原来通过对 CobaltStrike 的beacon上线流量分析之后，beacon文件传输的特征，它还是有可能会被相关的IDS设备检测

通过wireshark 简单分析下正常的空心跳包的流量特征之后，发现了4个参数的含义，原来通过.cobaltstrike.beacon_keys文件中的密钥对 可以去尝试加解密对应的元数据metadata。

最后通过在metadata里面获取到的rawkey，可以用来解密对称流量，最后从而还原对应流量包里面的执行命令和命令响应流量成明文。

通过对 CobaltStrike 的beacon上线流量分析 之后，beacon文件传输的特征，它还是有可能会被相关的IDS设备检测它的这个beacon文件传输的特征。



在HVV的时候，原来CobaltStrike二开之后，它才会更好用。

cobaltstrike和waf有啥关系？怎么感觉水文啊

感谢师傅回复，前些天我刚来论坛，新人懂的知识少，请见谅 前天凌晨快4点了，我大脑反应迟钝了这是我看了多个文章后的零碎想法集合，或者说是1种大脑临时拼凑出来的笔记

先把人名字搞对，然后你这个到底在说什么？

我无意中少打了3个字母，感谢提醒，已修正我表达错误的地方

emmmmm，没太懂你的意思  道友  我抠破脑袋也没弄明白。

是我太菜。我语言组织表达能力不合格请各位见谅，忽视我这个帖子吧。

你真有研究过cs的流量特征吗？和waf有啥关系？？

师傅，您说的对，和WAF无关系

那么”beacon文件传输的特征“ 这个特征到底是什么呢？是任务下发还是结果回传阶段呢？
下面是我分析的beacon 结果回传数据格式，就是三部分组成：数据长度+ AES 数据 + hmac。这个有什么特征呢？<