关于Cobalt Strike检测方法与去特征的思考
作者：毁三观大人 Dm
校对：Flame
DeadEye安全实验室出品，未经授权，禁止洗搞，如有洗搞，肯定搞你
人云亦云
关于检测Cobalt Strike的方法有很多，而网上有一些文章会告诉大家如何修改所谓的特征值，但是这些方法实际上存在一定的误导和盲区
一般发现Cobalt Strike服务器的途径有以下几种（简单分类，不准确，勿喷）
样本分析
中马回连
黑客连主控端
扫描发现
这里被使用的比较多的就是扫描发现，同时网上一些文章提到Cobalt Strike默认的SSL/TLS证书是固定的，所以一般都是使用这个证书作为特征值来发现Cobalt Strike服务器
所以，今天我们主要讨论这个默认SSL/TLS证书的问题
证书修改
现在让我们提取这个证书的相关信息
根据网上一些文章的修改方法，我们需要使用keytool修改证书信息，方法如下
默认的证书具有很明显的特征，例如
O=cobaltstrike, OU=AdvancedPenTesting, CN=Major Cobalt Strike我们拿这个信息去检索就可以发现许多Cobalt Strike服务器
但是这里忽略了一个问题，你到底修改的是什么证书，是主机上线的时候使用的吗？
这个证书是teamserver主控端使用的加密证书（默认端口50050)
修改这个证书以后teamserver服务器主控端的特征是没了
之前有一些人hunting C2服务器使用的就是这个规则
例如在fofa.so中，就有一条规则叫
protocol=="cobaltstrike"当然，我们也可以使用
cert="Major Cobalt Strike"直接搜索
这里需要注意，使用
cert="Major Cobalt Strike"搜索会发现有一些主机并没有被标注为Cobalt Strike服务器
（存在漏网之鱼
当然为了保证数据的时效性，我们在fofa.so搜索的时候最好加上
after="2020-01-01"重要的分割线！！！！注意！！！！
但是！https上线使用的证书，并不是上边我们修改的那一个，并且这个证书也是默认的...
证书信息如下图：
如果想要修改这个证书，需要修改Malleable C2 profile
查看官方文档
https://www.cobaltstrike.com/help-malleable-c2
其中Self-signed Certificates with SSL Beacon和Valid SSL Certificates with SSL Beacon是用来修改https上线使用的证书的，Self-signed Certificates with SSL Beacon根据字母意思理解，就是自己设定的自签名证书，还有如果使用了Valid SSL Certificates with SSL Beacon，我们在之前通过keytool设置的证书也可以用的上，但是这里应该让我们使用的是真实的证书，不管是偷来的还是买来的，用就完了
Let's Hunt！
使用fofa.so搜索相关证书信息
cert="73:6B:5E:DB:CF:C9:19:1D:5B:D0:1F:8C:E3:AB:56:38:18:9F:02:4F" && after="2020-01-01"使用censys.io搜索相关信息
443.https.tls.certificate.parsed.fingerprint_sha256:87f2085c32b6a2cc709b365f55873e207a9caa10bffecf2fd16d3cf9d94d390c这里我们可以发现一些有趣的现象，例如有些服务器的50050端口也开了，teamserver主控端的证书确实也是修改了，这证明攻击者还是会看一下文章学习如何去特征，但不幸的是只修改了一个
仅仅是扫描ip就能拿到所有证书吗？不能，我们也需要扫描域名，还有就是https也不一定只开在443端口上
据我们了解，好多人搭建C2服务器的方法都比较原始，比如在某云搭建C2服务器，不会使用slb/elb转发请求，不会使用security group控制访问，不会使用一些高明的隐藏C2的方法。并且烂大街的Domain fronting、CDN上线、高信誉服务等等也不会使用，就是上线梭哈一把刷.....真的是给蓝队兄弟们一条生路
等等，到这就完了吗？
检测加密流量
如果这些信息都修改了我们该怎么办那？
实际上还是有方法去检测的
我们可以参考https://github.com/salesforce/ja3这个项目
简单科普一下JA3
JA3方法用于收集Client Hello数据包中以下字段的十进制字节值：版本、可接受的密码、扩展列表、椭圆曲线密码和椭圆曲线密码格式。然后，它将这些值串联在一起，使用“,”来分隔各个字段，同时，使用“-”来分隔各个字段中的各个值。
这里相当于把支持的TLS扩展信息，都收集起来当作一个特征值来用（除了客户端发起的，还有关于服务器的JA3S）
这其实算一种降维打击，并且我们发现主流在线沙箱、主流IDS大都支持了JA3/JA3S指纹检测
因为本篇文章主要是讨论Cobalt Strike默认证书的问题，所以在这里就不过多介绍JA3/JA3S相关的信息了
IOCs:
2[.]56.212.165
3[.]106.130.137
3[.]11.62.87
3[.]121.32.171
3[.]128.154.6
3[.]129.110.164
3[.]129.19.175
3[.]130.5.32
3[.]130.75.203
3[.]135.199.11
3[.]16.137.85
3[.]218.141.232
3[.]22.141.197
3[.]22.195.74
3[.]234.252.217
3[.]234.255.7
3[.]236.183.143
3[.]25.149.16
3[.]25.162.235
3[.]25.177.162
3[.]25.180.21
3[.]80.164.184
3[.]95.136.233
3[.]95.159.27
5[.]149.253.199
5[.]180.99.65
5[.]188.206.219
