Cobaltstrike二开系列（四）

微信公众号：BateSec
为国之安全而奋斗，为信息安全而发声！
如有问题或建议，请在公众号后台留言
如果你觉得本文对你有帮助，欢迎关注本公众号，后期会不定时公布二开细节

特征修改

书接上文，确定了特征位置，开始针对各个特征进行修改

根据以上能得出，需要修改源码的特征为以下几个

1.基于工具服务器默认特征的角度
2.规避基于Ip测绘的角度
3.尝试基于流量本身的特点
4.chechsum8
5.JA3/S & JARM

基于工具服务器默认特征的角度

将符合cs服务器特征（默认证书，默认端口）的ip加入到情报库，seebug上看到一篇文章讲如何用Cobalt Strike绕过流量审计设备，里面讲到三种去除cs特征的方式，修改默认端口，修改默认证书，修改默认dns。在攻击者修改掉默认配置后，检测方法失效。

通过修改teamserver 能修改默认特征

java -XX:ParallelGCThreads=4 -Dcobaltstrike.server_port=50050 -Dcobaltstrike.server_bindto=0.0.0.0 -Djavax.net.ssl.keyStore=./cobaltstrike.store -Djavax.net.ssl.keyStorePassword=Microsoft -server -XX:+AggressiveHeap -XX:+UseParallelGC -classpath ./cs.jar server.TeamServer $*

自行修改就可以

基于Ip测绘的角度

首先了解IP测绘探测原理（网络空间测绘）

通过探测报文进行协议识别

通常应用程序会默认使用某个固定端口号，但通过端口号直接映射协议是不准确的。因此，在通过端口扫描发现开放的TCP/UDP端口后，需要向其发送探测报文（Probe），并对响应（Response，也称为Banner）进行解析识别，从而确定具体的服务协议。

空探测报文

探测B类协议，建立连接后不用发送任何信息，等待远程直接回复即可。以典型的ssh协议为例，通过netcat建立TCP连接。

$ nc 192.168.1.1 22
SSH-2.0-OpenSSH_7.2p2 Ubuntu-4ubuntu2.8

从返回的Banner可得知，协议为ssh，应用软件为OpenSSH，应用版本号7.2p2，操作系统为Ubuntu。

HTTP协议探测报文

最为常见的便是http协议，发送最简单的HTTP请求进行探测。

$ echo "GET / HTTP/1.1\r\nHost: localhost\r\n\r\n" | nc localhost 80
HTTP/1.1 200 OK
Server: nginx/1.21.1
Date: Mon, 06 Sep 2021 13:54:53 GMT
Content-Type: text/html
Content-Length: 612
Last-Modified: Tue, 06 Jul 2021 14:59:17 GMT
Connection: keep-alive
Accept-Ranges: bytes
...
...
Thank you for using nginx.

提取更多属性

以etcd应用为例，该应用默认通过2379端口提供HTTP API服务。当访问根路径时，返回的是不带其他特征信息的404 Not Found。

$ echo "GET / HTTP/1.1\r\nHost: localhost\r\n\r\n" | nc localhost 2379
HTTP/1.1 404 Not Found
Content-Type: text/plain; charset=utf-8
X-Content-Type-Options: nosniff
Date: Mon, 06 Sep 2021 14:30:29 GMT
Content-Length: 19 
404 page not found

我们可以了解到这是一个http协议的服务。但如果对该应用多一分了解，可以知道访问/version路径时，etcd应用将会返回应用名称及版本好。从下面返回的Banner信息可以得知，应用为“etcdserver”，版本号为3.3.11。

$ echo"GET /version HTTP/1.1\r\nHost: localhost\r\n\r\n" | nc localhost2379
HTTP/1.1200 OK
Content-Type: application/json
Date: Mon,06 Sep202114:32:13 GMT
Content-Length:45
{"etcdserver":"3.3.11","etcdcluster":"3.3.0"}

https证书信息探测

对于https站点来说，通过其证书信息还可以进一步挖掘更多有价值的信息。在下面的例子中，可以通过证书信息了解到站点所在国家、省、市以及所属公司。

$openssl s_client -connect qq.com:443
CONNECTED(00000006)
depth=2 C = US, O = DigiCert Inc, OU = www.digicert.com, CN = DigiCert Global Root CA
verifyreturn:1
depth=1 C = US, O = DigiCert Inc, CN = DigiCert Secure Site CN CA G3
verifyreturn:1
depth=0 C = CN, ST = Guangdong Province, L = Shenzhen, O = Shenzhen Tencent Computer Systems Company Limited, CN = roll.news.qq.com
verifyreturn:1
---
Certificatechain
0s:/C=CN/ST=Guangdong Province/L=Shenzhen/O=Shenzhen Tencent Computer Systems Company Limited/CN=roll.news.qq.com
i:/C=US/O=DigiCert Inc/CN=DigiCert Secure Site CN CA G3
1s:/C=US/O=DigiCert Inc/CN=DigiCert Secure Site CN CA G3
i:/C=US/O=DigiCert Inc/OU=www.digicert.com/CN=DigiCert Global Root CA
---

逃避ip测绘

fireeye的研究文章里提到该方式， 针对3.13以前版本在zoomeye里通过如下语法搜索 "HTTP/1.1 404 Not Found Date:" +"GMT Content-Type: text/plain Content-Length: 0" -"Connection:” ，基于其服务器的相应包的特点可以判断该服务器为cs。

HTTP/1.1 404 Not Found
Content-Type: text/plain
Date: Day, DD Mmm YYYY HH:MM:SS GMT
Content-Length: 0

这个特征最为明显可以通过修改源码，修改此特征

源码位置：

cloudstrike/WebServer.java

修改404 通过搜索404修改为别的参数，还可以利用

通过修改teamserver 能修改默认特征
0

将代码中的404修改为别的返回值，这样空间测绘得到的值为你修改的值，即可逃避空间搜索引擎标记

尝试基于流量本身的特点

通过修改porfile文件

构造不同的请求与响应即可绕过流量检测

通过修改teamserver 能修改默认特征
1

chechsum8

运行staging模式的pe文件，会向指定服务器的checksum8路径发起请求来下载stage。

可以修改源码修改，也可以通过修改porfile文件

建议大家直接用修改porfile文件

JA3/S & JARM

这是一类根据Java版本、Web服务器、TLS版本等多因素TLS握手包生成指纹的方法，具体介绍及工具可参考jarm。

目前主要用于识别的CS的JARM指纹是07d2ad16d21d21d07c42d41d00041d24a458a375eef0c576d23a7bab9a9fb1，利用这个指纹去识别其实也会包含不少像Tomcat、Weblogic这类的JavaWeb服务器。且该指纹是基于JDK11，如果用JDK13去跑CS则会得到不一样的指纹。

引用

通过修改teamserver 能修改默认特征
2

反馈和交流

欢迎各位师傅进群交流，我们也会长期维护
添加微信回复加群

即可加入CS二开群

如果感觉不错，欢迎给项目点个Star或者分享给其他师傅