写在前面

继我们前面铺垫的章节，我们继续改造我们的Cobaltstrike，本章我们对Beacon Stage进行特征掩藏，以更好的保护我们的C2服务器。同时目前已有成熟的汉化方案开源，我们纳入改造以适应我们的项目。

http://cn-sec.com/archives/300922.html Cobaltstrike4.x基础特征修改之从端口到checksum8

Beacon Stage：

Beacon Staging Server 就是分阶段模式中，提供shellcode等功能扩展存储的Stage服务器。
Beacon Staging Server的作用是为了防止Payload过大或者适应不同的攻击场景，可以分阶段进行payload投递。
首先通过投递一个被称为stager的小巧的payload，然后去Beacon staging server下载体积较大更复杂的stage，并且访问stage的URL通过checksum8进行校验。

由Windows Execute 模块生成的就是Stager。
stager上线逻辑：——>运行stager——>自动生成并访问符合checksum8校验的URI进行远程下载stage——>上线

stage隐匿的常规思路：

1.修改checkSum8算法，使得按照默认的checkSum8 URI无法下载stage文件。
2.修改内部beacon的解密密钥，使得NSE解析脚本无法解析下载到的stage的信息。
3.从防火墙上限制访问beacon的端口。
4.每次手动kill掉site管理中的stage和stage64

我们这里选择针对dll和源码的xorkey修改作为方案。

XOR KEY修改

现成脚本地址：https://github.com/ca3tie1/CrackSleeve/blob/master/CrackSleeve.java
脚本原理参考：https://mp.weixin.qq.com/s/Pneu8R0zoG0ONyFXF9VLpg

private static byte[] OriginKey = {58, 68, 37, 73, 15, 56, -102, -18, -61, 18, -67, -41, 88, -83, 43, -103};

带参运行：

或者构建运行：java -classpath MyCS.jar;./ mytools.CrackSleeve decode，即可以获得加密后的dll文件
关于可能遇到的报错问题，这里抄下师傅们的作业，如下是4.0和4.1版本的代码片段,来自零队，所以师傅对脚本源码进行了修改：

在4.3版本中的片段如下：

# common.SleevedResource line9
public static void Setup(byte[] var0) {
   singleton = new SleevedResource(var0);
}
# common.Authorization line65
SleevedResource.Setup(var15);

跟踪发现是从auth文件中读key所得，所以脚本维持原样即可。顺便吐槽下CS4.3为什么所有的变量名几乎都是var*，var1-var18应有尽有，故意而为之以降低代码可读性达到代码保护的效果？？？

先说下异或问题，已知异或key 3.x为0x69，4.x为0x2e

4.3中这里写的是十进制46 对应二进制即 0x2e，我们这里进行修改，十进制100对应十六进制64：

# beacon.BeaconPayload line3
public static byte[] beacon_obfuscate(byte[] var0) {
   byte[] var1 = new byte[var0.length];

   for(int var2 = 0; var2 < var0.length; ++var2) {
//         var1[var2] = (byte)(var0[var2] ^ 46);
      var1[var2] = (byte)(var0[var2] ^ 100);
   }

   return var1;
}

dll解密完成后，进入修改环节，在ida中打开，进行二进制检索，Search▶Sequence ofBytes或者alt+B，找到xor：

修改其中的hex

然后应用即可：

其它dll修改类似

beacon.dll
beacon.x64.dll
dnsb.dll
dnsb.x64.dll
pivot.dll
pivot.x64.dll
extc2.dll
extc2.x64.dll

师傅们的文章里都提到了上述dll，为防止4.3版本又在这里留了新的暗桩，这里用笨办法对下属非功能dll挨个审查了一般，未发现新的dll使用该xor，所以继续抄之前版本的作业即可，机制无改变，排雷结束。

这里略改了下上面提到的脚本的加密策略，不在输入新的key，使用原key：

        if (option.toLowerCase().equals("encode"))
        {
//            if (args.length <= 1){
//                System.out.println("[-] Please enter key.");
//                System.exit(0);
//            }
//            String CustomizeKeyStr = args[1];
//            if (CustomizeKeyStr.length() < 16)
//            {
//                System.out.println("[-] key length must be 16.");
//                System.exit(0);
//            }
//            System.out.println("Init Key: "+CustomizeKeyStr.substring(0,16));
            CustomizeKey = OriginKey;
        }

