Cobalt Strike流量特征分析

2024-07-10 05:15| 来源: 网络整理| 查看: 265

Cobalt Strike简介

Cobalt Strike基本工作流程

HTTP特征

一、源码特征

checksum8解密算法

二、流量特征

固定的user-agent头

特殊的请求特征

魔改后的cobalt strike遗留特征

三、利用工具检测cobalt strike

HTTPS特征

一、证书特征

二、源码中的强特征

1.ja3

2.ja3s

Cobalt Strike简介：

Cobalt Strike 是一款GUI的框架式渗透工具，集成了端口转发、服务扫描，自动化溢出，多模式端口监听，win exe木马生成，win dll木马生成，java木马生成，office宏病毒生成，木马捆绑；钓鱼攻击包括：站点克隆，目标信息获取，java执行，浏览器自动攻击等等。

Cobalt Strike基本工作流程：

Cobalt Strike是以C/S架构为基础的渗透测试软件，分为clint端、server端和被控端。

1.被控端发送心跳包

2.server端收到心跳包并记录被控端主机信息

3.被控端再次发送心跳包询问server端是否有指令

4.clint端发送指令给server端

5.server端接受指令并加密，发送给被控端

6.被控端接受指令并解密，把执行结果返回到server端

HTTP特征：一、源码特征

在流量中，通过http协议的url路径，在checksum8解密算法计算后，32位的后门得到的结果是92，64位的后门得到的结果是93，该特征符合未魔改Cobalt Strike的流量特征。

checksum8解密算法 public class EchoTest { public static long checksum8(String text) { if (text.length() < 4) { return 0L; } text = text.replace("/", ""); long sum = 0L; for (int x = 0; x < text.length(); x++) { sum += text.charAt(x); } return sum % 256L; } public static void main(String[] args) throws Exception { System.out.println(checksum8("flJA")); } }

例如，用wireshark抓到的数据包如下，利用checksum8算法计算结果为93，即可判断此木马为64位的cs后门。