从剖析CS木马生成到开发免杀工具的过程是怎样的

这篇文章将为大家详细讲解有关从剖析CS木马生成到开发免杀工具的过程是怎样的，文章内容质量较高，因此小编分享给大家做个参考，希望大家阅读完这篇文章后对相关知识有一定的了解。

创新互联公司基于成都重庆香港及美国等地区分布式IDC机房数据中心构建的电信大带宽，联通大带宽，移动大带宽，多线BGP大带宽租用,是为众多客户提供专业成都服务器托管报价，主机托管价格性价比高，为金融证券行业服务器托管，ai人工智能服务器托管提供bgp线路100M独享，G口带宽及机柜租用的专业成都idc公司。

木马是黑客实施网络攻击的常用兵器之一，有些木马可以通过免杀技术的加持躲过杀毒软件的查杀。本文旨在通过剖析CS木马生成过程以及开发免杀工具，帮助大家更好地理解CS木马的Artifact生成机制。

Cobaltstrike是用于红队行动、APT攻击模拟的软件，它具备很强大的协同能力和难以置信的可扩展性。

无论是编写 shellcode，创建自定义的 C2二进制可执行文件，还是修改代码来隐藏恶意程序，它们都是红队日常工作的一部分，阅读和理解成熟的C2框架代码也是理所当然的事情。

CobaltStrike是如何生成ShellCode的

CS是使用Swing进行UI开发的，代码中直接找对话框对应操作类。

+ `aggressor\dialogs\WindowsExecutableDialog.class`

从剖析CS木马生成到开发免杀工具的过程是怎样的

可以看到很清晰的生成逻辑。

protected byte[] stager;

@Override
public void dialogAction(final ActionEvent actionEvent, final Map options) {
    this.options = options;
    this.stager = DialogUtils.getStager(options);
    if (this.stager.length == 0) {
        return;
    }
    final String string = options.get("output") + "";
    String s = "";
        if (string.indexOf("EXE") > -1) {
            s = "artifact.exe";
        }
        else if (string.indexOf("DLL") > -1) {
            s = "artifact.dll";
        }
        SafeDialogs.saveFile(null, s, this);
    }

通过 DialogUtils.getStager() 获得生成的 stager 然后通过 saveFile 保存文件。

getStager() 方法调用了 aggressor\DataUtils.shellcode() ，而这里其实是Stagers的接口。

return Stagers.shellcode(s, "x86", b);

最终在 stagers\Stagers.shellcode() 根据监听器类型，

实例化了继承自的 GenericStager 的 stagers\GenericHTTPStager 类，并由 generate() 生成shellcode

从剖析CS木马生成到开发免杀工具的过程是怎样的

shellcode生成时，读取了resources/httpstager.bin，并根据监听器的host和port等值组合为Packer

最终替换到多个X、Y占位的bin文件中，最后返回bytes[] 类型的shellcode

Patch Artifact

shellcode生成完成后，回到原点，可以看到根据用户的选择，对不同的 artifact 模板进行 patch ，以 x86 的模板为例，
继续跟进 patchArtifact

new ArtifactUtils(this.client).patchArtifact(this.stager, "artifact32.exe", s);

+ `common\BaseArtifactUtils.class`

public byte[] patchArtifact(final byte[] array, final String s) {
    final Stack stack = new Stack();
    stack.push(SleepUtils.getScalar(array));
    stack.push(SleepUtils.getScalar(s));
    final String format = this.client.getScriptEngine().format("EXECUTABLE_ARTIFACT_GENERATOR", stack);
    if (format == null) {
        return this.fixChecksum(this._patchArtifact(array, s));
    }
    return this.fixChecksum(CommonUtils.toBytes(format));
}

稍微看一下 fixChecksum ，是通过 PE 编辑器修复了校验码。

这里不赘述了，对编辑器实现感兴趣的可以去看看 pe\PEEditor.class

final PEEditor peEditor = new PEEditor(array);
peEditor.updateChecksum();
return peEditor.getImage();

注意看这里 this._patchArtifact(array, s) ，调用了同名方法，PS：差点以为在看Python

从剖析CS木马生成到开发免杀工具的过程是怎样的

读取了 resources 文件夹下的 artifact32.exe 作为模板文件，根据重复的1024个 A 来定位shellcode 位置。

与生成shellcode时类似，使用common/CommonUtils.replaceAt()对bytes流转为的字符串进行编辑替换。

public static String replaceAt(final String s, final String s2, final int n) {
    final StringBuffer sb = new StringBuffer(s);
    sb.delete(n, n + s2.length());
    sb.insert(n, s2);
    return sb.toString();
}

使用16进制编辑器可以直接看到用于标志存放 shellcode 的位置。

从剖析CS木马生成到开发免杀工具的过程是怎样的