cobaltstrike篇二-beacon篇

交互主要分为客户端和服务端，以及服务端和植入物的交互。

客户端和服务端的交互：

客户端和服务端的交互是采用socket进行交互，服务端和客户端分别开启了两个线程，一个负责读，一个负责写，交互是采用序列化对象的方式。

服务端和植入物的交互：

服务端和植入物的交互是采用http,https,dns等协议进行交互处理的，其中采用的协议为aes加密，这只是服务端默认处理的，还有我们c2profile可以去修改一些交互方式，流量请求的数据。

植入物上线服务端采用的协议大致如下：

详细的输入如下：

这是协议图。

程序解密图：

cobaltstrike可以扩展为域前置或者云函数等方式作为一个跳板，目前针对cobaltstrike的方式实现了另外一种方式，payload理论上可以存在互联网任何地方，例如邮件，共享文件，发表文章，论坛评论等等，相当于cobaltstrike的扩展C2[externC2]，只要服务器可以访问到即可，可以进一步隐藏你的C2服务的实际地址，发出流量也是可信任的流量，目前还不是特别完善。