1. 项目概述与核心价值最近在和一些做安全研究的朋友交流时大家普遍提到一个痛点现成的CobaltStrike后文简称CS虽然功能强大但特征过于明显无论是流量还是载荷在稍微有点防护的环境里很容易就被识别和拦截。直接拿来用无异于“裸奔”。于是二次开发就成了一个绕不开的话题。但一提到“二次开发”很多人第一反应是“门槛高”、“无从下手”感觉要深入Java字节码的海洋修改那些晦涩难懂的代码。这个项目就是针对这个痛点的一次完整实践。它不是一个简单的“改个图标”或者“换个端口”的教程而是一次从底层反编译开始到最终生成具备一定免杀能力的可执行文件的系统性拆解。整个过程我把它拆解成了几个核心环节反编译获取源码、关键功能分析与修改、载荷免杀配置、以及最终的打包与测试。我会把每个环节中我踩过的坑、验证过的有效方法以及一些“只可意会”的细节配置都毫无保留地分享出来。无论你是想深入理解CS的工作原理还是迫切需要打造一个更隐蔽的测试工具这篇内容都能给你提供一条清晰的路径和可直接复现的操作指南。2. 整体思路与技术选型解析2.1 为什么选择“反编译”作为起点很多二次开发教程会直接提供一份“已经反编译好”的源码但这恰恰丢失了最关键的一步——理解原始代码的构建过程和结构。自己动手反编译虽然前期麻烦但好处是决定性的版本可控你可以针对特定版本的CS进行反编译避免因为源码版本与你的客户端/服务端版本不匹配导致的兼容性问题。CS不同版本间的类结构和方法可能有细微差别。深度理解反编译的过程本身就是一次对CS架构的逆向学习。你会亲眼看到它的包结构、依赖关系、核心类的设计模式比如大量使用的观察者模式、工厂模式这对后续的修改至关重要。定制化基础你得到的是一手、纯净的源码没有经过他人的二次修改。这为后续任何深度的定制比如替换通信协议、修改心跳机制打下了最可靠的基础。我的选择是使用JD-GUI结合FernFlower反编译器引擎。JD-GUI提供了图形化界面便于浏览和导出而FernFlower的反编译准确率在同类工具中表现非常出色生成的代码可读性高变量名还原得比较好极大降低了后续的代码分析成本。注意务必从CS官方或可信渠道获取原始的JAR文件。使用来路不明的、可能已被修改的JAR进行反编译可能会引入后门或导致分析方向错误。2.2 二次开发的目标与边界定义在动手之前必须明确我们这次二次开发的主要目标是什么。漫无目的地修改只会增加复杂度和不确定性。本次实战的核心目标聚焦于以下两点这也是大多数红队场景中最急迫的需求流量特征免杀修改CS Beacon与TeamServer之间通信的默认特征包括但不限于User-Agent默认的UA特征非常明显。HTTP头部字段如Cookie、Authorization等字段的默认命名和格式。URI路径默认的/jquery-3.3.1.min.js等路径是各大流量检测设备的重点关照对象。证书使用默认的、已被广泛收录的SSL证书。静态/动态行为免杀修改生成的Payload如exe, dll以避免被终端安全软件AV/EDR静态扫描和动态行为检测识别字符串混淆加密或混淆Payload中的敏感字符串如域名、管道名、函数名。代码混淆与加壳改变代码结构增加反分析难度。睡眠模式修改默认的睡眠sleep和抖动jitter算法避免规律的通信模式被检测。系统调用替换或混淆直接的Native API调用绕过EDR的钩子Hook。本次开发不涉及对CS核心攻击模块如提权、横向移动、凭证窃取的算法修改也不重写其通信加密协议。我们集中在“伪装”和“变形”层面这是性价比最高、最实用的起步点。2.3 环境与工具链准备工欲善其事必先利其器。一个稳定、隔离的开发环境是成功的前提。以下是我搭建的环境你可以直接参考操作系统Windows 10/11 专业版 Kali Linux虚拟机。Windows用于Java IDE开发Kali用于运行TeamServer和进行网络测试。强烈建议使用虚拟机方便快照和重置。Java环境安装JDK 8和JDK 11。CS 4.x 版本基于Java 8构建但一些新的反编译/编译工具可能需要更高版本的JDK。配置好JAVA_HOME和PATH环境变量确保可以灵活切换。集成开发环境IDEIntelliJ IDEA Community Edition。它对Java项目、Maven/Gradle的支持远超Eclipse在代码导航、重构方面效率极高。反编译工具JD-GUI用于可视化浏览和导出反编译后的源码。FernFlower可以作为独立JAR使用有时比JD-GUI自带的引擎更好用用于命令行批量反编译或处理JD-GUI处理不好的文件。打包与构建工具Apache Maven。CS原项目就是Maven项目我们需要用它来管理依赖和完成最终的打包。你需要熟悉基本的pom.xml配置。调试与测试工具Wireshark抓取和分析修改前后的C2流量直观验证特征修改是否生效。