用途：Cobalt Strike 是常被攻击者滥用的对手模拟工具，其 Beacon 载荷内嵌配置数据，包含 C2 服务器地址、通信协议、休眠间隔、抖动值、可变 C2 配置文件设置、水印标识和加密密钥。该技能从 PE 文件、shellcode 或内存转储中提取这些配置，帮助事件响应人员梳理攻击者基础设施并归因。
主要能力：解析 Beacon 配置结构（TLV 类型-长度-值格式，位于 .data 段，单字节 XOR 编码：v3 用 0x69，v4 用 0x2e）；提取 C2 域名、URL、User-Agent、命名管道、派生进程和水印等指标；分析可变 C2 配置文件中的 HTTP 请求/响应变换、URI 路径、头部与元数据编码；用 YARA 规则检测打包和未打包样本；结合 Wireshark 等做 C2 流量关联并生成网络签名建议。
使用方式：前置条件包括 Python 3.9+ 及 dissect.cobaltstrike、pefile、yara-python，SentinelOne CobaltStrikeParser（parse_beacon_config.py），十六进制编辑器，PE 格式与 XOR 编码知识，内存转储获取工具（Volatility3、WinDbg）和网络分析工具。典型流程：用 BeaconConfig.from_path() 解析文件；手动定位并按 XOR 密钥解密配置、解析 TLV 条目；用 YARA 规则扫描文件；从配置中提取可变 C2 并生成 Suricata/Snort 签名。
适用场景：事件响应与恶意样本分析、攻击基础设施测绘与归因、C2 流量检测规则编写。
限制：资料未提供价格、授权、平台支持范围及实际效果数据；依赖样本和数据来源，配置解析可能受版本差异影响。