用途：该技能用于在事件响应与威胁狩猎中，从 Cobalt Strike Beacon 载荷的 PE 文件、shellcode 或内存转储里提取配置数据，还原 C2 服务器地址、通信协议、休眠与抖动值、可变 C2（Malleable C2）配置、水印标识及加密密钥，以映射攻击者基础设施并辅助归因。
主要能力：解析 .data 段中以单字节 XOR 编码（v3 为 0x69、v4 为 0x2e）、TLV（Type-Length-Value）格式存储的配置块；输出关键字段如 SETTING_C2_REQUEST、SETTING_DOMAINS、SETTING_BEACONTYPE、SETTING_PORT、SETTING_SLEEPTIME、SETTING_JITTER、SETTING_USERAGENT、SETTING_PIPENAME、SETTING_WATERMARK 等；提取 C2 域名、URL、User-Agent、命名管道、spawn 进程等可操作指标；分析 Malleable C2 配置中的 HTTP 请求/响应变换、URI 路径、头部与元数据编码；并可由配置生成 Suricata/Snort 网络签名。
使用方式：需要 Python 3.9+ 及 dissect.cobaltstrike、pefile、yara-python；可配合 SentinelOne CobaltStrikeParser（parse_beacon_config.py）、十六进制编辑器（010 Editor、HxD）、内存转储工具（Volatility3、WinDbg）与 Wireshark 进行流量关联。基本流程为：用 BeaconConfig.from_path(filepath) 解析配置，按关键字段与 TLV 类型映射（如 0x0001 BeaconType、0x0002 Port、0x0008 C2Server、0x001a Watermark、0x0024 PipeName）提取指标，必要时手动定位 XOR 魔术字节并解密约 4096 字节的配置块，再以 YARA 规则（如匹配 XOR 后的 2e 2f 2e 2c / 69 68 69 6b）扫描检测。
适用场景：安全事件调查、检测规则与威胁狩猎查询构建、SOC 分析流程标准化，以及针对相关攻击技术的监控覆盖验证。
限制：该技能面向授权安全分析与防御用途，仅处理已获得的样本或内存转储；实际字段可用性与版本差异、内存转储获取方式及具体环境依赖等细节资料中未完全展开，暂未提供。分类：安全与审计。