Cobaltstrike4.0 —— shellcode分析（一）

2023-02-14 378

版权

本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。

简介： Cobaltstrike4.0 —— shellcode分析

本文主要内容

本文主要对cobaltstrike4.0中shellcode的运作原理的分析。

Cobaltstirke 4.0 shellcode分析

一、shellcode生成

Cobaltstrike启动服务端，然后打开aggressor 端，如下图生成payload：

打开生成的payload：

长度是1600个byte

创建一个加载这个段机器码的加载器，在cobaltstrike中这段机器码我们一般叫stager，所以我们简单写一个stagerloader:

二、shellcodeloader

这里实现的方法很多，可以直接通过c++内联汇编，获取shellcode的存储地址，然后直接跳转过去；也可以分配内存空间，将对应payload当成一个返回类型为void的函数来执行。如下图，也是比较常见的c实现的loader的形式：

#include   
int main(void) {  
    unsigned char buf\[\] = 上面那串payload；;  
    //创建一个堆（这里看个人习惯，不建堆也可以直接分配）  
    HANDLE myHeap = HeapCreate(HEAP\_CREATE\_ENABLE\_EXECUTE, 0, 0);  
    //从堆上分配一块内存  
    void\* exec = HeapAlloc(myHeap, HEAP\_ZERO\_MEMORY, sizeof(buf));  
    //payload复制过去  
    memcpy(exec, buf, sizeof(buf));  
    //将exec强制转换成返回类型为void的函数指针，并调用这个函数  
    ((void(\*)())exec)();  
    return 0;  
}

编译链接生成exe，（使用vs编译链接的时候建议把什么优化，安全检查，随机基址，以及相关清单信息啥的都关掉，方便后面我们对exe进行调试）

通过x86 的release生成的exe如下：

完成之后我们先简单测试下，丢到虚拟机运行下，看下上线啥的是否正常:

如下图，没啥问题，成功上线：

接下来我们使用ollydbg来调试下这个exe，来看看这个payload在执行什么内容：

od运行之后，一个call和一个jmp：使用这个编译器生成好像都是这样，不重要，我们要找的代码在jmp里面，跟过去就行了

过来之后又是一堆操作，调用啥的,代码还挺长：

一个个过肯定是能找到执行我们payload的调用的，过的方法呢，就看过完对应call之后，aggressor端是否新增上线设备就行。但是这里有简单方法，比如给heapAlloc上调试断点，f9，就直接跳过去了。

最后是在这个call里面调用了对应的payoad：

f7进去看看，如下图，就是我们自己写的代码了：其中的四步内容如下：

三、shellcode分析

1、第一阶段（stager）

直接跟进去调用的payload：如下图，就是我们生成的payload：（从这里开始往下，因为笔者调试的是多是多次进行运行，所以每次分配的堆的内存空间不一样，比如下图是9805c8开始，下下下下张图（从下开始第四张）是9c05c8开始，所以这里我们主要看代码逻辑即可，地址可能对不上，笔者尽量在完整的一段逻辑里面分析的时候一次过）

第一个call:

和上图call配合，这里pop ebp，获取到eip，如下图然后压入特征码和参数返回eip：

上图中，其中参数有，“wininet”，和一个特征码 726774c，然后通过call ebp 返回。

如下图，返回之后通过fs寄存器，找打TEB——>PEB——>PEB_LDR_DATA——>内存模块加载List（InMemoryOrderLinks）——_LDR_DATA_TABLE_ENTRY

——>获取模块的名称和基址，为后续遍历模块和函数名做准备。

然后对获取的模块名，对其进行特定的一个hash算法，如下图：第一个获取到的模块名是，exe本身这个模块，所以模块名是：“shellcodeloader.exe”

对其进行特定的求特征算法，（算法逻辑就是：对每个字符判断，如果大于0x60，就减0x20（其实就是小写转大写），然后累加，在累加前将上一次的累加结果循环右移14位）

最后得出来的值是在edi中，将其压入栈中，后面会使用到。

然后找到edx+10 对应位置：如下图

这个位置其实就是，_LDR_DATA_TABLE_ENTRY中的0x18偏移的内容（edx是头指针，在里面的0x08偏移的位置），下表是该结构体的内容，所以这里其实就是拿到对应的模块的基址

struct \_LDR\_DATA\_TABLE\_ENTRY  
{  
    struct \_LIST\_ENTRY InLoadOrderLinks;           //0x0               
    struct \_LIST\_ENTRY InMemoryOrderLinks;            //0x8  
    struct \_LIST\_ENTRY InInitializationOrderLinks;   //0x10                
    VOID\* DllBase;                           //0x18                                 
    VOID\* EntryPoint;                      //0x1c                                   
    ULONG SizeOfImage;                  //0x20                                      
    struct \_UNICODE\_STRING FullDllName;     //0x24                                
    struct \_UNICODE\_STRING BaseDllName;      //0x2c                                 
    ....  
};