PyBeacon

PyBeacon 是一组用于处理 Cobalt Strike 加密流量的脚本。

它可以加密/解密信标元数据，以及解析对称加密的任务。

包含的脚本

有一个包含加密/解码方法的小型库，此外还包含一些示例脚本。

• stager-decode.py - 该工具可以简单地从暂存器 URL 解码信标 DLL（你可以用它来提取公钥）。
• register.py - 该工具处理 RSA 加密的元数据，并可以在目标团队服务器上注册一个新的（虚假）信标。
• tasktool.py - 该工具处理与团队服务器之间的 AES 加密任务。用它向团队服务器发送回调，或解码从团队服务器到信标的任务。
• cs-3-5-rce.py - 这是用于利用 CS < 3.5-hf1 的漏洞实现，该漏洞曾在野外被用于入侵 Cobalt Strike 服务器。它通过在 IP 地址字段中注册一个包含目录遍历的信标来工作。随后，它注册一个下载回调，导致“下载”被上传到目标文件系统的任意位置。该真实世界漏洞利用使用 cronjob 实现远程代码执行。

TODO

• 在任务解码逻辑中添加更多任务类型
• 添加信标任务的解码。目前使用了一些“通用”逻辑，但并未真正提供帮助。