博文系列：Cobalt Strike：解密流量
- Cobalt Strike：使用已知私钥解密流量 - 第 1 部分
- Cobalt Strike：使用已知私钥解密流量 - 第 2 部分
- Cobalt Strike：使用进程内存解密流量 - 第 3 部分
- Cobalt Strike：解密混淆流量 - 第 4 部分
- Cobalt Strike：解密 DNS 流量——第 5 部分
- Cobalt Strike：内存转储 - 第 6 部分（当前）
- Cobalt Strike：概述 – 第 7 部分
这是创建和分析 Cobalt Strike 信标的内存转储的不同方法的概述。
本系列博文介绍了解密 Cobalt Strike 流量的不同方法。在 本系列的第 1 部分中，我们揭示了在恶意 Cobalt Strike 包中发现的私有加密密钥。在 第 2 部分中，我们从 RSA 私钥开始解密 Cobalt Strike 流量。在 第 3 部分中，如果您不知道私有 RSA 密钥但确实有进程内存转储，我们将解释如何解密 Cobalt Strike 流量。在 第 4 部分中，我们处理使用可塑性 C2 数据转换混淆的流量。在 第 5 部分中，我们处理 Cobalt Strike DNS 流量。
对于之前博客文章中讨论的一些 Cobalt Strike 分析方法，进行内存转储很有用：系统 RAM 的内存转储，或托管 Cobalt Strike 信标的进程的进程内存转储。
我们概述了制作和/或使用内存转储的不同方法。
完整的系统内存转储
有几种方法可以获得 Windows 机器的完整系统内存转储。由于这些方法大多涉及商业软件，我们不会详细介绍获取完整内存转储的细节。
当您有一个未压缩的完整系统内存转储时，首先要检查的是内存中是否存在 Cobalt Strike 信标。这可以使用工具1768.py来完成，该工具用于提取和分析 Cobalt Strike 信标的配置。确保使用 64 位版本的 Python，因为未压缩的完整内存转储很大。
发出以下命令：
1768.py -r 内存转储
例子：
图 1：在完整的系统内存转储上使用 1768.py
在这个例子中，我们很幸运：1768.py 不仅检测到信标配置的存在，而且该配置也包含在单个内存页面中。这就是我们获得完整配置的原因。通常，配置会重叠内存页面，然后您会得到部分结果，有时甚至是 Python 错误。但是我们从这个命令中得到的最重要的信息是，系统上运行了一个信标，我们对其进行了完整的内存转储。
假设我们的命令产生了部分结果。然后，为了获得完整的配置，我们必须做的是使用Volatility生成托管信标的进程的进程内存转储。由于我们不知道哪个进程托管信标，我们将为所有进程创建进程内存转储。
我们使用以下命令执行此操作：
vol.exe -f memorydump -o procdumps windows.memmap.Memmap -dump
例子：
图 2：使用 Volatility 提取进程内存转储 - 命令开始
图 3：使用 Volatility 提取进程内存转储 - 命令结束
procdumps 是将写入所有进程内存转储的文件夹。
此命令需要一些时间才能完成，具体取决于内存转储的大小和进程数。
命令完成后，我们再次使用工具 1768.py 来分析每个进程转储：
图 4：使用 1768.py 分析所有提取的进程内存转储 - 命令开始
图 4：使用 1768.py 分析所有提取的进程内存转储 - 检测进程 ID 2760
我们看到文件 pid.2760.dmp 包含一个信标配置：这意味着进程 ID 为 2760 的进程托管一个信标。如果我们需要提取更多信息，例如加密密钥，我们可以使用此进程内存转储（请参阅本系列的博客文章 3 ）。
进程内存转储
存在不同的方法来获取 Windows 机器上的进程内存转储。我们将解释几种不需要商业软件的方法。
任务管理器
可以使用内置的 Windows 任务管理器进行完整的进程内存转储。
这样的进程内存转储包含所选进程的所有进程内存。
要使用此方法，您必须知道哪个进程正在托管信标。然后在任务管理器中选择这个进程，右键，选择“创建转储文件”：
图 6：任务管理器：选择托管信标的进程
图 7：创建一个完整的进程内存转储
进程内存转储将被写入临时文件夹：
图 8：进程内存转储完成后的任务管理器对话框
Sysinternals 的 Process Explorer
Process Explorer可以进行进程内存转储，就像任务管理器一样。选择托管信标的进程，右键单击并选择“创建转储/创建完整转储”。
图 10：使用 Process Explorer 创建完整的进程内存转储
不要选择“Create Minidump”，因为使用此选项创建的进程内存转储不包含进程内存。
使用 Process Explorer，您可以选择保存转储的位置：
图 12：使用 Process Explorer，您可以选择保存转储文件的位置
Sysinternals 的 ProcDump
ProcDump是一个从命令行创建进程内存转储的工具。您为它提供一个进程名称或进程 ID，它会创建一个转储。确保使用选项 -ma 创建完整的进程内存转储，否则转储将不包含进程内存。
图 12：使用 procdump 创建一个完整的进程内存转储
使用 ProcDump，将转储写入当前目录。
使用进程内存转储
与完整系统内存转储一样，工具1768.py可用于分析进程内存转储并提取信标配置。
如本系列的第 3 部分所述，工具cs-extract-key.py可用于从进程内存转储中提取密钥。
如果密钥被混淆，工具cs-analyze-processdump.py可用于尝试破解混淆，如本系列的第 4 部分所述。
结论
内存转储可用于检测和分析信标。
我们开发了从内存转储中提取信标配置和密钥的工具。