5[.]39.216.203
5[.]39.217.115
5[.]39.221.60
5[.]45.64.36
5[.]8.18.50
8[.]210.152.83
8[.]210.52.10
13[.]124.92.145
13[.]211.161.113
13[.]211.170.37
13[.]211.180.107
13[.]229.222.207
13[.]236.208.125
13[.]54.198.47
13[.]59.192.233
13[.]91.4.128
18[.]130.144.147
18[.]130.155.157
18[.]163.206.98
18[.]163.46.190
18[.]166.31.113
18[.]215.167.27
18[.]216.51.155
18[.]217.19.176
18[.]217.54.127
18[.]224.234.85
23[.]101.204.40
23[.]106.215.179
23[.]248.162.142
23[.]254.202.217
23[.]254.228.89
23[.]254.229.35
23[.]254.230.60
23[.]82.185.91
23[.]82.185.96
23[.]83.248.105
27[.]102.118.181
27[.]102.118.187
27[.]102.118.190
31[.]14.40.230
31[.]210.91.217
31[.]220.43.160
31[.]44.184.125
31[.]44.184.131
31[.]44.184.48
31[.]44.184.49
31[.]44.184.50
31[.]44.184.51
31[.]44.184.53
31[.]44.184.55
34[.]204.3.10
34[.]209.40.26
34[.]212.83.227
34[.]221.2.201
34[.]224.157.70
34[.]230.68.206
34[.]238.192.43
34[.]67.180.214
34[.]80.144.150
34[.]84.39.173
34[.]87.76.219
34[.]92.237.246
34[.]92.57.181
34[.]94.33.19
34[.]96.129.197
34[.]96.245.66
34[.]97.55.204
35[.]164.172.115
35[.]176.207.20
35[.]201.164.132
35[.]203.173.196
35[.]225.244.45
35[.]234.156.244
35[.]235.89.222
35[.]241.125.159
36[.]133.35.7
39[.]100.119.37
39[.]100.233.99
39[.]100.65.99
39[.]100.72.108
39[.]101.174.86
39[.]101.207.137
39[.]101.207.158
39[.]102.37.102
39[.]102.40.225
39[.]102.52.75
39[.]104.162.182
39[.]105.106.14
39[.]105.202.243
39[.]105.229.27
39[.]105.23.21
39[.]105.24.37
39[.]105.55.133
39[.]105.59.107
39[.]105.69.107
39[.]106.107.82
39[.]106.144.55
39[.]106.205.34
39[.]106.21.92
39[.]106.219.95
39[.]106.223.146
39[.]106.81.105
39[.]106.85.139
39[.]106.9.248
39[.]107.101.223
39[.]107.111.157
39[.]107.221.136
39[.]107.231.0
39[.]107.59.30
39[.]107.99.0
39[.]108.181.99
39[.]108.185.207
39[.]108.195.174
39[.]108.236.227
39[.]108.5.55
39[.]108.95.18
39[.]96.1.24
39[.]96.10.181
39[.]96.12.238
39[.]96.13.114
39[.]96.63.97
39[.]97.126.8
39[.]97.187.94
39[.]97.188.94
39[.]97.232.51
39[.]98.157.103
39[.]98.171.162
39[.]98.203.19
40[.]122.106.213
40[.]127.129.199
40[.]70.64.23
40[.]73.6.221
42[.]159.86.108
43[.]224.35.134
43[.]225.30.90
43[.]226.148.151
43[.]226.153.250
43[.]226.26.242
43[.]240.15.68
43[.]242.201.199
43[.]246.208.208
43[.]246.208.225
43[.]246.208.240
43[.]248.124.189
45[.]10.20.166
45[.]11.180.108
45[.]11.180.220
45[.]11.79.20
45[.]113.2.107
45[.]114.10.17
45[.]124.64.53
45[.]134.168.146
45[.]137.10.116
45[.]138.172.81
45[.]138.209.75
45[.]142.124.196
45[.]145.185.68
45[.]153.241.16
45[.]192.118.162
45[.]192.118.163
45[.]192.118.164
45[.]192.118.165
45[.]192.118.166
45[.]248.85.20
45[.]32.116.138
45[.]32.122.112
45[.]32.122.152
45[.]32.32.186
