cobalt strike中的一些小知识点的理解

• 我眼中的beacon与beacon stage/stager

beacon指的是受害者与我们的teamserver所建立的这个连接，也可以理解成我们所获的的对方主机的控制权，beacon stage/stager是生成的可执行文件。

• 什么是stage(stageless)？

stage是无阶段的stager，可以直接理解成，stage是stager与它所请求的数据的集合体。stage比stager更安全，但是体积更大。而且在内网穿透的时候基本只能用stage，用stager会十分麻烦，stager是分段传输payload的，使用stager有时候会导致目标无法上线。stage唯一的缺点是提起相比较而言比较大。

• 什么是stager？

stager其实是一段很简单的加载器，是socketedi协议请求的一段shellcode，它的作用是向teamserver(C2)请求一段数据，这些数据前是个字节是shellcode的长度，后面是shellcode。接收到数据后跳转到shellcode所在的内存处开始运行。

tips
powershell payload 也相当于 stager，因此powershell 的payload一般不能用于多级内网穿透。

• beacon与c2通信逻辑

1.stager的beacon会先下载完整的payload执行，stage则省略这一步
2.beacon进入睡眠状态，结束睡眠状态后用 http-get方式 发送一个metadata(具体发送细节可以在malleable_profi
e文件里的http-get模块进行自定义),metadata内容大概是目标系统的版本，当前用户等信息。
3.如果存在待执行的任务，则c2会响应这个metadata发布命令。beacon将会收到具体任务内容与一个任务id。
4.执行完毕后beacon将回显数据与任务id用post方式发送回C2(细节可以在malleable_profile文件中的http-post部分进行自定义)，然后又会回到睡眠状态。

参考资料
https://www.chabug.org/web/832.html