Burp Suite代理拦截HTTP/HTTPS流量详细检查每个请求/响应的头部和内容。虚拟靶机准备一台安装有常见杀毒软件如Defender、火绒的Windows虚拟机用于测试Payload的免杀效果。3. 核心步骤一反编译与源码重构3.1 解压与初步结构分析拿到cobaltstrike.jar通常是client端和cobaltstrike.jarserver端可能名称不同后不要急着用JD-GUI打开。先用压缩软件如7-Zip解压看看里面的结构。cobaltstrike.jar (Client) ├── META-INF/ ├── com/ │ └── ... (核心代码包) ├── resources/ (图标、配置文件等) └── third-party/ (第三方库)你会发现里面包含了大量的.class文件和一些资源文件。我们的目标是将所有.class文件反编译成.java文件并重新组织成一个标准的、可以被IDE和Maven识别的Java项目。3.2 使用JD-GUI进行反编译与导出批量导出打开JD-GUI将cobaltstrike.jar拖入。在界面中点击File-Save All Sources。JD-GUI会生成一个.zip文件里面是按照包结构组织的.java文件。处理反编译错误有些复杂的类尤其是涉及大量Lambda表达式或混淆的可能反编译失败代码会显示为“// INTERNAL ERROR”或一堆字节码。这时需要备用方案使用FernFlower命令行工具对单个jar或整个jar进行反编译java -jar fernflower.jar cobaltstrike.jar decompiled_output/。FernFlower的输出有时更准确。对于顽固的类可以结合使用Bytecode Viewer或CFR等其他反编译器取长补短。源码整理将导出的所有.java文件按照原始的包目录结构com/xxx/xxx放置到一个新的Maven项目的src/main/java目录下。同时将jar中resources/下的所有文件复制到项目的src/main/resources目录。这是保证程序能正确找到图片、配置文件的关键。3.3 重建Maven项目与依赖管理这是将一堆源码变成可编译项目的关键一步。创建pom.xml在项目根目录创建pom.xml文件。你需要根据反编译出的代码推断出原始的依赖。CS依赖了一些特定的库如org.apache.httpcomponents(HTTP客户端)commons-codec(编解码)Java Swing相关GUI界面一些密码学库。 一个可行的办法是观察代码中的import语句去Maven中央仓库搜索对应的依赖。也可以参考网上一些开源的非官方CS源码项目的pom.xml但要注意版本匹配。处理缺失的依赖和内部类反编译出的项目几乎一定会缺少某些依赖或者遇到无法解析的类可能是CS内部的自定义类或者被混淆的类。你需要将原始cobaltstrike.jar中third-party/下的其他jar包作为依赖添加到pom.xml或者直接放入项目的lib目录并手动引入。对于反编译缺失或错误的内部类可能需要结合多个反编译器的结果进行手动修补这是一个需要耐心和Java功底的过程。首次编译在IDEA中打开项目配置好Maven尝试执行mvn compile。你会遇到海量的错误缺少符号、方法签名不匹配、泛型问题等等。这是最磨人的阶段。你需要逐个修复类型擦除问题反编译器可能无法准确还原泛型需要你根据上下文手动添加...。内部类访问调整内部类的访问修饰符或引用方式。混淆导致的同名类有些类名可能被简单混淆如a,b,c需要根据其所在包和用途尝试重命名为有意义的名称但这步不是必须的不影响编译可以不改。实操心得不要指望一次编译通过。建议采用“分而治之”的策略。先注释掉所有出错的地方然后从一个最简单的、没有依赖的类开始逐步修复其依赖的类像拼图一样一块块恢复。同时善用IDEA的“Find Usages”功能理解类之间的关系。4. 核心步骤二关键功能修改与免杀配置当你的项目能够成功编译甚至能启动Client界面时就可以开始真正的“二次开发”了。我们聚焦于几个最关键、最有效的修改点。4.1 流量特征修改流量特征主要集中在beacon包下的通信相关类中。你需要找到负责构造HTTP请求的类。定位关键类通常涉及BeaconHTTP、BeaconHTTPS、BeaconC2等类。在代码中搜索jquery-3.3.1、User-Agent、Cookie等默认字符串可以快速定位。修改HTTP头部User-Agent不要简单地替换成一个固定的新UA。更好的做法是建立一个UA池每次请求随机选取或者模仿当前流行浏览器Chrome, Edge的UA格式进行动态生成。