45[.]32.62.198
45[.]32.78.66
45[.]61.136.32
45[.]61.136.46
45[.]66.250.14
45[.]76.106.22
45[.]76.158.91
45[.]76.183.78
45[.]76.208.172
45[.]76.25.185
45[.]77.13.57
45[.]77.143.131
45[.]77.172.168
45[.]77.174.46
45[.]77.18.248
45[.]77.249.181
45[.]77.91.11
45[.]78.67.211
45[.]78.9.49
45[.]82.79.211
45[.]83.140.231
45[.]83.237.19
46[.]166.128.234
46[.]166.129.169
46[.]166.129.170
46[.]166.176.140
46[.]17.98.192
46[.]21.147.5
46[.]255.211.20
46[.]4.157.54
47[.]100.136.26
47[.]100.46.70
47[.]100.48.156
47[.]100.55.126
47[.]100.77.190
47[.]100.89.120
47[.]101.11.214
47[.]101.130.253
47[.]101.149.183
47[.]101.177.45
47[.]101.208.219
47[.]101.35.67
47[.]101.62.0
47[.]102.110.39
47[.]102.86.216
47[.]103.207.83
47[.]103.220.119
47[.]103.220.165
47[.]103.29.187
47[.]103.62.94
47[.]104.108.112
47[.]104.11.169
47[.]104.193.7
47[.]104.238.128
47[.]104.77.93
47[.]104.82.12
47[.]105.146.99
47[.]105.180.183
47[.]105.99.5
47[.]106.70.58
47[.]107.102.61
47[.]107.108.38
47[.]107.136.247
47[.]108.113.23
47[.]108.153.115
47[.]108.60.37
47[.]110.145.60
47[.]110.228.171
47[.]112.184.59
47[.]113.103.131
47[.]113.126.57
47[.]113.94.95
47[.]114.45.227
47[.]114.93.159
47[.]114.93.194
47[.]115.125.106
47[.]115.38.42
47[.]240.43.238
47[.]240.54.247
47[.]244.0.247
47[.]244.13.36
47[.]244.14.7
47[.]244.218.224
47[.]245.12.138
47[.]245.31.124
47[.]52.161.9
47[.]56.151.214
47[.]56.169.92
47[.]56.253.186
47[.]57.186.166
47[.]75.42.43
47[.]75.55.181
47[.]75.86.225
47[.]91.221.115
47[.]91.242.27
47[.]92.155.231
47[.]92.219.198
47[.]92.239.244
47[.]92.255.176
47[.]93.116.160
47[.]93.12.191
47[.]93.229.0
47[.]94.102.248
47[.]94.136.27
47[.]94.14.145
47[.]94.154.108
47[.]94.228.41
47[.]94.96.209
47[.]95.115.1
47[.]95.119.10
47[.]95.194.251
47[.]95.205.52
47[.]97.98.237
47[.]98.131.192
47[.]98.156.92
47[.]98.162.206
47[.]98.166.253
47[.]98.239.204
47[.]98.244.206
47[.]98.247.45
47[.]99.48.241
47[.]99.72.130
49[.]232.20.75
49[.]232.239.196
49[.]232.27.213
49[.]232.39.67
49[.]233.132.10
49[.]233.137.7
49[.]233.155.141
49[.]233.73.185
49[.]233.78.149
49[.]233.85.7
49[.]233.89.89
49[.]234.105.212
49[.]234.155.24
49[.]234.239.23
49[.]234.5.74
49[.]234.64.118
49[.]234.93.171
49[.]234.94.85
49[.]235.119.2
49[.]235.144.34
49[.]235.158.131
49[.]235.166.224
49[.]235.199.136
49[.]235.200.123
49[.]235.204.16
49[.]235.212.74
49[.]235.217.243
49[.]235.22.75
49[.]235.223.77
49[.]235.23.207
49[.]235.23.236
49[.]235.244.235
49[.]235.40.131
49[.]235.42.77
49[.]235.50.54
49[.]235.60.144
49[.]235.90.230
50[.]112.70.12
51[.]15.136.48
51[.]210.87.117
51[.]83.200.186
51[.]91.79.126
52[.]14.171.234
52[.]14.65.166
52[.]147.4.139
52[.]166.232.140
52[.]175.218.135
