CnaEmulator - Emulador de Cobalt Strike Aggressor Script e Harness de Simulação

CnaEmulator é um harness de desenvolvimento, emulação e teste autônomo e de propósito geral para Cobalt Strike Aggressor Scripts (.cna). Ele permite que pesquisadores de segurança, desenvolvedores de ferramentas e autores de BOF validem a sintaxe de scripts, simulem comandos de alias do console do Beacon e executem Beacon Object Files (BOFs) em memória diretamente via COFFLoader64.exe sem iniciar um teamserver ou cliente GUI.

[!WARNING] Aviso Legal: Este código foi totalmente gerado com Antigravity e ainda não foi revisado.

Capacidades

Validação de Sintaxe (check):
- Compila scripts .cna usando o motor subjacente Sleep 2.1.
- Detecta com precisão strings não finalizadas, caracteres não escapados, erros de sintaxe do parser e delimitadores ausentes com números de linha exatos do arquivo.
Emulação de Funções Aggressor:
- Emula funções oficiais do Cobalt Strike Beacon da Documentação de Aggressor Script HelpSystems/Fortra.
- Fornece valores simulados realistas ou valores de retorno positivos sem erro para APIs de injeção de processo, manipulação de token, sistema de arquivos, rede e callback de GUI.
Empacotamento Real de Binários BOF (bof_pack):
- Implementa serialização nativa Little-Endian compatível com o formato binário datap do Cobalt Strike:
  - 'i': inteiro de 4 bytes
  - 's': short de 2 bytes
  - 'z': string terminada em nulo com prefixo de comprimento (prefixo strlen + 1)
  - 'Z': string UTF-16LE larga com prefixo de comprimento
  - 'b': buffer binário com prefixo de comprimento
Ponte de Execução COFFLoader (beacon_inline_execute):
- Intercepta automaticamente beacon_inline_execute($bid, $bof_data, "go", $packed_args).
- Converte os argumentos empacotados em formato hexadecimal.
- Executa COFFLoader64.exe go <bof_path> <hex_args> como subprocesso filho.
- Transmite a saída do console do BOF ao vivo diretamente para stdout em tempo real.
Suítes de Teste Complementares Universais e Verificação Automatizada (test):
- Descobre e executa automaticamente suítes de cenários complementares <script>.cna.tests ou <script>.tests.
- Suporta testes de cenários direcionados via CLI e verificação automática de cláusulas de guarda de alias.
Console Interativo do Beacon (console):
- Prompt de comando interativo (beacon> ) com suporte a aliases registrados, argumentos, documentação de ajuda e execução ao vivo.

Estrutura de Diretórios

.
├── .gitignore                # Git ignore rules for compiled binaries & bytecode
├── COFFLoader64.exe          # 64-bit Standalone in-memory COFF relocator and loader
├── cna_emulator.bat          # Convenient CLI launcher script
├── README.md                 # Comprehensive documentation and usage guide
├── TESTING.md                # Component verification report & quality gates
├── TEST_SPEC.md              # 48-scenario 7-category test specification
└── CnaEmulator/              # Java CNA Emulator component
    ├── .gitignore            # Git ignore rules for CnaEmulator subfolder
    ├── CnaEmulator.java      # Emulator source code and Sleep engine bridge
    ├── CnaEmulator.class     # Compiled bytecode
    ├── CnaEmulator.jar       # Packaged bytecode JAR
    ├── build.bat             # Build script to compile and package CnaEmulator
    ├── test.bat              # Standalone test runner script (48 scenarios)
    └── tests/                # Test suite and fixtures
        ├── TestCnaEmulator.java  # 48-scenario test harness
        └── fixtures/             # Universal test fixtures
            ├── sample_bof.cna        # Standalone sample Aggressor Script
            ├── sample_bof.cna.tests  # Companion test suite
            ├── multi_alias.cna       # Multi-alias sample script
            └── multi_alias.cna.tests # Multi-alias companion test suite

