ÐÔÏßË÷Óë·ÇÈ·¶¨ÐÔÏßË÷¾ÙÐÐÀ©Ïß¹ØÁªºó£¬£¬£¬ÈËÉú¾ÍÊDz©XDR¼Æ»®»áƾ֤ʱ¼ä¡¢ÈëÇÖÕßÊܺ¦Õß¹ØÏµ¡¢ATT&CKÄ£×ÓÓ³ÉäÄâºÏµÈ½«¸÷¸öÀ©ÏßÍê³ÉµÄ¹¥»÷ÏßË÷´®Áª³ÉÍêÕûµÄ¹¥»÷Á´£¬£¬£¬ÔÙÁ¬ÏµÈ˹¤È·ÈÏ¡¢¼ôÖ¦µÈ´¦Öóͷ£Àú³Ì×îÖÕÐγɶÔÕû¸öÈëÇÖÊÂÎñµÄÐÎò¡£¡£¡£¡£
ÈËÉú¾ÍÊDz©XDR¼Æ»®¼áÊØÁ¢Ò죬£¬£¬Õë¶Ôî¿Ïµ²à¡¢¹Ø»ù¡¢¹¤Òµ»¥ÁªÍø¡¢Õþ¸®¡¢¼¯ÍÅÐÍÆóÒµµÈÖØµãÓ¦Óó¡¾°µÄ¸ß¼¶Íþв¼ì²âÓë·À»¤ÐèÇ󣬣¬£¬Í¨¹ýÕûºÏÍøÂç²à¼°Öն˲àÊÂÎñºÍÇ鱨ÐÅÏ¢£¬£¬£¬×ÛºÏʹÓÃ×Ô¶¯È¡Ö¤ºÍÍØÏßÊÖÒÕ£¬£¬£¬ÒÔϵͳ»¯·½·¨ÊµÏֶԸ߼¶Íþв»òÈëÇֵĿìËÙ¾«×¼¼ì²âºÍÏìÓ¦£¬£¬£¬½øÒ»²½Ìá¸ßÓû§µÄ×ÝÉî·ÀÓùЧ¹û¡£¡£¡£¡£


¾©¹«Íø°²±¸11010802024551ºÅ