直接带参运行即可对修改后的dll进行加密

将加密后的sleeve直接放到根目录即可，进行重构的时候会覆盖原项目，再说一句，记得点构建工件前点重建项目！！！
改动前：

改动后：

在教程最后，破解相关代码全部未删除一并封装到了最终的cobaltstrike.jar中，方便各位小伙伴学习

当然也是可以单独调用的：

java -classpath cobaltstrike.jar;./ mytools.CrackSleeve          //dll加解密工具，小改动encode，封装官方key不再传参
java -classpath cobaltstrike.jar;./ mytools.GetMd5               //内置公钥哈希校验
java -classpath cobaltstrike.jar;./ mytools.RSAKeyPairGenerator  //auth生成脚本，4.3官方key已封装

checkSum8算法修改

修改checkSum8算法，使得按照默认的checkSum8 URI无法下载stage文件。

checkSum8算法的修改方式与其优缺点：
1.修改checkSum8的92L与93L为非默认的值，从而加大连接获取难度。
缺点：最多进过256次破解，也能够导致stage被下载。
2.通过修改sum值算法，固定下载URI，这样只有指定的uri可以获取到下载连接
缺点：更换URI需要重新编译计算sum值。

Beacon Stager listener 去特征https://mp.weixin.qq.com/s/HibtLfikI_0ezcLVCRxqaA
关于CobaltStrike的Stager被扫问题https://mp.weixin.qq.com/s/0MPM3bysJJYr5jbRnES_Vg

其中修改默认值92L、93L更为简单

# cloudstrike.WebServer line166
public static boolean isStager(String uri) {
   return checksum8(uri) == 92L;
}

public static boolean isStagerX64(String uri) {
   return checksum8(uri) == 93L && uri.matches("/[A-Za-z0-9]{4}");
}

但优缺点大家仁者见仁智者见智，目前的团队内部版本暂未采用此方案。

汉化

https://github.com/Twi1ight/CSAgent

这个已经有师傅给出4.x通用的成熟方案了，借助java的预加载进行非侵入式篡改。

但Releases中加入了作者的个人banner的license修改，导致和我们的服务端不能适配，不过师傅贴心的提供了源码，且源码中并未有banner添加，所以在这里自己编译顺便进行小小的修改。
主要改动涉及以下，首先我们前面已经提到了，暗桩和认证部分我们已经自己处理好了，所以这些通通可以注释掉。

if (className == null) {
    return classfileBuffer;
    // } else if (className.equals("beacon/BeaconData")) {
    //     // 暗桩修复，修改zip包后，30分钟所有命令都会变成exit，非侵入式修改下其实不需要
    //     CtClass cls = classPool.makeClass(new ByteArrayInputStream(classfileBuffer));
    //     CtMethod mtd = cls.getDeclaredMethod("shouldPad");
    //     mtd.setBody("{$0.shouldPad = false;}");
    //     return cls.toBytecode();
} else if (className.equals("common/Authorization")) {
    // 设置破解key
    CtClass cls = classPool.makeClass(new ByteArrayInputStream(classfileBuffer));
    String func = "public static byte[] hex2bytes(String s) {" +
            "   int len = s.length();" +
            "   byte[] data = new byte[len / 2];" +
            "   for (int i = 0; i < len; i += 2) {" +
            "       data[i / 2] = (byte) ((Character.digit(s.charAt(i), 16) << 4) + Character.digit(s.charAt(i+1), 16));" +
            "   }" +
            "   return data;" +
            "}";
    CtMethod hex2bytes = CtNewMethod.make(func, cls);
    cls.addMethod(hex2bytes);

    CtConstructor mtd = cls.getDeclaredConstructor(new CtClass[]{});
    mtd.setBody("{$0.watermark = 1234567890;" +
            "$0.validto = \"forever\";" +
            "$0.valid = true;" +
            "common.MudgeSanity.systemDetail(\"valid to\", \"perpetual\");" +
            "common.MudgeSanity.systemDetail(\"id\", String.valueOf($0.watermark));" +
            "common.SleevedResource.Setup(hex2bytes(\"" + hexkey + "\"));" +
            "}");
    return cls.toBytecode();
}

然后是对common.MudgeSanity的修改，主要是增加了systeminfo中的Loader内容

 else if (className.equals("common/MudgeSanity")) {
    CtClass cls = classPool.makeClass(new ByteArrayInputStream(classfileBuffer));
    CtMethod mtd = cls.getDeclaredMethod("systemInformation");
    mtd.instrument(
            new ExprEditor() {
                public void edit(MethodCall m)
                        throws CannotCompileException {
                    if (m.getClassName().equals("java.lang.StringBuffer")
                            && m.getMethodName().equals("append")) {
                        m.replace("{" +
                                "if ($1.startsWith(\"Version:\")) {" +
                                "   $1 += \"Loader: https://github.com/Twi1ight/CSAgent\\n\";" +
                                "}" +
                                "$_ = $proceed($$);" +
                                "}");
                    }
                }
            });
    return cls.toBytecode();