// 示例简单的UA池 private static final String[] USER_AGENTS { Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 ..., Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/605.1.15 ... }; public String getRandomUserAgent() { return USER_AGENTS[new Random().nextInt(USER_AGENTS.length)]; }URI路径将/jquery-3.3.1.min.js、/pixel.gif等路径改为更常见的、或者看起来像目标网站正常的API路径例如/api/v1/collect、/static/js/app.js。同时修改BeaconC2类中对应的路径配置逻辑。Cookie名称默认的SESSIONID可以改为其他名称如AUTH_TOKEN、IDENTITY等。修改SSL证书这是HTTPS流量免杀的重中之重。CS默认使用一个自签名证书其特征如颁发者、序列号早已被收录。生成新证书使用OpenSSL生成全新的、带有不同Subject信息国家、组织、通用名的证书。openssl req -newkey rsa:2048 -nodes -keyout teamserver.key -x509 -days 365 -out teamserver.crt -subj /CUS/STState/LCity/OCompany/CN*.example.com修改证书加载代码找到TeamServer代码中加载证书的地方通常是Start类或Server类中修改其逻辑使其从你指定的新文件如my.crt中读取证书而不是使用硬编码的字节数组。同时需要修改Client端连接时信任的证书链逻辑如果使用了自定义信任库。4.2 Payload生成与混淆Payload的免杀分为静态和动态。静态免杀主要针对文件本身动态免杀针对其运行时的行为。字符串加密Beacon配置信息C2地址、端口、睡眠时间在Payload中是明文字符串这是静态扫描的重点目标。你需要找到BeaconPayload或Payload相关的生成类。实现简单的XOR或AES加密在生成Payload时先将所有配置字符串加密然后在Payload的入口处Stager添加一段解密代码。这样最终的二进制文件中存放的是密文。// 生成时加密 String c2Host 192.168.1.100; String encryptedHost xorEncrypt(c2Host, key); // 将encryptedHost和key或key的派生值嵌入Payload修改CommonUtilsCS有一个CommonUtils类里面有很多返回默认字符串的方法如getWatermark也需要一并处理。睡眠与抖动算法默认的睡眠模式固定间隔加固定比例抖动很容易被行为检测引擎建模。可以修改BeaconSleep相关的逻辑。引入更复杂的算法例如使用正弦曲线、随机数种子生成器来决定下一次睡眠时间使其看起来更不规则。动态调整根据当前系统时间、CPU负载等环境因素微调睡眠间隔。系统调用混淆直接调用CreateProcess、WriteProcessMemory等API是EDR的重点监控对象。间接系统调用通过系统调用号Syscall直接调用内核绕过用户态的API钩子。这需要编写对应的Shellcode或汇编代码。API动态解析不直接链接kernel32.dll而是在运行时通过LoadLibrary和GetProcAddress动态获取API地址调用时可以将函数名进行哈希处理后再比较避免字符串暴露。这些修改通常涉及Native代码你需要修改beacon.dll或beacon.x64.dll的生成模板在resources/目录下可能找到模板文件或者使用第三方加载器如Donut来封装你的Shellcode。4.3 编译与打包验证所有代码修改完成后使用Maven进行打包。编译打包运行mvn clean package -DskipTests。如果一切顺利会在target/目录下生成新的cobaltstrike.jar。替换与测试用新生成的jar文件替换原CS客户端的jar文件。启动你的修改版TeamServer同样需要用修改后的server jar包。使用客户端连接生成一个Payload。验证流量在测试机运行Payload同时用Wireshark和Burp Suite抓包。仔细检查每一个HTTP请求确认User-Agent、路径、头部字段都已按预期修改。验证HTTPS握手是否使用了你的新证书。验证免杀将生成的Payload上传到VirusTotal注意此举会公开你的样本或使用本地杀毒软件进行扫描。也可以在多款主流杀软如Defender、360、火绒的虚拟机中进行动态行为测试观察是否触发告警。注意事项免杀是一个持续对抗的过程。今天有效的方法明天可能就被加入特征库。