52[.]22.35.45
52[.]229.22.93
52[.]87.210.1
52[.]90.135.23
52[.]91.46.68
52[.]91.75.52
54[.]153.242.99
54[.]169.240.239
54[.]172.42.32
54[.]174.145.85
54[.]175.230.166
54[.]201.107.45
54[.]206.20.207
54[.]212.69.111
54[.]213.249.7
54[.]214.197.200
54[.]246.146.207
54[.]252.206.69
54[.]252.210.126
54[.]253.108.178
54[.]253.244.200
54[.]80.166.26
60[.]163.129.202
60[.]205.3.82
61[.]141.222.100
62[.]113.117.167
63[.]142.243.214
63[.]34.87.167
64[.]128.143.70
64[.]225.114.141
64[.]227.121.168
64[.]227.6.38
64[.]44.133.156
65[.]49.133.221
65[.]49.135.123
65[.]49.224.215
66[.]152.191.41
66[.]42.62.80
69[.]30.206.250
69[.]30.232.138
69[.]30.232.139
69[.]30.232.140
69[.]30.232.141
69[.]30.232.142
74[.]118.138.159
78[.]128.114.113
78[.]129.165.207
78[.]142.18.157
78[.]142.194.114
78[.]94.208.254
79[.]141.162.41
81[.]70.19.111
81[.]70.30.97
83[.]164.140.60
85[.]92.108.85
85[.]93.20.114
88[.]214.26.29
89[.]45.4.135
91[.]121.76.158
91[.]208.184.81
91[.]241.19.10
92[.]223.105.130
92[.]42.14.133
93[.]115.23.169
94[.]100.18.43
94[.]156.189.168
94[.]232.40.176
94[.]232.43.237
95[.]141.41.18
95[.]142.40.121
95[.]179.134.194
95[.]179.201.34
95[.]179.228.227
95[.]179.236.54
99[.]79.101.225
99[.]81.122.12
100[.]24.234.117
100[.]24.56.227
100[.]25.151.21
101[.]132.116.202
101[.]132.236.129
101[.]132.33.79
101[.]133.137.195
101[.]200.147.217
101[.]200.164.199
101[.]200.53.21
101[.]200.55.39
101[.]200.87.178
101[.]201.121.13
101[.]201.65.35
101[.]32.29.242
101[.]37.24.50
101[.]37.76.212
103[.]147.12.5
103[.]150.8.146
103[.]193.4.11
103[.]209.102.241
103[.]214.165.213
103[.]224.82.171
103[.]238.224.138
103[.]242.134.79
103[.]254.75.240
103[.]255.179.187
103[.]39.108.20
103[.]45.116.10
103[.]45.129.67
103[.]45.173.221
103[.]56.53.100
103[.]68.251.31
103[.]73.161.42
103[.]78.243.197
103[.]78.243.198
103[.]78.243.199
103[.]94.180.33
103[.]97.124.50
104[.]128.93.229
104[.]149.168.199
104[.]154.248.179
104[.]160.41.224
104[.]168.159.36
104[.]168.172.252
104[.]168.174.197
104[.]168.175.192
104[.]168.176.29
104[.]168.214.104
104[.]192.169.78
104[.]194.10.206
104[.]198.151.234
104[.]225.239.196
104[.]237.4.40
104[.]238.134.63
104[.]244.156.156
104[.]251.217.97
106[.]12.90.123
106[.]13.174.69
106[.]13.182.116
106[.]13.33.86
106[.]13.42.155
106[.]13.48.213
106[.]13.8.47
106[.]13.85.189
106[.]14.0.74
106[.]14.189.174
106[.]14.82.209
106[.]15.202.7
106[.]15.249.108
106[.]2.13.25
106[.]52.214.81
106[.]52.235.216
106[.]52.55.45
106[.]53.116.113
106[.]53.226.165
106[.]53.231.16
106[.]53.241.3
106[.]53.243.154
106[.]53.59.24
106[.]53.74.243
106[.]53.97.24
106[.]54.177.4
106[.]54.211.200
106[.]54.241.235
106[.]54.84.65
106[.]54.96.164
