浅析CobaltStrike流量解密
💡
原文中文，约6200字，阅读约需15分钟。
📝
内容提要
本文介绍了如何解密CobaltStrike的流量，包括AES加密和RSA交换密钥。需要获取私钥并解密元数据和submit.php中的Data。提供了三道练习题目和参考项目。
🎯
关键要点
- Cobalt Strike 是一款集成多种渗透工具的框架式工具。
- Cobalt Strike 的流量分析逐渐增多，成为CTF考点。
- Cobalt Strike 使用 SSL 加密通讯，元数据传输使用 RSA，任务传输使用 AES。
- Cobalt Strike 支持异步和交互式通信，可以通过 DNS 或 HTTP 协议出口网络。
- 流量中使用 JA3 创建 SSL 指纹，提供了已知的 JA3 和 JA3s 指纹信息。
- 解密 Cobalt Strike 流量需要获取 .cobaltstrike.beacon_keys 文件中的私钥。
- 通过私钥解密元数据以获取 AES 和 HMAC 密钥。
- AES 密钥用于加密和解密 Beacon 与 C2 服务器之间的通信内容。
- HMAC 密钥用于验证数据的完整性和真实性。
- 提供了处理和解密 submit.php 中数据的具体代码示例。
- 文末提供了三道练习题和参考项目链接。
➡️
