Cobalt Strike剖析及免杀系列（四）CSbeacon端大马dll详解 - 〖系统安全〗

z3960

级别: 茶馆馆主

发帖: 770867

飞翔币: 207694

威望: 215657

飞扬币: 2511641

信誉值: 8

只看楼主更多操作 0 发表于: 2022-09-19

样本信息：MD5: 2f330d8eca0bfd3eb074352bbb27dba0SHA1: c7dc77dbd94d2ea96e8f7a6dfec980478d5d5c6dSHA256: 6daa192e9726a0a614d10b45ed1cb16c3330e0cee55a8f9bdf7ec8f696b918b4前面几篇大概已经讲过关于小马payload的分析，关于后面dll的定位不过多赘述，前面定位到payload的virtualalloc函数之后通过返回值确定后面http拿到的dll的地址。之前的文章说过传送来的dll前面会是一段加密，来解密后面的dll内容，下面是alloc申请到的首地址，也就是dll前面的加密程序。

顺着指令流往下走就ok，来到解密部分，下断点运行

前面解密不多说了，直接下到dllmain入口的断点

往上找pe标志mz

定位到复制后面数据到010editor中，生成新的pe文件，此文件就是cs的dll大马。

Dll大马定位就简略说这些，后面就直接ida对源码分析，这里命名为k.dll。首先分析大马内容，主模块每个case应该每个都会有网络请求，所以ida导入表定位httprequest函数。

查看request函数的交叉访问

查看最多分分支模块，模块上下文大概就是大马的主要业务部分，来到下面switch/case内容，大概是101条策略。

继续做交叉，返回到调用函数，因为对switch做判断所以，大概率是cs控制端发的控制请求，所以注意第三个参数为switch判断内容

继续向上分析

这边上面部分函数就是cs控制端初始化switchflag分支条件了

后面就是src就是前面switchflag分支标志的网络请求模块，这次的文章就主要挑前面主机通信过程说一下，后面beacon端的行为动作一百多个就不去一一做分析了

开始代码dll判断内存块查看先不去管，直接到sub_100131b，前面说了里面是有一个cs服务器交互模块的，我们看前面

刚开始的几个函数初始化buffer，一个是send的一个是recv的，由于这边的cs我们用的httplistener所以这次的分析只针对http传送后面dns类似但使用子域名的方式传送，对于buffer，cs使用数组，0号位置是buffer地址，1号位置是2参数位置截断地址，后面分别是buffer的size和截断的size来到下面

这部分函数主要是初始化一些cs控制端的属性特征，像端口，url，还有一些其他的运行过程中的配置属性。

下面一直到91都是对属性的一些初始化91以后是beacon与cs控制端的命令交互环节，也就是cs beacon>后面输入的命令执行循环，循环过程sleep心跳作为while条件然后一些基础代码就不说了，这边的重点来到cs 通信过程。

这些前面的第一个换行块函数做buffer初始化，然后下面注释网络连接的是初始化网络来到103进入函数

一段前置函数，深度继续到HttpSend

这段是通信过程的关键代码，这边cs 的http还是像shellcode的网络请求相同，使用内置http请求路径然后通过post请求体携带数据。这边对cs源码还没做逆向分析，不过根据beacon的通讯逻辑大概判断cs控制端将数据写入文件，然后beacon通过读取服务器上的文件内容作为命令传送再通过tcp的socket recv函数作为线程wait等待服务器send继续执行，下面是recv的部分代码