106[.]55.153.204
107[.]148.241.235
107[.]148.247.198
107[.]161.188.203
107[.]182.24.70
108[.]177.235.22
108[.]61.162.223
108[.]61.200.55
108[.]61.201.65
109[.]235.70.99
111[.]229.107.34
111[.]229.35.56
111[.]229.51.128
111[.]229.58.217
111[.]230.197.23
111[.]231.228.112
111[.]231.240.158
111[.]231.79.105
111[.]90.149.188
112[.]124.20.162
112[.]126.89.177
112[.]74.33.227
113[.]31.118.7
114[.]116.225.193
114[.]116.41.86
114[.]118.4.213
114[.]215.86.71
114[.]55.106.242
114[.]55.25.227
114[.]55.33.36
116[.]204.170.146
116[.]62.100.78
116[.]62.104.16
116[.]62.174.32
116[.]62.200.143
116[.]85.69.130
117[.]50.80.107
117[.]51.136.34
117[.]51.142.47
117[.]51.150.222
118[.]126.100.187
118[.]178.94.47
118[.]184.23.74
118[.]24.108.239
118[.]24.136.75
118[.]24.170.186
118[.]24.28.219
118[.]24.85.85
118[.]24.9.34
118[.]25.138.119
118[.]25.157.90
118[.]25.71.232
118[.]89.95.126
119[.]23.237.214
119[.]23.241.16
119[.]23.42.235
119[.]23.79.133
119[.]28.194.152
119[.]29.116.14
119[.]29.119.60
119[.]29.132.198
119[.]29.188.218
119[.]3.124.44
119[.]3.140.246
119[.]3.187.188
119[.]3.86.69
119[.]45.136.244
119[.]45.191.253
119[.]45.5.195
119[.]45.56.199
120[.]131.3.43
120[.]132.81.138
120[.]132.81.145
120[.]24.64.98
120[.]25.167.81
120[.]26.160.136
120[.]26.162.133
120[.]26.177.10
120[.]27.17.232
120[.]27.245.125
120[.]27.3.39
120[.]55.194.145
120[.]76.119.147
120[.]77.180.97
120[.]78.176.65
120[.]78.196.37
120[.]79.142.88
120[.]79.210.67
120[.]79.237.135
120[.]79.24.186
120[.]79.28.147
120[.]79.38.19
120[.]92.173.127
121[.]127.234.11
121[.]196.177.46
121[.]196.193.160
121[.]196.27.187
121[.]199.16.25
121[.]36.107.213
121[.]36.12.130
121[.]36.140.230
121[.]36.146.237
121[.]36.149.225
121[.]36.155.174
121[.]36.162.110
121[.]36.175.175
121[.]36.196.31
121[.]36.211.148
121[.]36.215.68
121[.]36.252.20
121[.]36.32.125
121[.]36.37.7
121[.]37.23.161
121[.]40.103.231
121[.]40.124.244
121[.]41.229.1
121[.]41.82.60
121[.]46.4.136
122[.]114.195.209
122[.]51.131.86
122[.]51.137.157
122[.]51.16.84
122[.]51.250.26
122[.]51.253.174
122[.]51.33.2
123[.]206.21.178
123[.]206.210.153
123[.]206.221.27
123[.]206.232.40
123[.]206.47.78
123[.]207.14.227
123[.]56.116.146
123[.]56.228.208
123[.]56.27.243
123[.]56.9.63
123[.]57.143.225
123[.]57.17.24
123[.]57.209.41
123[.]57.241.243
124[.]156.120.11
124[.]156.196.145
124[.]217.230.137
124[.]243.240.42
124[.]70.135.155
124[.]70.151.66
124[.]70.200.2
129[.]204.169.102
129[.]204.207.114
129[.]204.228.7
129[.]204.248.145
129[.]204.89.21
129[.]28.196.47
129[.]28.203.182
132[.]232.3.136
132[.]232.33.160
132[.]232.75.164
134[.]175.132.40
134[.]175.15.58
134[.]175.183.74
134[.]209.130.219
135[.]181.1.70
