Cobalt Strike：内存转储 - 第 6 部分

博文系列：Cobalt Strike：解密流量

• Cobalt Strike：使用已知私钥解密流量 - 第 1 部分
• Cobalt Strike：使用已知私钥解密流量 - 第 2 部分
• Cobalt Strike：使用进程内存解密流量 - 第 3 部分
• Cobalt Strike：解密混淆流量 - 第 4 部分
• Cobalt Strike：解密 DNS 流量——第 5 部分
• Cobalt Strike：内存转储 - 第 6 部分（当前）
• Cobalt Strike：概述 – 第 7 部分

这是创建和分析 Cobalt Strike 信标的内存转储的不同方法的概述。

本系列博文介绍了解密 Cobalt Strike 流量的不同方法。在 本系列的第 1 部分中，我们揭示了在恶意 Cobalt Strike 包中发现的私有加密密钥。在 第 2 部分中，我们从 RSA 私钥开始解密 Cobalt Strike 流量。在 第 3 部分中，如果您不知道私有 RSA 密钥但确实有进程内存转储，我们将解释如何解密 Cobalt Strike 流量。在 第 4 部分中，我们处理使用可塑性 C2 数据转换混淆的流量。在 第 5 部分中，我们处理 Cobalt Strike DNS 流量。

对于之前博客文章中讨论的一些 Cobalt Strike 分析方法，进行内存转储很有用：系统 RAM 的内存转储，或托管 Cobalt Strike 信标的进程的进程内存转储。

我们概述了制作和/或使用内存转储的不同方法。

完整的系统内存转储

有几种方法可以获得 Windows 机器的完整系统内存转储。由于这些方法大多涉及商业软件，我们不会详细介绍获取完整内存转储的细节。

当您有一个未压缩的完整系统内存转储时，首先要检查的是内存中是否存在 Cobalt Strike 信标。这可以使用工具1768.py来完成，该工具用于提取和分析 Cobalt Strike 信标的配置。确保使用 64 位版本