即这里，原版和csagent对比：

不过这里不影响license比对，可以不改动，但是如果用的Releases中打好的包，是无法登录c2的，因为那个修改是改的aggressor.Aggressor

if (className.equals("aggressor/Aggressor") || className.equals("server/TeamServer") || className.equals("aggressor/headless/Start")) {
    ctClass = this.classPool.makeClass(new ByteArrayInputStream(classfileBuffer));
    ctMethod = ctClass.getDeclaredMethod("main");
    this.classPool.importPackage("java.lang.reflect");
    ctMethod.insertBefore("Field field = aggressor.Aggressor.class.getDeclaredField(\"VERSION\");field.setAccessible(true);Field modifiersField = null;try {    modifiersField = Field.class.getDeclaredField(\"modifiers\");} catch (NoSuchFieldException e) {    try {        Method getDeclaredFields0 = Class.class.getDeclaredMethod(\"getDeclaredFields0\", new Class[]{boolean.class});        boolean accessibleBeforeSet = getDeclaredFields0.isAccessible();        getDeclaredFields0.setAccessible(true);        Field[] fields = (Field[]) getDeclaredFields0.invoke(Field.class, new Object[]{Boolean.FALSE});        getDeclaredFields0.setAccessible(accessibleBeforeSet);        for (int i=0; i<fields.length; i++){           Field field = fields[i];            if (\"modifiers\".equals(field.getName())) {                modifiersField = field;                break;            }        }        if (modifiersField == null) {            throw e;        }    } catch (NoSuchMethodException ex) {        e.addSuppressed(ex);        throw e;    } catch (InvocationTargetException ex) {        e.addSuppressed(ex);        throw e;    }}modifiersField.setAccessible(true);modifiersField.setInt(field, Modifier.STATIC);String fieldValue = (String) field.get(null);field.set(null, fieldValue.replace(\")\", \"-Twi1ight@T00ls.Net)\"));");
    return ctClass.toBytecode();
}

也就是相当于修改主函数aggressor/Aggressor中的VERSION 字段：

public class Aggressor {
   public static final String VERSION = "4.3 (20210317) " + (License.isTrial() ? "Trial" : "Licensed to WingsSec");
   public static final String VERSION_SHORT = "4.3";
   public static MultiFrame frame = null;
   ... ...
}

另外大家在使用csagent的时候还需要传参，这个参数传递如下：

最终出现在我们上面提到的破解部分，所以这块也是不需要的：

else if (className.equals("common/Authorization")) {
    // 设置破解key
    ... ...
    mtd.setBody("{$0.watermark = 1234567890;" +
            "$0.validto = \"forever\";" +
            "$0.valid = true;" +
            "common.MudgeSanity.systemDetail(\"valid to\", \"perpetual\");" +
            "common.MudgeSanity.systemDetail(\"id\", String.valueOf($0.watermark));" +
            "common.SleevedResource.Setup(hex2bytes(\"" + hexkey + "\"));" +
            "}");
    return cls.toBytecode();
}

最终修改如下：

public class PreMain {
    public static void premain(String agentArgs, Instrumentation inst) {
//        if (agentArgs == null) {
//            System.out.println("[CSAgent] Agent options not found!");
//            return;
//        }
        inst.addTransformer(new CobaltStrikeTransformer(), true);
    }

    static class CobaltStrikeTransformer implements ClassFileTransformer {
        private final ClassPool classPool = ClassPool.getDefault();
//        private final String hexkey;
        private final Boolean needTranslation;

        public CobaltStrikeTransformer() {
//            this.hexkey = args;
            this.needTranslation = Files.exists(Paths.get("resources/translation.txt"));
        }
        ... ...
}

总的来说，移除破解功能，保留汉化功能，这样一个好处就是可适用于任意破解版本的汉化。

那么最终客户端的使用为：

java -XX:ParallelGCThreads=4 -XX:+AggressiveHeap -XX:+UseParallelGC -javaagent:CSAgent.jar -jar cobaltstrike.jar

服务端正常使用即可，不需要额外修改，最终效果：