135[.]181.49.38
135[.]181.49.39
136[.]243.44.50
138[.]128.208.123
138[.]91.90.6
138[.]99.216.18
139[.]129.231.62
139[.]155.18.71
139[.]155.23.11
139[.]155.34.217
139[.]155.69.206
139[.]180.186.130
139[.]180.199.171
139[.]186.10.157
139[.]186.30.246
139[.]196.21.224
139[.]196.37.219
139[.]196.91.13
139[.]198.15.159
139[.]199.100.94
139[.]199.31.223
139[.]217.99.29
139[.]224.31.47
139[.]9.115.85
139[.]9.121.229
139[.]9.128.123
140[.]143.125.186
140[.]82.16.24
140[.]82.19.10
140[.]82.19.26
141[.]164.41.118
141[.]164.48.79
141[.]164.57.174
141[.]164.61.249
141[.]164.63.233
142[.]202.205.57
142[.]202.205.88
143[.]92.49.158
143[.]92.49.159
143[.]92.49.160
144[.]168.63.17
144[.]202.13.108
144[.]202.56.193
144[.]217.207.19
144[.]217.207.21
144[.]217.207.31
144[.]34.144.21
144[.]34.175.58
144[.]34.194.159
144[.]34.198.241
144[.]48.10.16
145[.]249.106.56
145[.]249.107.135
149[.]129.48.48
149[.]129.68.79
149[.]129.72.37
149[.]129.92.203
149[.]248.37.167
149[.]28.117.151
149[.]28.147.25
149[.]28.148.224
149[.]28.28.87
149[.]28.88.208
149[.]6.167.60
150[.]109.103.16
150[.]109.111.208
150[.]109.125.111
152[.]136.114.253
154[.]209.69.6
154[.]210.12.80
154[.]220.3.125
154[.]220.3.196
154[.]220.3.226
154[.]223.142.56
154[.]223.149.97
154[.]223.160.112
154[.]8.160.196
154[.]92.14.41
155[.]138.138.215
155[.]138.164.216
155[.]94.143.110
155[.]94.174.114
156[.]232.254.19
156[.]232.254.6
156[.]234.168.104
156[.]236.118.226
156[.]239.157.66
156[.]245.17.6
156[.]253.11.144
156[.]255.2.36
156[.]96.59.27
157[.]245.169.236
157[.]52.168.140
158[.]101.144.105
161[.]129.39.103
161[.]129.65.118
161[.]35.114.210
161[.]35.38.97
162[.]254.204.222
163[.]172.39.102
167[.]172.45.244
167[.]179.72.102
167[.]179.75.10
167[.]179.78.159
167[.]179.89.117
167[.]71.60.61
170[.]130.55.21
170[.]130.55.22
172[.]105.57.166
172[.]241.27.141
172[.]241.27.174
172[.]241.27.192
172[.]241.27.204
172[.]241.27.34
172[.]241.27.44
172[.]241.27.66
172[.]241.29.153
172[.]241.29.155
172[.]241.29.156
172[.]247.123.118
172[.]81.239.64
172[.]81.254.151
172[.]86.75.123
173[.]208.133.38
173[.]232.146.232
173[.]232.146.32
173[.]232.146.37
173[.]82.236.130
173[.]82.26.59
175[.]24.133.73
175[.]24.46.93
175[.]24.48.117
175[.]24.62.158
175[.]24.75.220
175[.]99.82.225
176[.]119.29.43
176[.]119.29.71
176[.]121.14.183
176[.]121.14.199
176[.]121.14.208
176[.]121.14.237
176[.]223.165.110
176[.]31.193.24
176[.]9.193.5
178[.]17.171.58
179[.]43.176.202
180[.]215.228.28
180[.]215.228.34
180[.]215.228.36
180[.]215.228.38
180[.]76.60.140
180[.]97.215.181
182[.]16.4.114
182[.]16.4.115
182[.]16.4.116
182[.]16.4.117
182[.]16.4.118
182[.]254.173.239
182[.]254.202.89
182[.]92.115.109