Requisitos e Pré-requisitos

Requisito	Descrição e Configuração
Java JDK (17+)	Binários `java` e `javac`. Defina `JAVA_HOME` para o caminho do seu JDK e garanta que `%JAVA_HOME%\bin` esteja no `PATH`.
Sleep 2.1 (`sleep.jar`)	Motor de scripting para Aggressor Scripts. Baixe de Sleep 2.1 ou copie do Cobalt Strike. Defina `SLEEP_JAR` (por exemplo, `set "SLEEP_JAR=C:\path\to\sleep.jar"`), ou coloque `sleep.jar` na pasta raiz ou em `CnaEmulator\`.
Carregador em Memória (`COFFLoader64.exe`)	Binário de carregamento autônomo (por exemplo, compilado de trustedsec/COFFLoader). Colocado no diretório raiz ou substituído via `COFFLOADER_PATH`.

Configuração Rápida do Ambiente (cmd.exe):

set "JAVA_HOME=C:\path\to\jdk-17"
set "PATH=%JAVA_HOME%\bin;%PATH%"
set "SLEEP_JAR=C:\path\to\sleep.jar"

Guia de Uso

1. Compilando a Partir do Código-Fonte

Antes de executar as classes compiladas ou o JAR, compile CnaEmulator.java:

Usando o Script de Build:

CnaEmulator\build.bat

Ou Compilação e Empacotamento Manual:

:: Compile source to bytecode
javac -cp "%SLEEP_JAR%" -d CnaEmulator CnaEmulator\CnaEmulator.java

:: Package into executable bytecode JAR
cd CnaEmulator
jar cfe CnaEmulator.jar CnaEmulator *.class
cd ..

2. Métodos de Execução

Você pode invocar CnaEmulator usando qualquer um dos seguintes métodos a partir do diretório raiz do projeto:

Método A: Launcher de Script em Lote (Recomendado)

O script launcher lida automaticamente com a descoberta do JDK, configuração do classpath e resolução de caminhos:

cna_emulator.bat <action> [arguments...]

Método B: JAR Executável Compilado

java -cp "CnaEmulator\CnaEmulator.jar;%SLEEP_JAR%" CnaEmulator <action> [arguments...]

Método C: Bytecode de Classe Direto

java -cp "CnaEmulator;%SLEEP_JAR%" CnaEmulator <action> [arguments...]

3. Ações Principais e Exemplos de Uso

A. Validar Sintaxe do Script (`check`)

Valida a sintaxe do Aggressor Script e compila árvores AST via Sleep 2.1 sem executar código:

cna_emulator.bat check <path\to\script.cna>

Exemplo com fixture incluída:

cna_emulator.bat check CnaEmulator\tests\fixtures\sample_bof.cna

Saída de Exemplo:

[*] Checking syntax of: CnaEmulator\tests\fixtures\sample_bof.cna
[+] sample_bof.cna syntax OK

B. Executar Comandos com Despacho de BOF ao Vivo (`run`)

Executa um alias Aggressor declarado, empacota argumentos em formato binário (bof_pack), resolve o arquivo objeto (script_resource) e invoca COFFLoader64.exe para executar o BOF na memória do chamador:

cna_emulator.bat run <path\to\script.cna> <alias_name> [arguments...]

Exemplo com fixture incluída:

cna_emulator.bat run CnaEmulator\tests\fixtures\sample_bof.cna sample_bof run test_target

Saída de Exemplo:

[*] Invoking: sample_bof 1 run test_target
[*] Tasked beacon: Executing sample_bof with action: run

[+] [COFFLoader Bridge] Executing: COFFLoader64.exe go sample_bof.o
    | Got contents of COFF file
    | Running/Parsing the COFF file
    | Ran/parsed the coff
    | Outdata Below:
    | ...
[+] [COFFLoader Bridge] Completed with exit code: 0

C. Bateria de Testes Automatizados e Testes de Regressão (`test`)

CnaEmulator test fornece execução automatizada de testes:

cna_emulator.bat test <path\to\script.cna> [alias] [arguments...]

Mais Populares

CnaEmulator