因此你的修改策略应该是多样化和可配置化的。例如将UA列表、URI路径、加密密钥等做成外部配置文件便于随时更换而无需重新编译整个项目。5. 常见问题排查与实战技巧在实际操作中你会遇到各种各样的问题。这里记录了一些典型问题的排查思路和解决方法。5.1 编译与依赖问题问题mvn compile失败提示“程序包com.xxx不存在”或“找不到符号”。排查检查pom.xml中的依赖声明是否完整。对比反编译代码中的import语句。检查是否将原JAR中third-party/下的所有库都添加为依赖了。有些是私有库需要手动install到本地Maven仓库。使用mvn dependency:tree命令查看完整的依赖树确认是否有冲突或缺失。解决对于缺失的私有JAR可以手动安装mvn install:install-file -Dfileyour.jar -DgroupIdcom.custom -DartifactIdlib -Dversion1.0 -Dpackagingjar。5.2 客户端-服务端通信失败问题修改后的客户端能启动但无法连接到TeamServer或者连接后无法正常交互。排查网络层面先用telnet或nc检查TeamServer的端口是否可达。证书问题最常见如果修改了SSL证书客户端必须信任新证书。确保你修改了客户端中相应的证书信任逻辑可能是硬编码的证书哈希值。一个简单的测试方法是先在客户端配置中暂时取消SSL验证仅用于测试看是否能连接。版本不匹配确保客户端和TeamServer的jar是基于同一版本源码修改和编译的。细微的API变动可能导致通信协议解析失败。日志分析查看TeamServer启动时的日志以及客户端连接时的错误提示。CS本身会有一些错误输出到控制台。5.3 Payload生成失败或执行异常问题能生成Payload但Payload在目标机器上无法执行或执行后立刻崩溃。排查字符串加密/解密错误这是最可能的原因。确保Payload生成时的加密算法、密钥与Stager中的解密算法完全匹配。一个字节的错误都会导致解密失败进而使Beacon配置解析错误。可以在本地编写单元测试验证加密解密函数是否可逆。Shellcode生成错误如果你修改了beacon.dll的模板确保生成的Shellcode格式正确并且入口点有效。可以使用scdbg或BlobRunner等工具在隔离环境中先运行测试你的Shellcode。依赖缺失某些Payload类型如windows/beacon_https/reverse_https可能需要依赖系统的特定DLL。确保目标系统环境满足要求。5.4 免杀效果不佳问题修改后的Payload仍然被大部分杀软查杀。排查与进阶技巧静态特征残留使用strings、PEiD、Die等工具分析你生成的Payload检查是否还有明显的CS特征字符串如beacon、cobaltstrike的变体、默认的管道名MSSE-XX-server未被加密或混淆。熵值分析加密后的代码段熵值会显著升高这本身可能成为一个特征。可以考虑在加密后混合一些无害的“垃圾代码”来调整熵值。行为特征即使静态过了动态行为如内存分配、进程注入、网络连接模式可能被检测。考虑使用更成熟的加载器放弃CS原生的生成方式使用诸如sRDI、Donut等技术将Beacon Shellcode转换为位置无关的代码然后由高度混淆的加载器Loader来执行。Loader的编写可以借鉴很多开源免杀项目。进程注入技术替换默认的注入技术尝试使用Process Hollowing、APC Injection、Early Bird APC等不同技术。睡眠规避实现更彻底的睡眠混淆例如将Beacon线程挂起而由另一个“看守”线程来负责定时唤醒或者利用系统事件如用户输入作为触发条件。5.5 维护与迭代建议二次开发不是一劳永逸的。CS在更新安防能力也在进化。版本控制使用Git管理你的修改。为原始反编译代码建立一个分支你的每次修改都提交到另一个分支。这样可以清晰地追踪改动也便于在未来合并新版本CS的更新。模块化修改将你的免杀配置如UA列表、路径、加密密钥尽可能外置为配置文件或数据库实现“代码”与“配置”分离。这样更新免杀策略时只需更换配置无需重新编译和分发客户端。持续学习关注最新的红队技术、免杀技巧和EDR检测逻辑。社区如GitHub、安全论坛是宝贵的灵感来源。理解防御方的检测原理才能更好地进行规避。最后我想强调的是二次开发的根本目的不是为了“无敌”而是为了在特定的测试环境中增加隐蔽性延长生存时间。它是一场“猫鼠游戏”中的技术准备。真正的安全在于对工具的深刻理解、对操作手法的精细把控以及最重要的——遵循授权的测试范围与职业道德。通过这个从反编译到免杀配置的全流程实践我希望你收获的不仅仅是一个改头换面的工具更是一套分析、修改、调试复杂Java项目的通用方法论这套方法在面对其他需要定制化的安全工具时同样适用。