CS 4.4 二开笔记：基础篇
CS 4.4 二开笔记：增强篇
CS 4.4 二开笔记：beacon 指令分析篇

之前看了鸡哥针对beacon进行逆向，了解了beacon指令号的含义。还有WBG对beacon协议的分析，写得也很详细。因此重复的部分我就不过多赘述了。本文是从cs的源码出发进行分析，得到了更为详尽的信息，我在这里补全beacon的全部指令含义，希望能对大家有所帮助。

aggressor 运行后启动本地web服务，输入与teamserver相同的账号密码后进入主界面。
teamserver 等待 aggressor 发送的加密指令，解密后进行处理。
teamserver 设置监听器（例如beacon_name https 443端口），将指令号放至端口等待beacon取（根据beacon的元数据来区别beacon）。
beacon 取回后设置 jobs，任务轮流执行。

此处以jquery.profile中的get为例：

get:

跟get的流程一样，post在profile中也可进行设置:

密钥解密 https://the-x.cn/cryptography/Rsa.aspx
元数据使用RSA加密，任务回传数据使用的是AES加密，其中AES的密钥是协商进行传递的。

我是通过cna脚本事件来追踪指令号发送的流程的，在这里举例两个追踪流程的原理，第二个举例则为指令追踪的原理。

内置的cna脚本对接源码的原理如下：

default.cna默认Access选项中的openElevateDialog：（用于提权）

对应在BeaconBridge.java中：
先是脚本注册：

脚本触发函数：

对应进入ElevateDialog界面（ElevateDialog.java）：
可以看到下发指令号的类依靠的是TaskBeacon，

针对代码进行进一步分析：

进入TaskBeacon.java，可以看到Elevate函数：

这个函数调用了ServiceEXE.java类（注意：不是BeaconExploits.java中的Elevate函数）：

可以看到此处主要使用的是TaskBeacon.PsExec函数：
从这里开始进行下发指令号，下发顺序为：10 -> 56
对应执行的操作是upload file和delete file。

Elevate操作涉及到的指令号为 10 -> 100 -> 56，其中100指令号的实现是通过beacon/PostExInlineObject.java类实现的：

在这里涉及到100指令号的操作有两个，通过debug发现是属于PostExInlineObject.java类中的go函数。

可以看到go函数在PsExec中进行了调用：

go函数的作用是用来发送一个BOF进行执行：

运行原理如下：

我们自己重构beacon需要掌握如何发送beacon指令号，teamserver端调用指令号只需要实现下面的代码就可以了：

此处结合鸡哥之前提供的指令号进行扩充，如有问题欢迎补充：

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)