吾爱破解 - 52pojie.cn

 找回密码
 注册[Register]

QQ登录

只需一步,快速开始

查看: 9323|回复: 21
收起左侧

[原创] Cobalt Strike剖析及免杀系列(五)cs4.7源码jar包破解篇

  [复制链接]
GalaXY403 发表于 2022-10-22 19:54
开头先说下为什么用破解篇作为本系列的开篇,哈哈哈因为之前因为觉得应该不会有后门吧,就在物理机上运行了一次cs client,然后就gg了,所以涉及到调试相关也不想在虚拟机里做了,就从原始jar包开始吧。
提前也做一下声明,本系列所有内容因为涉及到cs原版所以不进行开源,内容如有侵权,请联系作者马上删除。还有公众号所有内容如有错误欢迎各位师傅进行斧正,文章结尾有本人微信也欢迎各位师傅来讨论安全相关知识。
废话就不多说了,因为开篇所以先简单聊下4.7的一些改动吧,首先最难受的一点就是从之前的teamserver&client联合jar包分解成了一个cs_client.jar与teamserverimage的一个elf文件,这就导致teamserver的相关修改要在二进制的基础上进行,增加了二开和破解的难度吧算是,后面还是尽量克服吧。
但是4.7也不乏一些好的改版,比如支持socket5,还有对bof的隐蔽性又多加了两个profile配置,还有一些好的改动可以自行google查看文档正文就从这里开始吧关于cs二开环境配置就不过多阐述,百度上其他师傅的文章也有很多,这里就从关键部分往下分析。
1.png

Aggressor首先checkui校验完整性,主要是对几个加密函数的完整性校验
2.png

Checkui关键代码为这两行,initializestarter函数校验完整性
3.png

在进入A
4.png

Var5为crc校验码,var4为校验class,其实现主要是在Initializer.isOK(var1, var3, var4, var5, true)Initializer.isFileOK(var1, var4, var5, true)函数中通过获取zipfile(jar包通过zip格式压缩)也就是本jar包内的文件获取crc并比较最开始的crc来确保文件未更改。校验的文件包括common/AuthCrypto.classresources/authkey.pubcommon/License.classcommon/Authorization.classcommon/SleevedResource.classcommon/AggressorInfo.classdns/SleeveSecurity.classcommon/BaseArtifactUtils.classcommon/BaseResourceUtils.classaggressor/dialogs/PayloadGeneratorDialog.class IsOK/IsFileOK的实现过程主要通过A函数
5.png

6.png

所以对于日后修改jar包内容,如果包含到了以上的几个class需要重新计算crc校验并重新赋值,就比如我这里修改了authorization.class
7.png

8.png

后面aggressor创建multiframe也在后面进行了校验
9.png

这边用的是base64解码字符串,字符串为校验的文件名,再用crc校验进行文件的二次校验 使用动态调用函数common.CommonUtils.validClassIntegrity()
10.png

通过class的getDeclaredMethod函数动态获取函数并执行后续校验校验的文件包括:common.CommonUtilscommon.Authorizationcommon.AuthCryptocommon.DataParsercommon.SleevedResourcedns.SleeveSecurityaggressor.Aggressorcommon.AggressorInfocommon.Starter这里我直接暴力注释掉了如果想直接改的话查查zipentry的crc然后改一下也是ok的
11.png

后面初始化connectdialog的时候也会有一个crc校验的过程,这里我也是直接注释掉了
12.png

还有safedialog的safetycheck也有一次校验过程,这里的校验类有很多我也不一一列举了,像是普通的dialog会继承starter2/starter这两个类,两个类中分别含有校验部分,然后去除掉校验就ok了,或者直接在整个项目里面搜索system.exit(1)这个函数就会有终止的校验部分一般都是调用了类中A函数进行base64解密与crc检测,如果有强迫症的师傅可以自行计算crc并修改校验crc值,没有的其实可以直接注释掉。 对于cobaltstrike.auth其实可以直接注释掉相关部分,哈哈哈哈
13.png

这里的cobaltstrike.auth读出256字节
14.png

校验的时候主要看这几个,其实在源码的基础上直接过滤注释掉就好,里面的校验过程主要涉及rsa的解密,这里精力有限就暂时放下等后面有时间再去聊吧,这里嫖了一手一个大佬的.auth哈哈哈哈。效果大概下面这样:
15.png

欢迎各位师傅前来评论区讨论

免费评分

参与人数 6吾爱币 +5 热心值 +6 收起 理由
Action8 + 1 我很赞同!
www3teran + 1 + 1 谢谢@Thanks!
FOCFeeyo + 1 + 1 谢谢@Thanks!
笙若 + 1 + 1 谢谢@Thanks!
ll090822 + 1 + 1 热心回复!
HUAJIEN + 1 + 1 热心回复!

查看全部评分

发帖前要善用论坛搜索功能,那里可能会有你要找的答案或者已经有人发布过相同内容了,请勿重复发帖。

 楼主| GalaXY403 发表于 2022-12-7 21:17
夜天月.Itx... 发表于 2022-12-6 17:28
这个免杀教程太高级了,有没有简单的一点的

这还没到后面的beacon teamserver二开捏最近工作都没啥时间写了
 楼主| GalaXY403 发表于 2022-10-23 08:13

idea自带的反编译组件反编译jar包就行,百度上搜cobaltstrike二开环境搭建会有相关的教程
头像被屏蔽
tl;dr 发表于 2022-10-22 21:28
ggshihai 发表于 2022-10-22 22:52
好高级,看得有点晕
16713720339 发表于 2022-10-23 16:23

感谢分享
Cherish丶Z 发表于 2022-10-24 16:03
有没有4.7.1之后的原包?
GoogleHacking 发表于 2022-10-25 22:10
远吗在哪里,
whynot37 发表于 2022-10-27 16:38
有用,感谢楼主
long52184 发表于 2022-10-27 16:51
谢谢分享,大佬
lbg2222000 发表于 2022-11-16 22:06
感谢分享
您需要登录后才可以回帖 登录 | 注册[Register]

本版积分规则

返回列表

RSS订阅|小黑屋|处罚记录|联系我们|吾爱破解 - LCG - LSG ( 京ICP备16042023号 | 京公网安备 11010502030087号 )

GMT+8, 2024-12-23 15:11

Powered by Discuz!

Copyright © 2001-2020, Tencent Cloud.

快速回复 返回顶部 返回列表