逆向分析Cobalt Strike安装后门

Cobalt Strike是一款基于java的渗透测试神器，也是红队研究人员的主要武器之一，功能非常强大，非常适用于团队作战，Cobalt Strike集成了端口转发、服务扫描，自动化溢出，多模式端口监听，win exe木马生成，win dll木马生成，java木马生成，office宏病毒生成，木马捆绑；钓鱼攻击包括：站点克隆，目标信息获取，java执行，浏览器自动攻击等，至于Cobalt Strike详细怎么玩，我就不介绍了，网上很多教程，功能也很强大，我主要想从逆向的角度去分析一下Cobalt Strike安装后门的技术原理，跟踪一下它是如何与服务器进行连接，并安装Beacon后门模块的。

测试环境：

1.服务端 kali  用于Cobalt Strike服务端

2.攻击机 win7  用于Cobalt Strike客户端

3.测试机 win7  测试安装Cobalt Strike的后门程序

工具

Cobalt Strike 4.1中文版

启动Cobalt Strike服务器，如下所示：

启动Cobalt Strike客户端，生成EXE后门，如下所示：

Cobalt Strike监听器的Payload可以自定义设置，我这里以Beacon HTTP为例，如下所示：

生成EXE后门之后在测试机上运行，客户端会提示有主机上线，开启beacon操作接口，如下所示：

后面就可进行各种操作了，这里就不介绍了，教程很多，也有很多不同的玩法，我主要对生成的EXE比较感兴趣，重点研究一下生成的EXE，是怎么运行的。

1.拼接字符串，如下所示：

2.创建线程，连接管道，如下所示：

3.通过VirtualAlloc分配内存空间，解密shellcode代码，如下所示：

4.解密出来shellcode代码，如下所示：

5.跳转执行解密出来的shellcode代码，如下所示：

6.shellcode代码，加载wininet.dll，如下所示：

7.调用InternetOpenA，InternetConnectA等函数连接服务器，如下所示：

8.调用HttpOpenRequestA，HttpSendRequestA等函数向服务器发送连接请求，如下所示：

9.调用VirtualAlloc分配内存空间，存放返回的数据，如下所示：

10.通过InternetReadFile循环读取服务器返回的数据，如下所示：

11.从服务器上返回的数据，如下所示：

分析返回的数据，为Cobalt Strike反射型注入后门模块beacon.dll，如下所示：

这样beacon的后装模块就安装成功了，就是之前我们在客户端上通过beacon的后门模块进行后面的操作了。

通过动态跟踪分析发现Cobalt Strike的Revere HTTP的ShellCode执行流程，如下所示：

wininet.dll->InternetOpenA->InternetConnectA->HttpOpenRequestA->HttpSendRequestA->VirtualAlloc->InternetReadFile，反射加载执行返回的beacon.dll后门模块。

上面对Cobalt Strike的Bean HTTP Reverse的Payload的实例进行了逆向分析，其他的Payload模块可以使用相同的方法进行跟踪分析，就不做介绍了，可自行进行深入的研究，其实做安全到最后都是相通的，基础安全研究才是安全的核心。

做安全不忘初心，方得始终，只要你做的事是对社会有意义的，能帮助别人就是有价值的事，就一定要坚持做到底，最后都会有回报，前段时间笔者获得了江苏省信息网络安全协会2019年的优秀个人奖，非常感谢协会朋友对笔者的认可，如何做一家伟大的企业，我觉得伟大的企业，一定是对客户，对社会，对国家，或者更大一点说是对全人类有贡献有帮助的企业，当你的客户提起你的企业的时候，会从内心觉得这家企业是做实事的，觉得你的产品和服务，实实在在地帮助他们解决了一些问题，给他们创造了一些价值，这样你就自然而然的会赚到钱，赚钱永远不是伟大企业的目标，只要是做对社会有贡献的事，对别人有帮助的事，让客户信任你的产品，满意你的服务，相信你的专业，就一定能赚到钱，伟大的企业，在别人的眼中，肯定不仅仅只是一家只会赚钱的企业，当你能真正帮助到企业，就一定可以赚到钱，客户也愿意与你合作，也愿意花钱购买你的产品和服务，只这样的企业将来才能越做越大，越做越强，最后成为一家伟大的企业，受到客户的尊敬。

坚持做对社会有贡献的事，坚持做对别人有帮助的事，身为一个安全研究人员，要不忘初心，当国家有需要的时候，有时间和机会一定要为国家网络安全事业尽自己的一点微薄之力，全球网络安全战已经开始，未来需要更多专业的安全研究人员，一起努力，共同进步。

最后打个小广告：

主管前几天跟我说还要招一到两名安全研究人员，如果你对恶意样本研究感兴趣，想从事最基础的安全研究工作，可以投简历给我，或微信与我联系，我们聊聊，我们一直做的就是最基础的安全研究，基础安全研究是安全的核心，就像很多人称自己做了好多年的安全，其实并不懂安全，主要还是基础安全研究做的少，做安全万变不离其余，其实做到最后都是相通的，沉下心来，做基础安全研究，将来才能走的更远，做安全永远在路上，没有终点。

往期推荐

安全的路很长，致迷茫的你

浅谈二进制漏洞研究与病毒研究