文章 - 以OrcaC2为例简单分析C2框架部分功能的实现

OrcaC2简介

看强网杯Master of DFIR - Phishing用的这个C2项目，简单分析一下OrcaC2的功能实现吧，项目地址：

https://github.com/Ptkatz/OrcaC2

分为四部分，Orca_Loader是导入Orca_Master生成的马用的，Orca_Master是客户端，Orca_Server是服务端，Orca_Puppet是被控端马的源码，都是用GO写的

环境搭建

先跑一下Orca_Master，发现是需要先编译好几个exe

根据install，手动编译一下需要的东西

一些坑

在调试的时候发现一个问题，客户端和服务端之间经常断，但是心跳包是没问题的，尝试了以下方法

在server里面没找到通联相关的参数，在master里面找到了，把超时时间改长一点，还是不行，过两分钟然后就断了

之后我猜测可能心跳的问题？在server里面找到心跳相关的参数改一下，但是还是不行

再然后猜测可能是服务端获取的ip有问题？把网卡都禁用了只留一个虚拟机网卡

发现还是不行，用源码自己编译和用作者编译好的都会断，不知道为什么，不过问题不大，就是调试起来难受点

分析几个功能的实现

功能太多了，调了其中的三个看看吧

先看Orca_Master的main.go，核心在这里

跳转过去，发现这里是内置好了各种参数，和实现参数功能的源码，这里之挑选几个比较常见的看

generate/build功能

主要逻辑实现在generateCmd.go，打个断点，直接看

在这里获取stub、puppet的路径和aes的key、获取了时间戳

stub被读取为stubData，然后进入这里面

generateopt.BuildMap[fileType](stubData, host, dProtoStr, target, key, outputPath)

跟过去发现有个GenerateExe函数，传进了参数，进行了异或，生成了一个新的exe，根据前面调试看见的变量outputPath，可以认定新的exe就是loader.exe

这时候再来看看stub的源码

可以看到一开始是有默认值的

可以手动异或一下看看，发现跟Orca_Master里面type.go默认的值是一样的

GenerateExe就是把这些默认的字节替换，我们把生成的loader.exe扔进ida看看，可以验证我们的分析

然后继续看generateCmd，进入shellcode.PE2ShellCode(srcFile, dstFile, &params)，后面就是上传了，所以如果把Orca_Puppet_win_x64.exe转化成.bin文件就是在这里了，步入看一下，经过了donutGen的处理

继续跟进，在这读入config和Orca_Puppet_win_x64，就生成了那个bin文件

再跟进

到这基本就可以判断是Donut混淆了，并且在引用的包里面也可以看到是(到这里如果再跟就是要分析Donut的源码了，看https://xz.aliyun.com/t/13920即可

master把Puppet.exe经过donutGen处理之后生成一个bin文件，传到server端，然后同时生成了一个loader.exe，把这个loader.exe传到被控段，运行这个loader.exe他会从server端下载那个bin文件，那怎么把这个bin运行起来的呢？初步看跟master、Puppet无关，看起来是loader.exe下载把数据保存在内存里，把内存区域标记为可执行，然后执行。所以如果想还原的话，把这个内存转储出来，应该是可行的。

解强网杯那个题的话，可以自己起个环境，生成一个loader.exe，调试改一下时间戳，或者patch一下loader.exe里面的server参数和bin文件名，把流量里的bin文件放在自己环境的服务端，就ok了