CS批量伪造上线

原理分析

监听器管理（Beacon）

监听器：等待被入侵系统连接自己的一个服务。

监听器的作用：为了接受payload回传的各类数据，类似于MSF中handler的作用。比如payload在目标机器执行以后，就会回连到监听器然后下载执行真正的shellcode代码。

一旦监听器建立起来，团队成员只需要知道这个监听器的名称即可，不需要关心监听器背后的基础环境。

stager：就是远程加载Beacon.dll的shellcode

Beacon Staging Sever：是分阶段模式中，提供shellcode等功能扩展存储的Stage服务器。它的作用是为了防止Payload过大或者适应不同的攻击场景，可以分阶段进行payload投递

元数据：描述数据的数据，主要是描述数据属性的信息，用来支持如：指示存储位置、历史数据、资源查找、文件记录等功能。是一种电子式目录。

步骤分析

上线包的敏感信息隐藏到了cookie中，特征非常明显。通过进一步分析，可以发现，上线包的请求Cookie值是受控主机元数据经过非对称加密后的密文，CS服务器接收到Cookie值后进行解密，从而获取到受控主机信息

cookie加密过程

攻击者利用CS sever生成新的Beacon监听（包括一对非对称公私钥）并生成stager
攻击者投递Stager到受控主机
受控主机在Exploit阶段执行小巧的Stager
受控主机根据Stager Url请求特征向Beacon Staging Sever 下载体积较大更复杂的Stager到本地，Beacon Staging Server会校验URL的合法性。
Stage解密并解析Beacon配置信息（比如公钥PublicKey、C2 server信息）
Stage通过公钥加密主机的元数据并发送至C2 Server
C2 Server 用私钥解密数据获取主机元数据