182[.]92.120.156
182[.]92.233.56
182[.]92.4.23
182[.]92.65.134
182[.]92.66.81
182[.]92.86.170
185[.]118.164.229
185[.]14.30.139
185[.]147.14.248
185[.]153.196.207
185[.]153.196.209
185[.]153.196.212
185[.]153.196.215
185[.]153.196.216
185[.]153.198.27
185[.]153.198.31
185[.]153.198.40
185[.]153.198.45
185[.]153.198.54
185[.]158.114.53
185[.]161.208.201
185[.]162.235.111
185[.]162.235.178
185[.]162.235.233
185[.]162.235.35
185[.]162.235.76
185[.]162.235.91
185[.]174.103.157
185[.]177.59.70
185[.]180.198.61
185[.]202.0.111
185[.]202.2.182
185[.]207.152.86
185[.]207.154.21
185[.]213.26.197
185[.]227.82.66
185[.]23.200.165
185[.]232.52.137
185[.]234.52.45
185[.]243.113.141
185[.]243.113.192
185[.]243.242.116
185[.]243.41.224
185[.]33.84.190
185[.]33.86.54
185[.]45.193.7
185[.]70.184.44
185[.]80.220.171
188[.]116.36.76
188[.]65.74.60
192[.]169.6.180
192[.]169.6.42
192[.]169.7.160
192[.]169.7.223
192[.]184.90.209
192[.]236.155.238
192[.]236.161.221
192[.]236.161.222
192[.]236.232.228
192[.]34.109.12
192[.]52.167.102
192[.]69.91.119
193[.]112.10.125
193[.]112.124.26
193[.]168.147.249
193[.]187.119.133
193[.]27.14.215
193[.]29.13.168
193[.]32.161.135
193[.]32.163.21
194[.]36.188.188
194[.]36.191.118
195[.]123.213.235
195[.]123.214.182
195[.]123.217.36
195[.]54.160.115
195[.]54.167.235
195[.]54.167.237
195[.]88.209.87
198[.]13.55.13
198[.]44.250.175
198[.]46.198.130
199[.]189.108.68
199[.]192.17.125
199[.]192.17.18
199[.]233.237.115
202[.]182.105.129
202[.]182.119.224
202[.]61.87.136
203[.]195.158.21
203[.]195.199.146
204[.]16.247.89
204[.]44.83.217
207[.]148.124.20
207[.]148.127.216
207[.]148.65.247
207[.]219.199.120
207[.]46.130.130
208[.]51.62.26
208[.]51.62.27
208[.]51.62.28
208[.]51.62.29
208[.]51.62.30
209[.]126.119.186
210[.]16.120.248
211[.]159.201.49
211[.]49.225.208
212[.]129.150.253
212[.]64.44.176
213[.]217.0.216
216[.]126.231.24
216[.]24.188.130
216[.]240.134.70
216[.]250.111.90
217[.]12.202.89
217[.]12.208.162
217[.]12.208.227
217[.]12.208.251
217[.]12.218.99
218[.]253.251.100
218[.]253.251.74
219[.]146.156.17
221[.]181.173.48
221[.]237.189.200
222[.]186.39.123
223[.]68.10.24
参考：
https://www.cnblogs.com/websecyw/p/12058948.html
https://bbs.pediy.com/thread-249837.htm
https://research.nccgroup.com/2020/06/15/striking-back-at-retired-cobalt-strike-a-look-at-a-legacy-vulnerability/
https://www.nccgroup.com/us/about-us/newsroom-and-events/blog/2019/february/identifying-cobalt-strike-team-servers-in-the-wild/
https://www.cobaltstrike.com/help-malleable-c2
https://github.com/salesforce/ja3
https://xz.aliyun.com/t/3889
https://engineering.salesforce.com/tls-fingerprinting-with-ja3-and-ja3s-247362855967